XRay v Google Cloud Run: obcházení blokování podsítí

Nasazení XRay v Google Cloud Run pro obcházení blokací podsítí

Blokace celých podsítí poskytovatelů usnadňují DPI, ale způsobují vedlejší škody. Místo složitého detekování se používají hromadné zákazy rozsahů /16 a /8, což vede k zamrznutí spojení po 16 KB nebo úplnému výpadku TLS. Analýza ukazuje dopad na stovky ASN, blokujících miliony IP. Obchod je možný přes umístění v neblokovaných podsítích velkých poskytovatelů nebo domain fronting.

Realita a jednoduché alternativy

XTLS-Reality je zbytečné bez aktivního probing: VLESS s vlastním certifikátem a podmínkou domény dává stejný efekt. Funguje i s CDN podporujícími vlastní certifikáty. Pro bloky TLS použijte gRPC pro VLESS nebo XHTTP s multiplexováním.

Nasazení v Google Compute Engine

Vytvořte instanci e2-micro (0,25 vCPU, 1 GB RAM) v Compute Engine:

• Vyberte region s nejnižší cenou.
• Použijte standardní disk bez záloh.
• Povolte HTTP/HTTPS provoz.
• Použijte ephemeral IPv4.

Nainstalujte XRay a nastavte VLESS Enc s Reality Seed pro ochranu před analýzou velikostí paketů. SNI google.com projde, protože IP je z AS Google.

Optimalizace přes Cloud Run: kontejnery na požádání

Pro snížení nákladů použijte serverless přístup v Cloud Run:

• Přejděte do Cloud Run > Services > Deploy web service.
• Obraz: docker.io/teddysun/xray.
• Region: Tier 1, nejbližší.
• Container port: 8080.
• Zdroje: 128 MB RAM, 1 CPU (minimum pro >1 připojení).
• Scaling: 0–1 instance, billing na základě požadavků.
• Ingress: all, timeout 3600 s, concurrency 100+.

Připojení konfigurace

V Secret Manager vytvořte secret s config.json a připojte jako /etc/xray/config.json.

Příklad konfigurace pro XHTTP (sniffing vypnutý):

{
  "log": {
    "loglevel": "info"
  },
  "inbounds": [
    {
      "port": 8080,
      "protocol": "vless",
      "tag": "pxy",
      "settings": {
        "clients": [
          {
            "id": "4c3fe585-ac09-41df-b284-70d3fbe27773",
            "email": "user1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "path": "/secreturlxx"
        }
      },
      "sniffing": {
        "enabled": false
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct"
    }
  ]
}

Na klientovi: XHTTP s XMUX (maxConnections=1, maxConcurrency=0). Spuštění kontejneru trvá 1–2 s.

Domain fronting v infrastruktuře Google

Připojení k google.com resolvuje IP Google, ale Host ukazuje na váš *.run.app – požadavek se routuje uvnitř AS. Certifikát je vydán správně pro jakýkoli servis Google (HTTPS/QUIC). Není to podměna jako v Reality: provoz jde skutečnou infrastrukturou Google.

Klientova konfigurace používá server=google.com, SNI=google.com, Host=xxxxxxxxx.run.app.

Omezení a škálování

• Vyžaduje zahraniční kartu a ověření rezidentství.
• Cena je vysoká: pro 1–2 uživatele nouzové řešení.
• Trial: 200$ na 3 měsíce.

Pro zátěž >1 připojení nasaďte proxy jako praveenkarunarathne/Google-Cloud-Run-Proxy s env V2RAY_SERVER_IP=váš_VPS.

| Parametr | Compute Engine | Cloud Run |

|----------|----------------|-----------|

| Spuštění | Stálé | Na požádání (0–1 instance) |

| Cena | Fixní/hodina | Na základě požadavků |

| Škálování| Ruční | Automatické |

| Zpoždění | Nízké | 1–2 s |

Co je důležité

• Blokace podsítí /16–/8 zasahují >225 milionů IP, obchod přes AS Google.
• XHTTP v Cloud Run kompatibilní s load balancerem, Reality Seed chrání pakety.
• Domain fronting routuje infrastrukturou Google bez banů.
• Minimální zdroje: 128 MB/1 CPU pro pár klientů.
• Konfigurace v Secret Manager, sniffing vypnutý pro výkon.

— Editorial Team