WireGuard DPI обход РКН - Windows

WireGuard DPI обход РКН - Windows.md

Для обхода блокировки достаточно отправить 1 любой udp пакет, тем самым нарушим начальное определение протокола WireGuard
Способ с использованием Windows PowerShell. Без скачивания Nmap и подобного софта.

Шаг 0: Отключитесь от всех туннелей.

Шаг 1: Редактируем Клиент конфиг

Добавим в него "ListenPort", это позволит иметь статичный порт на котором будет работать WireGuard
Нажмите ПКМ на нужный "туннель" и выберите "Редактировать выбранный туннель..."

После DNS добавляем новую строку

ListenPort = 56123

Нажимаем сохранить.

Warning

🔴 Важно! Не пытайтесь подключиться к серверу сразу после того как указали порт.

Шаг 2: Открываем "Windows PowerShell"

Необходимо изменить в скрипте данные сервера, к которому вы будете подключаться.
Их можно посмотреть в конфиге, [Peer] -> Endpoint
Как пример:

В моем примере $wgIP и $wgPort будут следующие:
$wgIP = "154.77.3.272"
$wgPORT = 51820

Script:

$wgListenPort = 56123
$wgIP = "DEST IP ADDRESS"
$wgPORT = DEST PORT

$EndPoints = New-Object System.Net.IPEndPoint([System.Net.IPAddress]::Parse([System.Net.Dns]::GetHostAddresses($wgIP)), $wgPORT) 
$Socket = New-Object System.Net.Sockets.UDPClient $wgListenPort
$SendMessage = $Socket.Send([Text.Encoding]::ASCII.GetBytes(":)"), 2, $EndPoints) 
$Socket.Close() 

После того, как изменили в скрипте $wgIP и $wgPORT, вставляем его в PowerShell и нажимаем Enter. Разрешите доступ Брандмауэру Windows если запросит.

Шаг 3: Подключаемся к WireGuard

Можете подключаться к своему WireGuard.

F.A.Q

1. Что делать, если я попытался подключиться к серверу без PowerShell Скрипта?

• Поменять ListenPort в конфиге клиента и поменять в скрипте значение $wgListenPort . Порт должен совпадать.
• Либо подождать 5-10 минут, пока пройдет время блокировки порта. После этого запускаете сначало скрипт PowerShell - а затем пытаетесь подключиться к WireGuard

2. Как определить что проблема именно в блокировке протокола WireGuard от РКН ?

• Если в информации о переданных данных будет статично при подключение: "Получено 92 Б" или "Получено 148 Б" - Значит ваш провайдер заблокировал Handshake Response с протоколом wireguard. Данный гайд помогает обойти эту блокировку.

Написал скрипт для Mikrotik (отлаживал на RouterOS 7.20), у меня не блокируется провайдером мой IP с WiReGuard, поэтому в данных условиях проверить не могу, проверить, у кого реально происходит блокировка на 92 или 148 байтах.

Скрипт так работает:

• Если интерфейс включен - сначала выключает его, подождет 3 секунды для полного отключения, затем включает с обходом DPI
• Если интерфейс выключен - сразу включается с обходом DPI

Замените " wgInterface " на название своего интерфейса WireGuard, " wgPeer " на имя своего пира, укажите в " wgEndpoint " IP и порт " wgPort " сервера WireGuard.

Скрипт "WG_DPI_Bypass":

# Скрипт запуска WireGuard с обходом DPI

:local wgInterface "VPS_WireGuard"
:local wgPeer "VPS_Client" 
:local wgEndpoint "77.77.77.77"
:local wgPort "51820"

# Функция обхода DPI
:local bypassDPI do={
    # Добавляем правило для модификации первых пакетов
    /ip/firewall/mangle/add \
        chain=postrouting \
        dst-address=$1 \
        protocol=udp \
        dst-port=$2 \
        action=change-ttl \
        new-ttl=set:64 \
        limit=1,0:packet \
        comment="WG_DPI_bypass" \
        disabled=no
    
    :delay 100ms
    
    # Включаем интерфейс
    /interface/wireguard/enable $3
    
    :delay 2s
    
    # Удаляем временное правило
    /ip/firewall/mangle/remove [find comment="WG_DPI_bypass"]
}

# Проверяем состояние интерфейса
:if ([/interface/wireguard/get $wgInterface disabled] = false) do={
    # Если интерфейс включен - сначала выключаем
    :log info "WireGuard включен. Выключаем интерфейс..."
    /interface/wireguard/disable $wgInterface
    
    # Ждём полного отключения
    :delay 3s
    
    # Теперь запускаем с обходом DPI
    :log info "Запуск WireGuard с обходом DPI..."
    $bypassDPI $wgEndpoint $wgPort $wgInterface
    :log info "WireGuard с обходом DPI успешно запущен!"
} else={
    # Если интерфейс уже выключен - сразу запускаем с обходом
    :log info "WireGuard выключен. Запуск с обходом DPI..."
    $bypassDPI $wgEndpoint $wgPort $wgInterface
    :log info "WireGuard с обходом DPI успешно запущен!"
}

Можно использовать планировщик:

/system/scheduler/add \
    name="WG_DPI_Bypass" \
    on-event="/system/script/run WG_DPI_Bypass" \
    start-time=startup \
    interval=0 \
    comment="\CE\E1\F5\EE\E4 DPI \E2 WireGuard"

не завелось (
отключилось у меня все в обед сегодня. Билайн. Может еще у кого то есть идеи?

Ожидал, что мала вероятность успеха, на микротике особо не разгуляешься в этом плане.
Когда ранее создавал на VPS сервере WireGuard туннель, сталкивался с блокировкой, но я пошёл изначально другим путём, списался с тех. поддержкой и попросил сменить мне IP из другого диапазона подсетей, это сработало.
Но вот последнюю неделю РКН что-то мутят нездоровое, периодические кратковременные отвалы WireGuard, AnyDesk и некоторых сайтов...
Сегодня столкнулся с новинкой из вида блокировок в WireGuard. Подключаюсь клиентом, вроде всё ОК, но как скорость по VPN поднимается примерно до 20 Мбит/с, бац и отвал, переподключаешься, опять ОК, на низких скоростях работает, а при превышении скорости отвал, попробовал способ из этой статьи - сразу помогло.

Ожидал, что мала вероятность успеха, на микротике особо не разгуляешься в этом плане. Когда ранее создавал на VPS сервере WireGuard туннель, сталкивался с блокировкой, но я пошёл изначально другим путём, списался с тех. поддержкой и попросил сменить мне IP из другого диапазона подсетей, это сработало. Но вот последнюю неделю РКН что-то мутят нездоровое, периодические кратковременные отвалы WireGuard, AnyDesk и некоторых сайтов... Сегодня столкнулся с новинкой из вида блокировок в WireGuard. Подключаюсь клиентом, вроде всё ОК, но как скорость по VPN поднимается примерно до 20 Мбит/с, бац и отвал, переподключаешься, опять ОК, на низких скоростях работает, а при превышении скорости отвал, попробовал способ из этой статьи - сразу помогло.

Нужно помочь с кодом?

Мне нет, у меня пока проблем нет с WireGuard на провайдерах ТТК и Смарткоме тоже пока проблем нет, тут больше имеет роль то, что данный диапазон IP-адресов пока не заблокирован из Нидерландов, который использую.