WARP и HMS

Что это даёт

Первая преграда — провайдер. Он обрывает соединение, как только видит имя сайта. Это работа обхода: пакеты переписываются так, что имя не распознаётся, и соединение проходит. Адрес, с которого вы приходите, при этом остаётся вашим.

Вторая преграда — сам сайт. Соединение дошло, сайт ответил — и отказал. Причина не в пакетах, а в адресе: сайт смотрит, откуда вы пришли, и сверяется с его репутацией.

Антифрод-системы ведут репутацию не отдельных адресов, а целых диапазонов. Домашние российские диапазоны стоят в этих списках низко: оттуда идёт много ботов, переборов паролей и злоупотреблений, и низкое доверие достаётся всему диапазону разом, а не конкретному нарушителю. Со стороны это выглядит так:

• капча, которая не кончается, сколько ни решай;
• «доступ ограничен» или «не удалось обработать запрос» на ровном месте;
• отказ при регистрации, входе или оплате;
• сайт открывается, но частью функций пользоваться нельзя.

Провайдер тут ни при чём — он вас пропустил, и обход в этой ситуации бесполезен: пробивать нечего.

Через Cloudflare пускает, потому что адреса WARP принадлежат ей. Через её сеть проходит заметная часть всего веба, и в списках доверия эти адреса стоят совсем иначе, чем абонентские: это не «подозрительный домашний пул», а инфраструктура, с которой и так идёт огромный поток обычных пользователей. С включённым прокси вы приходите не из плохого диапазона, а как клиент Cloudflare — и та же самая проверка, которая отказывала, вас пропускает.

Чего это не даёт

Сам WARP страну не меняет. Меняется репутация адреса, а не страна. Бесплатный WARP работает по anycast: вы попадаете на ближайший узел Cloudflare, а не на выбранный. Из России ближайший — российский, и адрес на выходе тоже российский.

Настройкой или другой точкой входа страну не выбрать: у MASQUE их всего две по IPv4 (162.159.198.1 и 162.159.198.2) плюс четыре по IPv6, и приземляются они на тот же ближайший узел. Но страна выхода следует за тем, откуда к Cloudflare пришли, — и на этом построена HMS.

Как включить

1. Запустите обход

   Регистрация устройства — это обычный HTTPS-запрос к api.cloudflareclient.com, а это имя режется по SNI. Движок покрывает его всегда, независимо от области обхода, но только пока запущен. Без обхода запрос может просто не дойти.

2. Нажмите «Создать устройство»

   Ключи создаются на вашем компьютере. Наружу уходит только открытый ключ — закрытый машину не покидает. Cloudflare отвечает лицензией и адресом внутри своей сети.

3. Включите тумблер «Прокси включён»

   Программа поднимает локальный прокси и сама проверяет, что он работает: спрашивает у Cloudflare через этот же прокси, где она вас видит. Пока ответ не получен, успех не показывается. В строке состояния появится адрес выхода и страна.

Куда указать адрес

Прокси не перехватывает трафик и ничего не меняет в системе. Через него пойдёт только то, что вы сами туда направите — и это осознанный выбор: провал не может оставить вас без интернета.

Адрес показан на вкладке, рядом есть кнопка «Копировать». По умолчанию это 127.0.0.1:1080, протокол — SOCKS5.

Что происходит внутри

WARP умеет два транспорта. Первый — обычный WireGuard. Второй — MASQUE, собственная разработка Cloudflare: туннель IP поверх HTTP/3, а если QUIC не проходит, то поверх HTTP/2 и обычного TCP. На 443-м порту он неотличим от обычного веб-трафика.

Программа использует MASQUE, и это не вкусовщина. WireGuard до WARP на российских сетях перекрыт на уровне потока: рукопожатие пропускают, а данные после него режут. Десинк это не лечит — он умеет подменить только первый пакет соединения, а прятать непрерывный поток нечем.

Параметры

HMS: смена страны

HMS — вкладка между WARP и «Настройками»; название выбрало сообщество: Hide My Ass. Это второе подключение к WARP, но не напрямую, а через вход в другой стране. Замерено: Cloudflare выбирает страну выхода по тому, откуда к нему пришли, — устройство и ключи при этом те же. Подключились из Германии — выход немецкий. Этим и лечится «недоступно в вашем регионе», против которого бессильны и обход, и обычный WARP.

