دور زدن مسدودسازی سایت‌ها

نگاه یک مهندس شبکه به اینکه مسدودسازی واقعاً چه شکلی است، چرا /etc/hosts و «از 1.1.1.1 استفاده کن» سال‌ها پیش از کمک کردن بازایستادند، و آن مجموعه کوچک از تکنیک‌هایی که هنوز پابرجاست.

دریافت VPN کارآمد Free for 3 days — no card required

مسدودسازی واقعاً چگونه کار می‌کند — چهار لایه

اکثر مقالات «چگونه مسدودسازی را دور بزنیم» فرض می‌کنند سانسورگر احمقانه‌ترین کار ممکن را انجام می‌دهد. در 2026 تقریباً هرگز چنین نیست. مسدودسازی معمولاً در چهار لایه روی هم انباشته می‌شود، و راه‌حلی که یکی را شکست دهد در برابر لایه بعدی شکست می‌خورد.

لایه ۱ — ربایش DNS. ISP شما برای دامنه مسدودشده یک IP غلط برمی‌گرداند. ارزان‌ترین و قدیمی‌ترین روش. با تغییر DNS به 1.1.1.1، 9.9.9.9 یا DNS-over-HTTPS (DoH) شکست می‌خورد. تقریباً هیچ سانسورگر بزرگی دیگر فقط به DNS تکیه نمی‌کند.

لایه ۲ — مسدودسازی IP. آدرس‌های IP سایت در لبه ISP رها می‌شوند. راه‌حل‌های DNS کمک نمی‌کنند: حتی با IP درست، بسته هرگز بیرون نمی‌رود. با مسیریابی از طریق هر نقطه پایانی مسدودنشده شکست می‌خورد.

لایه ۳ — بازرسی SNI. TLS hello شما نام دامنه را به‌صورت متن آشکار حمل می‌کند (فیلد SNI). DPI آن را بازرسی می‌کند و اگر دامنه در فهرستی باشد اتصال را رها می‌کند. ECH (Encrypted Client Hello) این را شکست می‌دهد — اما فقط اگر کلاینت شما و مقصد هر دو از آن پشتیبانی کنند، که در 2026 هنوز پراکنده است.

لایه ۴ — اثرانگشت پروتکل. سانسورگر به مقصد شما اهمیت نمی‌دهد — به این اهمیت می‌دهد که ترافیک شما چطور به نظر می‌رسد. OpenVPN، WireGuard، Shadowsocks ساده، IKEv2 — همگی شکل دست‌دادن قابل تشخیص دارند. به‌محض اثرانگشت‌گیری، اتصال بدون توجه به IP مقصد محدود یا رها می‌شود. این همان لایه‌ای است که هر پاسخ «فقط از یک VPN استفاده کن» را می‌شکند.

روش‌هایی که دیگر به‌تنهایی کار نمی‌کنند

ویرایش فایل hosts. ربایش DNS را شکست می‌دهد اما مسدودسازی IP را نه. فقط در برابر تنبل‌ترین فیلترینگ مفید است.

تغییر به DNS عمومی. همان داستان. در برابر مسدودسازی منطقه‌ای ارزان کمک می‌کند؛ در برابر هر فیلتر در سطح دولتی بی‌فایده است.

پروکسی‌های فقط-HTTP. هر سایت را مجبور می‌کند از واسطه‌های متن آشکار عبور کند که خودشان ظرف چند ساعت مسدود می‌شوند. همچنین هر سایت مدرنی را که به HTTPS نیاز دارد می‌شکند.

پروکسی‌های وب «رایگان» (سایت‌هایی که سایت‌های دیگر را در iframe بارگذاری می‌کنند). خود سایت پروکسی تقریباً بلافاصله در فهرست مسدودسازی قرار می‌گیرد. آنها همچنین یک فاجعه حریم خصوصی هستند — همه کارهایی که می‌کنید را می‌بینند.

افزونه‌های «VPN» مبتنی بر مرورگر. اکثرشان پروکسی‌های HTTP/SOCKS با پوسته بازاریابی هستند. در هر لایه بالاتر از بازرسی SNI شکست می‌خورند و ترافیک غیرمرورگری را پوشش نمی‌دهند.

Tor روی TCP ساده. از طریق دست‌دادن به‌راحتی اثرانگشت‌گیری می‌شود. فقط زمانی کار می‌کند که آن را در پل‌های obfs4 یا meek بپیچید، و حتی آنها به نگهداری فعال نیاز دارند.

روش‌هایی که هنوز کار می‌کنند

فهرست کوتاه است و در حال هم‌گرایی.

