Ocultar proxy SOCKS local en clientes VPN de Android para evadir detección
Los clientes VLESS populares en Android dejan un proxy SOCKS local abierto en un puerto fijo, lo que permite que las apps detecten la VPN y obtengan la IP externa del servidor. Pruebas con herramientas como RKNHardering lo confirman: incluso en modo de túnel dividido, la interfaz TUN, las rutas del sistema, las listas de paquetes y el proxy accesible son visibles. ¿La solución? Generar dinámicamente un puerto aleatorio y autenticación para SOCKS5 que sea inaccesible para otras apps.
Cómo funciona la detección y cómo contraatacar
Las apps escanean localhost en busca de puertos SOCKS abiertos. Los clientes estándar (v2RayTun, v2rayNG, Hiddify) no los ocultan, lo que provoca fugas. Aquí va el remedio:
- Genera un puerto aleatorio (como 45478) en cada inicio.
- Crea credenciales únicas automáticamente (p. ej., upu6CHvvV:ZJC3GMDXKOLFdPKAfxBxrHiU).
- Ejecuta el proxy solo para uso interno vía tun2socks.
Esto bloquea los escaneos: otras apps no pueden conectarse sin credenciales y no detectan la IP real.
Configuración técnica con Xray y tun2socks
Xray-core ofrece binarios multiplataforma para VLESS/VMess. Para soporte completo de TUN, reemplazamos el túnel nativo de Xray por tun2socks (compilación estática linux-arm64). La configuración:
- Inicia Xray con SOCKS5 en un puerto aleatorio.
- tun2socks enruta el tráfico del descriptor de archivo TUN al proxy.
- Un envoltorio Flutter + Kotlin + C++ gestiona los procesos.
Para evitar restricciones de Android 10+ (violaciones W^X): empaqueta los binarios como archivos lib/*.so.
Registro de ejemplo de inicio:
[2026-04-12T09:44:46.641632] [INFO] Iniciando VPN
[2026-04-12T09:44:46.641818] [INFO] Red subyacente configurada: 176
[2026-04-12T09:44:46.641946] [INFO] nativeSetMaxFds result (parent): 0
[2026-04-12T09:44:46.643867] [INFO] TUN establecida, dup fd=142
[2026-04-12T09:44:46.644004] [INFO] xray iniciado
[2026-04-12T09:44:46.644130] [INFO] Iniciando tun2socks (nativo): /data/app/~~_xfukaXUtA4X7kd1BmB4UA==/com.teapodstream.teapodstream-zTL0GGuDWxPk8XDn0VkAiw==/lib/arm64/libtun2socks.so -device fd://142 -proxy socks5://upu6CHvvV:[email protected]:45478 -mtu 1500 -loglevel error -tcp-sndbuf 524288 -tcp-rcvbuf 524288 -tcp-auto-tuning
[2026-04-12T09:44:46.644247] [INFO] tun2socks iniciado (pid=28880)
[2026-04-12T09:44:46.644399] [INFO] VPN conectadatun2socks params: MTU 1500, buffers TCP de 524288 bytes, autoajuste activado. El proceso rastrea el PID de tun2socks para apagados limpios.
Funciones del cliente
La implementación TeapodStream cubre casos de uso principales:
- Protocolos: VLESS, VMess, Trojan, Shadowsocks.
- Túnel dividido: excluye apps de la VPN.
- Suscripciones por URL con actualizaciones automáticas de config.
- Autenticación dinámica del proxy.
Pruebas contra detectores (del artículo original de vulnerabilidad VLESS y RKNHardering) no muestran fugas de SOCKS ni IP.
Lecciones clave
- Oculta el SOCKS local con puertos y credenciales aleatorios: es el truco para vencer escaneos de localhost.
- tun2socks + Xray ofrece TUN sólido sin dolores de cabeza del túnel nativo.
- Empaquetar binarios como .so evita SELinux de Android.
- Soporte de túnel dividido no oculta otras huellas (TUN, rutas).
- Código de fuente abierta permite verificar todo.
— Editorial Team
Aún no hay comentarios.