Hacker News Digest

Стандартный WireGuard блокируется сигнатурными методами, поэтому автор ищет альтернативные P2P VPN-решения с меш-топологией, открытым исходным кодом и без зависимости от WireGuard. Рассмотрены два варианта: EasyTier и Nebula.

EasyTier — минималистичный проект из Китая, использующий общий пароль для шифрования и поддерживающий множество протоколов для обхода блокировок. Не требует сложной настройки, но не позволяет закреплять IP-адреса за устройствами. Nebula от создателей Slack предлагает PKI на эллиптических кривых, собственный файрвол и зонирование, но требует ручного распределения сертификатов и имеет неудобный интерфейс через SSH. Оба решения упакованы в nixpkgs и подходят для создания самохостанных сетей без центрального сервера.

• Обсуждаются альтернативы P2P VPN: упоминаются Tinc, WireGuard, Nebula, Iroh, Yggdrasil, vpncloud, а также устаревшие проекты (Social VPN, Remobo и др.).
• Критикуется исключение Headscale из сравнения, так как он, по мнению участников, не связан с Tailscale и является полноценной open-source альтернативой.
• Уточняется, что SSH-интерфейс в Nebula предназначен только для отладки, а не для конфигурации, что было неверно истолковано в исходном посте.
• Отмечаются проблемы поддержки некоторых проектов (Tinc, по мнению ряда комментаторов, выглядит заброшенным).
• Обсуждаются технические нюансы: работа derper за обратным прокси, обфускация в AmneziaVPN без уменьшения MTU, идея использования VPN на втором уровне (L2).

Крупнейший немецкий провайдер Telefonica изменил работу DNS через два часа после того, как с его сети проверили мой сайт cuiiliste.de.
Сайт публикует список доменов, которые тайно блокирует частная организация CUII (четверка крупнейших ISP: Telekom, Vodafone, 1&1, Telefonica/o2).

Раньше блокировки легко выявлялись: DNS отдавал CNAME на notice.cuii.info. После публикаций CUII убрала эту метку, и Telefonica остался последним, кто её оставил.

В пятницу в 11:06 с IP Telefonica кто-то проверил домен blau-sicherheit.info (принадлежит самой Telefonica). Мой сервис показал «заблокирован». Через два часа Telefonica убрал CNAME и начал отвечать «домен не существует», что сломало мой скрипт.

Пришлось переписать логику: теперь я дополнительно фильтрую блокировки по известным спискам.

Совпадение? Скорее попытка скрыть будущие ошибки CUII и уменьшить прозрачность.

• Немецкая CUII раньше блокировала сайты без суда по внутреннему решению, но после критики теперь использует только судебные приказы.
• Участники считают, что цензура под предлогом авторского права всё равно остаётся, а старые блокировки не снимаются.
• Рекомендуют отказаться от DNS провайдера и переходить на зашифрованные (DoH/DoT) или распределённые решения, включая VPN, I2P, Yggdrasil.
• Некоторые подчёркивают, что технологические обходы важны, но конечное решение — политическое; другие считают, что «физический» уровень всегда остаётся последним рубежом.