VLESS+Reality. ترافیک را درون یک دست‌دادن واقعی TLS 1.3 به یک سایت واقعی و پرطرفدار حمل می‌کند. برای DPI، اتصال شما از کسی که آن سایت را مرور می‌کند قابل تشخیص نیست. نه دست‌دادن ثابتی برای اثرانگشت‌گیری، نه گواهی جعلی‌ای برای علامت‌گذاری. توضیح کامل پروتکل.

Trojan-GFW. برادر مفهومی Reality — آن هم وانمود می‌کند HTTPS به یک سایت واقعی است، با انتخاب‌های طراحی کمی متفاوت. در بسیاری از مناطق هنوز کار می‌کند، با ملاحظات مشابه.

Hysteria2 / TUIC. پروتکل‌های مبتنی بر QUIC که از دشواری DPI در مدیریت UDP در مقیاس بزرگ بهره می‌برند. توان عملیاتی عالی در جایی که کار می‌کنند؛ برخی شبکه‌ها UDP/443 را به‌طور کامل مسدود می‌کنند.

Shadowsocks-2022 از طریق CDN. پیش از Reality اسب کاری بود. وقتی توسط یک CDN بزرگ که سانسورگر نمی‌تواند مسدودسازی کاملش را تحمل کند جلوبندی شود، هنوز قابل استفاده است.

Tor بسته‌بندی‌شده (obfs4، meek، snowflake). تأخیر بالاتر، اما برای موارد استفاده کم‌پهنای‌باند مقاوم است. به‌ویژه Snowflake مسدودسازی را پرهزینه می‌کند چون ترافیک را از طریق تب‌های مرورگر داوطلبان مسیریابی می‌کند.

ترکیب لایه‌ها — چرا یک کلاینت هوشمند مهم است

ابزار دور زدن مدرن یک پروتکل نیست؛ مجموعه‌ای از گزینه‌های بازگشتی است. کلاینت می‌سنجد کدام نقل‌وانتقال در حال حاضر از شبکه شما کار می‌کند — TLS به یک SNI پوششی واقعی، سپس UDP اگر آن شکست خورد، سپس یک نقطه پایانی با جلوبندی CDN به‌عنوان گزینه سوم. تصمیم در میلی‌ثانیه گرفته می‌شود، شفاف برای برنامه‌ها.

این همان کاری است که VnePN در سمت کاربر انجام می‌دهد. اشتراکی که وارد می‌کنید چندین نقطه پایانی دارد؛ کلاینت آن را که بهترین دست‌دادن را در شبکه شما دارد انتخاب می‌کند و اگر شرایط تغییر کند به‌طور خودکار بازمی‌گردد. شما «VPN متصل شد» را می‌بینید — زیر کاپوت ممکن است پروتکل بین صبح و عصر خودش را عوض کرده باشد.

نیمه دیگر این است که چه چیزی از تونل عبور نمی‌کند. مسیریابی هر بسته از طریق VPN برنامه‌های بانکی داخلی، خدمات دولتی و درگاه‌های پرداخت محلی را می‌شکند. مسیریابی هوشمند این‌ها را به‌طور خودکار دور می‌زند — IP‌های بانکی روسیه و کشورهای شوروی سابق مستقیم می‌روند، همه چیز دیگر از تونل. این رایج‌ترین حالت شکست تنظیمات ساده‌انگارانه VPN را کنار می‌گذارد.

وقتی به هیچ چیز پیچیده‌ای نیاز ندارید

اگر مسدودسازی شما در Wi-Fi شرکتی، شبکه مدرسه یا یک هات‌اسپات عمومی است — تقریباً هر VPN کار می‌کند. این اپراتورها به جعبه‌های فیلترینگ تجاری ارزان تکیه می‌کنند که در سطح پروتکل اثرانگشت‌گیری نمی‌کنند. WireGuard یا OpenVPN روی TCP/443 کافی است.

اگر مسدودسازی شما در لبه کشور است — روسیه، ایران، چین، بخش‌هایی از خلیج — حداقل به VLESS+Reality، Trojan یا Hysteria نیاز دارید. پروتکل‌هایی که پیش‌تر فهرست شدند به‌طور خاص در برابر این دسته از مسدودسازی طراحی شده‌اند. راهنمای ویژه روسیه · مطالعه موردی ChatGPT.

اگر مسدودسازی شما سمت سرویس است (سایتی که محدوده IP کشور شما را مسدود می‌کند) — هر VPN با یک گره خروج خارج از کشور شما کافی است. پروتکل کمتر اهمیت دارد؛ بر اساس سرعت و فهرست کشورها انتخاب کنید.

Frequently Asked Questions

از نقل‌وانتقالی استفاده کنید که در 2024 منسوخ نشده بود

VLESS+Reality با گزینه‌های بازگشتی هوشمند و یک جدول مسیریابی که برنامه‌های داخلی را نمی‌شکند. 3 روز رایگان، بدون کارت.

دریافت VPN کارآمد