Справочник

Свою стратегию можно создать на вкладке «Стратегии»: продублировать встроенную и отредактировать копию. Сохраняется она в presets.json. Проверить получившуюся командную строку целиком, не запуская движок, помогает предпросмотр команды в интерфейсе.

Структура команды

Команда состоит из глобальной части и одного или нескольких профилей. Каждый следующий профиль начинается с --new.

# глобальная часть: ширина перехвата, блобы, кэш
--wf-tcp-out=80,443-65535
--blob=tls_google:@{FILES}\fake\tls_clienthello_www_google_com.bin

# первый профиль идёт сразу, без --new
--filter-tcp=443-65535 --filter-l7=tls {HOSTLIST:discord}
--payload=tls_client_hello
--lua-desync=fake:blob=tls_google:tcp_ts=-1000:repeats=6

--new
# второй профиль
--filter-udp=443-65535 --filter-l7=quic {HOSTLIST:discord}
--payload=quic_initial
--lua-desync=fake:blob=quic_google:repeats=11

• Глобальная часть идёт до первого --new и содержит --wf-*, --blob=, --ipcache-*, --lua-init=. Первый профиль живёт там же.
• Порты перехвата перечисляются через запятую в одном флаге. Второй --wf-tcp-out не добавит порты, а перезапишет предыдущий.
• Профиль отвечает на два вопроса: к кому применяться (фильтры) и что делать (--lua-desync). Приёмов в профиле может быть несколько, они выполняются по порядку.

Липкие флаги

Три флага действуют с места указания и до переопределения, а не на весь профиль. Это самая частая причина стратегий, которые выглядят правильно, но ведут себя не так.

Флаги --filter-*, --hostlist и --ipset липкими не являются, их порядок внутри профиля значения не имеет.

Фильтры профиля

Токены

Стратегии хранятся не с абсолютными путями, а с токенами. Программа разворачивает их при запуске, подставляя актуальные пути и текущие настройки.

Пустой токен просто выбрасывается из команды. Например, {HOSTLIST} без активного списка не оставит после себя ничего.

Глаголы desync

Задаются как --lua-desync=глагол:параметр=значение:.... Самая важная колонка здесь последняя: она определяет, какой fooling можно использовать, а какой сломает соединение.

Общие параметры: repeats=N задаёт число повторов фейка, :optional просит тихо пропустить приём, если он не применился, вместо того чтобы прерывать обработку.

Fooling

Приёмы, заставляющие фейк не дойти до сервера. Подробнее о том, зачем это нужно: Как это работает.

Позиционные маркеры

Задают, где резать пакет. Используются в pos= и допускают смещения: sld+1, midsld-2. Несколько точек разреза перечисляются через запятую.

Про seqovl

Параметр seqovl означает разное у разных глаголов, и это регулярный источник ошибок.

Параметр seqovl_pattern= указывает, чем именно заполнять перекрытие. Осмысленно подставлять туда настоящий ClientHello, например tls_google: правдоподобное начало переживает проверки, которые случайный мусор не проходит.

Блобы

Блоб: файл с готовым сетевым пакетом, который используется как фейк. Сначала ему дают имя в глобальной части, потом обращаются по имени.

--blob=tls_google:@{FILES}\fake\tls_clienthello_www_google_com.bin
...
--lua-desync=fake:blob=tls_google:repeats=6

В комплекте с движком идут приветствия от www.google.com, vk.com, sberbank.ru, gosuslugi.ru, а также их варианты для QUIC. В стратегиях они доступны как tls_google, tls_vk, tls_sber, tls_gos, quic_google, quic_vk.

Оркестраторы

Отдельный класс: они не меняют пакеты, а управляют другими приёмами. Живут в библиотеке zapret-auto.lua, которую движок подгружает автоматически.

Самый полезный из них circular. Правила такие:

• Объявляется как --lua-desync=circular:fails=N:time=T, дальше идут варианты.
• Каждый приём помечается тегом strategy=K. Нумерация начинается с единицы и идёт без пропусков. В один вариант может входить несколько приёмов.
• Требует --in-range=: без кэша входящих пакетов детектор не увидит сброс от DPI, и переключаться будет нечему.
• Без пометки final варианты крутятся по кругу, пока не найдётся рабочий. Найденный больше не трогается, движок при этом не перезапускается.

Готовый рабочий пример разобран в разборе адаптивной стратегии.

Полный пример

Минимальная работающая стратегия под Discord: TLS с фейком и разрезкой, QUIC с фейком, голос.

{WF_TCP}
{WF_UDP}
--ipcache-hostname=1
--blob=tls_google:@{FILES}\fake\tls_clienthello_www_google_com.bin
--blob=quic_google:@{FILES}\fake\quic_initial_www_google_com.bin
--wf-raw-part=@{WF}\windivert_part.stun.txt
--wf-raw-part=@{WF}\windivert_part.quic_initial_ietf.txt

# 1. Discord по TLS
--filter-tcp=443-65535 --filter-l7=tls {HOSTLIST:discord}
--out-range=-d10 --payload=tls_client_hello
--lua-desync=fake:blob=tls_google:tcp_md5:tcp_seq=-10000:repeats=6
--lua-desync=multisplit:pos=1,midsld:seqovl=681:seqovl_pattern=tls_google:optional

--new
# 2. Discord по QUIC: вложения и CDN
--filter-udp=443-65535 --filter-l7=quic {HOSTLIST:discord}
--payload=quic_initial
--lua-desync=fake:blob=quic_google:repeats=11

--new
# 3. Голос
--filter-udp=19294-19344,50000-65535 --filter-l7=discord,stun
--lua-desync=fake:blob=quic_google:repeats=6

Частые ошибки