XRay dans Google Cloud Run : contournement des blocages de sous-réseaux

Déployer XRay sur Google Cloud Run pour contourner les blocages de sous-réseaux

Bloquer des sous-réseaux entiers de fournisseurs facilite le DPI mais cause des dommages collatéraux massifs. Au lieu de détections sophistiquées, les fournisseurs optent pour des interdictions générales sur les plages /16 et /8, en gelant les connexions après 16 Ko ou en supprimant complètement TLS. L'analyse révèle des impacts sur des centaines d'ASNs, bloquant des millions d'IP. Les contournements incluent le déploiement dans des sous-réseaux non bloqués de grands fournisseurs ou l'utilisation du domain fronting.

Réalité et alternatives simples

XTLS-Reality est excessif sans sondage actif : VLESS avec un certificat auto-signé et spoofing de domaine offre le même résultat. Ça marche même avec les CDN qui supportent des certificats personnalisés. Pour les blocages TLS, optez pour gRPC avec VLESS ou XHTTP avec multiplexage.

Déploiement sur Google Compute Engine

Lancez une instance e2-micro (0,25 vCPU, 1 Go RAM) sur Compute Engine :

• Choisissez la région la moins chère.
• Utilisez un disque standard sans sauvegardes.
• Autorisez le trafic HTTP/HTTPS.
• Restez sur IPv4 éphémère.

Installez XRay et configurez VLESS Enc avec Reality Seed pour contrer l'analyse de taille de paquets. SNI google.com passe crème car l'IP vient de l'AS de Google.

Optimisation des coûts avec Cloud Run : conteneurs à la demande

Passez au serverless avec Cloud Run pour réduire les frais :

• Allez dans Cloud Run > Services > Déployer un service web.
• Image : docker.io/teddysun/xray.
• Région : Tier 1, la plus proche.
• Port du conteneur : 8080.
• Ressources : 128 Mo RAM, 1 CPU (minimum pour >1 connexion).
• Mise à l'échelle : 0–1 instance, facturation par requête.
• Ingress : tout, timeout 3600s, concurrence 100+.

Montage de la configuration

Créez un secret dans Secret Manager avec votre config.json et montez-le en /etc/xray/config.json.

Exemple de config pour XHTTP (sniffing désactivé) :

{
  "log": {
    "loglevel": "info"
  },
  "inbounds": [
    {
      "port": 8080,
      "protocol": "vless",
      "tag": "pxy",
      "settings": {
        "clients": [
          {
            "id": "4c3fe585-ac09-41df-b284-70d3fbe27773",
            "email": "user1"
          }
        ],
        "decryption": "none"
      },
      "streamSettings": {
        "network": "xhttp",
        "xhttpSettings": {
          "path": "/secreturlxx"
        }
      },
      "sniffing": {
        "enabled": false
      }
    }
  ],
  "outbounds": [
    {
      "protocol": "freedom",
      "tag": "direct"
    }
  ]
}

Côté client : XHTTP avec XMUX (maxConnections=1, maxConcurrency=0). Le démarrage du conteneur prend 1–2 secondes.

Domain Fronting dans l'infrastructure Google

Se connecter à google.com résout une IP Google, mais Host pointe vers votre *.run.app — les requêtes transitent en interne dans l'AS. Les certificats sont émis correctement pour n'importe quel service Google (HTTPS/QUIC). Ce n'est pas du spoofing comme Reality : le trafic passe par la vraie infrastructure Google.

Config client : server=google.com, SNI=google.com, Host=xxxxxxxxx.run.app.

Limites et mise à l'échelle

• Nécessite une carte bancaire étrangère et vérification de résidence.
• Coûteux : option d'urgence pour 1–2 utilisateurs.
• Essai : 200 $ pour 3 mois.

Pour >1 connexion simultanée, déployez un proxy comme praveenkarunarathne/Google-Cloud-Run-Proxy avec env V2RAY_SERVER_IP=your_VPS.

| Paramètre | Compute Engine | Cloud Run |

|-----------|----------------|-----------|

| Démarrage | Toujours actif | À la demande (0–1 instance) |

| Tarification | Fixe/heure | Par requête |

| Mise à l'échelle | Manuelle | Auto |

| Latence | Faible | 1–2s |

Points clés

• Les blocages /16–/8 touchent >225 millions d'IP — contournez via l'AS Google.
• XHTTP sur Cloud Run s'entend bien avec les load balancers ; Reality Seed protège les paquets.
• Domain fronting transite par l'infra Google sans blocage.
• Ressources minimales : 128 Mo/1 CPU pour quelques clients.
• Config dans Secret Manager, sniffing désactivé pour la vitesse.

— Editorial Team