Zapret 2 - основные флаги #189

loop-uh · 2025-12-06T21:50:18Z

loop-uh
Dec 6, 2025
Maintainer

Полный список обманок (fooling) в zapret2

🔹 IP/IPv4 модификации

ip_ttl=N - установить TTL (Time To Live) в IPv4 заголовке
- Пример: ip_ttl=5
ip_autottl=delta,min-max - автоматическое определение TTL
- Формат: delta,min-max (например: -1,3-20)
- Автоматически вычисляет оптимальный TTL на основе входящих пакетов

🔹 IPv6 модификации

ip6_ttl=N - установить Hop Limit в IPv6 заголовке (аналог TTL)
- Пример: ip6_ttl=3
ip6_autottl=delta,min-max - автоматическое определение Hop Limit для IPv6
- Формат: delta,min-max

🔹 IPv6 Extension Headers (расширенные заголовки)

ip6_hopbyhop[=hex] - добавить Hop-by-Hop заголовок
- Размер данных: 6+N×8 байт
- По умолчанию: \x00\x00\x00\x00\x00\x00
ip6_hopbyhop2[=hex] - добавить второй Hop-by-Hop заголовок
- Размер данных: 6+N×8 байт
ip6_destopt[=hex] - добавить Destination Options заголовок (unfragmentable part)
- Размер данных: 6+N×8 байт
ip6_destopt2[=hex] - добавить второй Destination Options заголовок (fragmentable part)
- Размер данных: 6+N×8 байт
ip6_routing[=hex] - добавить Routing заголовок
- Размер данных: 6+N×8 байт
ip6_ah[=hex] - добавить Authentication Header (усеченный)
- Размер данных: 6+N×4 байт
- По умолчанию: \x00\x00 + 4 случайных байта

🔹 TCP модификации

tcp_seq=N - добавить N к TCP sequence number
- Пример: tcp_seq=10000
- Используется для "badseq" обманки
tcp_ack=N - добавить N к TCP acknowledgment number
- Пример: tcp_ack=-66000
- Используется для "badack" обманки (обычно отрицательное значение)
tcp_ts=N - добавить N к TCP timestamp value
- Модифицирует TCP опцию timestamp
tcp_md5[=hex] - добавить TCP MD5 опцию (RFC 2385)
- Размер: 16 байт
- По умолчанию: случайные данные
- Пример: tcp_md5 или tcp_md5=0x00112233445566778899aabbccddeeff
tcp_flags_set=<список> - установить TCP флаги
- Список через запятую: FIN,SYN,RST,PSH,ACK,URG,ECE,CWR
- Пример: tcp_flags_set=PSH,URG
tcp_flags_unset=<список> - снять TCP флаги
- Пример: tcp_flags_unset=ACK (для "datanoack" обманки)
tcp_ts_up - переместить TCP timestamp опцию в начало
- Без параметров
- Workaround для Linux: позволяет отбрасывать пакеты с badack без badseq

🔹 Дополнительные опции

badsum - сделать контрольную сумму L4 невалидной
- Без параметров
- Относится к reconstruct options
fool=функция - вызвать пользовательскую функцию обманки
- Формат: fool_func(dis, fooling_options)
- Для создания собственных обманок

📋 Популярные комбинации (из nfqws1)

В старой версии (nfqws1) были готовые комбинации:

md5sig → tcp_md5
badseq → tcp_seq=-10000 (для SYN) или tcp_ack=-66000 (для обычных пакетов)
badack → tcp_ack=-66000
datanoack → tcp_flags_unset=ACK

💡 Примеры использования

# Простой TTL
--lua-desync=fake:ip_ttl=5

# Автоматический TTL
--lua-desync=fake:ip_autottl=-1,3-20

# TCP MD5 signature (обманка для DPI)
--lua-desync=fake:tcp_md5

# Badseq + badack (классическая обманка)
--lua-desync=fakedsplit:tcp_seq=-10000:tcp_ack=-66000:tcp_ts_up

# IPv6 extension headers
--lua-desync=fake:ip6_hopbyhop:ip6_destopt

# Снять ACK флаг (datanoack)
--lua-desync=fake:tcp_flags_unset=ACK

# Комбинация нескольких обманок
--lua-desync=fake:ip_ttl=1:tcp_md5:tcp_ack=-66000

Все эти обманки применяются функцией apply_fooling() из библиотеки zapret-lib.lua и используются для обхода DPI систем путем создания пакетов, которые проходят через DPI, но отбрасываются целевым сервером или наоборот.

loop-uh · 2025-12-06T22:39:37Z

loop-uh
Dec 6, 2025
Maintainer Author

Да, абсолютно всё одинаково.