1. Ваш браузер

   По правилу Windows в цепочку уходят только сайты из списка. Всё остальное идёт как обычно, на полной скорости.

2. Zapret2UI

   Принимает эти сайты и ведёт их дальше. С Tor он же обходом помогает дойти до мостов — их провайдер режет; ваш прокси до своего сервера доходит сам.

3. Вход

   Мост и Tor с выходом в выбранной стране — или ваш SOCKS5-прокси (клиент VLESS, Shadowsocks). Это звено и задаёт страну.

4. Cloudflare WARP

   Адрес, которому доверяют: сервис видит клиента Cloudflare, а не выходной узел Tor, который он знает и режет сам.

5. Сайт

   Видит страну входа, а не вашу.

Как включить. Создайте устройство на вкладке WARP — одно на обе вкладки. На вкладке HMS выберите вход: «Свой прокси» (адрес SOCKS5, например 127.0.0.1:10808, с логином — socks5://логин:пароль@адрес:порт) или «Tor» (код страны, например de). Для Tor нажмите «Получить мосты» и «Проверить скорость», по желанию — «Подобрать выход». Затем включите «Цепочка включена» и «Вести эти сайты через цепочку».

Мосты и выходной узел

Мосты берутся одной кнопкой или у бота @GetBridgesBot в Telegram; быстрый выходной узел программа подбирает и закрепляет сама.

«Получить мосты» спрашивает мосты у Tor Project — без капчи, тем же запросом, что делает «Connection Assist» в Tor Browser, — и заодно ищет обычные реле Tor, отвечающие с вашей сети. Любое реле можно указать мостом (идея ValdikSS/tor-relay-scanner). Маскировки у таких реле нет, и они часто быстрее мостов: замерено, 9 из 9 подняли Tor, медиана 5,4 Мбит/с, лучший 20,6 — против 3,2 у живого obfs4-моста. Где провайдер режет Tor по протоколу, они не пройдут, и выручат obfs4 и webtunnel.

«Проверить скорость» поднимает по очереди каждую строку поля, сколько бы их ни было, и переписывает поле: быстрые сверху, у каждого комментарий вида # 12,5 Мбит/с, первый байт 1,2 с, мёртвые внизу с причиной. Ничего не удаляется. Tor берёт из поля первые 12 строк — поэтому быстрые и поднимаются наверх. Свои строки можно вставить руками — их выдаёт бот @GetBridgesBot в Telegram, команда /webtunnel.

«Подобрать выход» замеряет десять самых быстрых по консенсусу выходных узлов страны и закрепляет лучший по адресу. Без закрепления Tor берёт новый узел на каждое соединение, и адрес WARP меняется вместе с ним — для сервиса это каждый раз новый посетитель.

Какие сайты идут через цепочку

Список правится руками, по одному домену в строке. В комплекте — ChatGPT, Gemini и Grok: именно они отказывают по стране. Домен покрывает всё, что под ним: openai.com — это и api.openai.com. Правило пишется в настройки Windows, пока цепочка включена; его подхватывают Chrome, Edge, Brave и программы на их основе — на них и проверено; Firefox не проверялся.

• Пока цепочка включена, эти сайты идут только через неё. Оборвётся вход — они перестанут открываться, а не уйдут с вашего адреса. Выключите цепочку — правило снимется, и они пойдут как обычно, с вашего адреса: в аккаунт, привязанный к другой стране, тогда лучше не заходить.
• Исключения идут мимо цепочки, даже если список их покрывает. Замерено: страница grok.com делает 219 запросов, и 188 из них — на cdn.grok.com, где стране взяться неоткуда.
• Скорость: через Tor замерено 2–6 Мбит/с и задержка около секунды. Для переписки нормально, для файлов заметно — поэтому список и держат коротким.

Где что лежит

Клиент usque.exe распаковывается в C:\Program Files\Zapret2UI\masque: он работает с правами администратора, поэтому лежит там, где его не подменить. config.json с ключом устройства, его лицензией и токеном — в вашем профиле, в %LOCALAPPDATA%\Zapret2UI\masque.

Tor для HMS — в C:\Program Files\Zapret2UI\tor: tor.exe, транспорт pt\lyrebird.exe с pt_config.json, гео-базы geoip и geoip6 и torrc. Папка data с кэшем консенсуса — из него же берутся выходные узлы и обычные реле — в %LOCALAPPDATA%\Zapret2UI\tor\data. Скачивается при первом включении цепочки через Tor.

Если не работает