Приватный VPN-шлюз на 25 устройств

Шлюз, установленный в домашнем роутере в Валенсии, обслуживает двадцать пять телефонов и ноутбуков. Через него уже прошло 2,3 терабайта трафика. Люди в России звонят через него родным, работают и пользуются интернетом так, как привыкли. При этом машина почти простаивает и может потянуть вдвое больше людей без замены железа.

У коммерческой подписки адрес общий на тысячи подписчиков, и банки с платёжными системами такой адрес узнают и отклоняют. Кроме того, весь трафик идёт через чужую компанию, которая сама решает, что с ним делать. Личный шлюз стоит у владельца дома, и доступ к нему он раздаёт только своим людям.

На шлюзе работают пять независимых каналов на двух разных движках. Каждый прикидывается своим видом обычного трафика: один выглядит как визит на сайт NVIDIA, другой как обращение сервера к репозиториям Debian, третий как загрузка с python.org. Если перестанет проходить один способ, останутся четыре, и человеку достаточно переключить строку в приложении.

Способы блокировки меняются каждые несколько месяцев, и то, что работало весной, осенью может отвалиться. Поэтому Xray и sing-box работают на шлюзе параллельно и независимо друг от друга. Если системы фильтрации научатся распознавать один движок, второй продолжит работать, и связь у людей на той стороне сохранится.

Канал VLESS с Reality подменяет рукопожатие настоящего сайта и отдаёт его подлинный сертификат. Снаружи такое соединение неотличимо от обычного визита на тот сайт. В шлюзе это один из пяти независимых каналов, каждый из которых изображает свой вид обычного трафика, чтобы блокировка одного способа не обрывала связь.

Hysteria2 даёт быстрый канал поверх UDP и хорошо держит видеозвонки на плохой линии. ShadowTLS и AnyTLS прячут почерк соединения двумя разными способами. AnyTLS специально ломает ритм размеров пакетов, по которому туннель могут опознать независимо от протокола внутри. Вместе они расширяют набор запасных путей для связи с родными.

Первая версия стояла на одноплатном компьютере размером с пачку сигарет с 512 мегабайтами памяти. Сетевой порт работал через переходник, который резал домашний гигабит до ста мегабит. Когда нагрузка выросла, шлюз переехал на компактный офисный компьютер с шестнадцатью гигабайтами памяти и полноценным гигабитным портом.

Шлюз переносили с одной машины на другую без перерыва в обслуживании, простой составил 0 дней. Ключи и настройки перенесли один в один, поэтому для подключённых людей ничего не изменилось. Никому из двадцати пяти пользователей не пришлось обновлять конфигурацию, и смену железа целиком никто из них не заметил.

Владелец заходит в веб-панель управления в браузере, без командной строки. Там список людей, у каждого свой профиль, свой трафик и своя ссылка на подписку. Новое устройство добавляется в два клика, доступ отзывается одним движением, и остальных пользователей это не затрагивает. Нагрузка на шлюз тоже видна в панели.

Ему нужны приложение на телефоне и одна ссылка на подписку. Приложение само подтягивает список каналов и переключается между ними. Когда на шлюз добавили два новых протокола, никому не пришлось ничего пересылать: подписка обновилась сама. Если один канал перестанет проходить, достаточно переключить строку в приложении.

Оборудование обходится в 55 € по себестоимости, сборка и настройка под ключ стоят 190 €, итого 245 € разово. Техническое обслуживание доступно по желанию за 15 € в месяц. Абонентской платы за сервер нет, расходы сводятся к электричеству. После согласования сметы цена не вырастет.

Двадцать пять устройств на коммерческом сервисе по пять евро в месяц обходятся в полторы тысячи евро в год, и так каждый год. Личный шлюз стоит 245 евро один раз, дальше платить нужно только за электричество. Оборудование при этом остаётся в собственности владельца и может обслужить вдвое больше людей.

Домашний интернет почти всегда выдаёт меняющийся адрес. Фоновая служба следит за сменой и сама переписывает запись домена в Cloudflare, который используется как DNS. Люди подключаются по постоянному имени и не знают, что за ним меняются цифры. Синхронизация идёт по расписанию, без участия владельца и круглосуточно.

Удалённое управление закрыто: вход только по ключу, на нестандартном порту, под суперпользователем войти нельзя. Панель спрятана за адресом, который не угадывается. На машине стоит Debian без графической оболочки, чтобы на устройстве, которое смотрит в интернет, был минимум лишнего. Настройки хранятся в резервной копии на случай отказа носителя.