Схема работы nfqws2

┌─────────────────────────────────────────────────────────────┐
│                         ПАКЕТ                                │
└─────────────────────────────────────────────────────────────┘
                              │
                              ▼
┌─────────────────────────────────────────────────────────────┐
│                      ФИЛЬТРАЦИЯ                              │
│  • ipset (по IP)                                            │
│  • hostlist (по домену)                                     │
│  • --filter-tcp, --filter-udp (по портам)                   │
│  • --filter-l7 (по протоколу)                               │
│  • --payload (по типу payload)                              │
│  • --in-range, --out-range (по номеру пакета)               │
└─────────────────────────────────────────────────────────────┘
                              │
                    Пакет прошёл фильтры?
                              │
              ┌───────────────┴───────────────┐
              │ НЕТ                           │ ДА
              ▼                               ▼
        ┌───────────┐              ┌─────────────────────────┐
        │  ПРОПУСК  │              │    ДЕСИНХРОНИЗАЦИЯ      │
        └───────────┘              │  (LUA стратегии)        │
                                   │                         │
                                   │  • fake                 │
                                   │  • multisplit           │
                                   │  • multidisorder        │
                                   │  • fakedsplit           │
                                   │  • hostfakesplit        │
                                   │  • tls_mod              │
                                   │  • и т.д.               │
                                   └─────────────────────────┘

Все методы работают одинаково

Метод	ipset	hostlist	Без фильтров
`fake`	✅	✅	✅
`multisplit`	✅	✅	✅
`multidisorder`	✅	✅	✅
`fakedsplit`	✅	✅	✅
`fakeddisorder`	✅	✅	✅
`hostfakesplit`	✅	✅	✅
`tls_mod=sni=...`	✅	✅	✅
`seqovl`	✅	✅	✅

Фильтрация и десинхронизация — полностью независимые этапы.

Фильтры (ipset, hostlist) — это просто способ сказать: "применяй стратегии только к ЭТИМ пакетам". А сами стратегии работают одинаково со всеми пакетами, которые до них дошли.

0 replies

loop-uh · 2025-12-06T22:40:58Z

loop-uh
Dec 6, 2025
Maintainer Author

Отличный вопрос! syndata — это как раз случай, где есть разница!

Проблема с syndata и hostlist

Посмотрим на функцию syndata:

-- nfqws1 : "--dpi-desync=syndata"
-- standard args : fooling, rawsend, reconstruct, ipfrag
-- arg : blob=<blob> - fake payload. must fit to single packet. no segmentation possible. default - 16 zero bytes.
-- arg : tls_mod=<list> - comma separated list of tls mods : rnd,rndsni,sni=<str>
function syndata(ctx, desync)
	if desync.dis.tcp then
		if bitand(desync.dis.tcp.th_flags, TH_SYN + TH_ACK)==TH_SYN then
			local dis = deepcopy(desync.dis)
			dis.payload = blob(desync, desync.arg.blob, "\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00")
			-- ...

SYN пакет — это первый пакет соединения. В нём НЕТ payload!

Сравнение по методам

Метод	Когда срабатывает	ipset работает?	hostlist работает?
syndata	SYN пакет (1-й)	✅ Да	❌ Нет (hostname неизвестен)
synack	SYN+ACK (2-й)	✅ Да	❌ Нет
wsize	SYN+ACK	✅ Да	❌ Нет
fake	TLS Client Hello	✅ Да	✅ Да
multisplit	Любой payload	✅ Да	✅ Да
rst	Любой пакет	✅ Да	✅ Да (если есть payload)

Почему так?

Время соединения:
─────────────────────────────────────────────────────►

[SYN] ──► [SYN+ACK] ──► [ACK] ──► [TLS Client Hello] ──► ...
  │           │           │              │
  │           │           │              └── hostname появляется тут!
  │           │           │                  (SNI в TLS / Host в HTTP)
  │           │           │
  └───────────┴───────────┴── только IP известен

hostlist требует hostname → работает только начиная с TLS Client Hello
ipset требует только IP → работает с первого пакета

Практический вывод

Если нужны методы на ранних этапах соединения:

# ✅ Работает - фильтрация по IP
nfqws2 --ipset=youtube_ips.txt \
  --lua-desync=syndata:blob=fake_default_tls

# ❌ НЕ работает - hostname ещё неизвестен в SYN
nfqws2 --hostlist=youtube.txt \
  --lua-desync=syndata:blob=fake_default_tls

Для syndata, synack, wsize — только ipset (или без фильтрации вообще).

Для fake, multisplit, fakedsplit и т.д. — работают оба.

0 replies

loop-uh · 2025-12-06T22:43:13Z

loop-uh
Dec 6, 2025
Maintainer Author

Фильтр payload по умолчанию

function payload_match_filter(l7payload, l7payload_filter, def)
	local argpl = l7payload_filter or def or "known"
	local neg = string.sub(argpl,1,1)=="~"
	local pl = neg and string.sub(argpl,2) or argpl
	return neg ~= (in_list(pl, "all") or in_list(pl, l7payload) or in_list(pl, "known") and l7payload~="unknown" and l7payload~="empty")
end

По умолчанию фильтр = "known", что означает:

✅ Пропускает любой известный payload (mtproto_initial, tls_client_hello, и т.д.)
❌ НЕ пропускает unknown
❌ НЕ пропускает empty

Для MTProto

Пакет	l7payload	Пройдёт "known"?
Первый пакет с данными	`mtproto_initial`	✅ Да
Последующие пакеты	`unknown`	❌ Нет

Нужно ли указывать `payload=unknown`?

Зависит от цели:

Если нужен только initial (обычный случай):

# Достаточно - unknown пакеты игнорируются автоматически
nfqws2 --filter-l7=mtproto \
  --payload=mtproto_initial \
  --lua-desync=fake:blob=0x00000000

Если нужны ВСЕ пакеты MTProto:

# Вариант 1: явно указать unknown
nfqws2 --filter-l7=mtproto \
  --payload=mtproto_initial --lua-desync=fake:blob=... \
  --payload=unknown --lua-desync=send:ip_ttl=3

# Вариант 2: использовать all
nfqws2 --filter-l7=mtproto \
  --payload=all \
  --lua-desync=fake:blob=...

Практический совет

Для обхода блокировки Telegram обычно достаточно mtproto_initial, потому что:

DPI анализирует только начало соединения (сигнатуру MTProto)
После initial все данные зашифрованы - DPI их не парсит
Если initial прошёл - соединение установлено

# Рекомендуемый вариант
nfqws2 --filter-l7=mtproto \
  --payload=mtproto_initial \
  --lua-desync=fake:blob=0x00000000:repeats=3

Ответ: Нет, обычно НЕ нужно указывать payload=unknown для MTProto — достаточно обработать только mtproto_initial.

0 replies

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

Uh oh!

Zapret 2 - основные флаги #189

Uh oh!

{{title}}

Uh oh!

Uh oh!

{{editor}}'s edit

{{editor}}'s edit

Uh oh!

Replies: 3 comments

Uh oh!

{{title}}

Uh oh!

Uh oh!

{{title}}

Uh oh!

Uh oh!

{{title}}

Uh oh!

Uh oh!

{{editor}}'s edit

{{editor}}'s edit

Uh oh!

Select a reply

Uh oh!

Zapret 2 - основные флаги #189

Uh oh!

Uh oh!

loop-uh Dec 6, 2025 Maintainer

Полный список обманок (fooling) в zapret2

🔹 IP/IPv4 модификации

🔹 IPv6 модификации

🔹 IPv6 Extension Headers (расширенные заголовки)

🔹 TCP модификации

🔹 Дополнительные опции

📋 Популярные комбинации (из nfqws1)

💡 Примеры использования

Replies: 3 comments

Uh oh!

loop-uh Dec 6, 2025 Maintainer Author

Схема работы nfqws2

Все методы работают одинаково

Uh oh!

loop-uh Dec 6, 2025 Maintainer Author

Проблема с syndata и hostlist

Сравнение по методам

Почему так?

Практический вывод

Uh oh!

Uh oh!

loop-uh Dec 6, 2025 Maintainer Author

Фильтр payload по умолчанию

Для MTProto

Нужно ли указывать payload=unknown?

Если нужен только initial (обычный случай):

Если нужны ВСЕ пакеты MTProto:

Практический совет

loop-uh
Dec 6, 2025
Maintainer

loop-uh
Dec 6, 2025
Maintainer Author

loop-uh
Dec 6, 2025
Maintainer Author

loop-uh
Dec 6, 2025
Maintainer Author

Нужно ли указывать `payload=unknown`?