𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ - как устроен наш VPN
𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺЭта статья - о том, что происходит между нажатием кнопки «Подключиться» и мгновением, когда сеть перестаёт вас узнавать.
Коротко о главном
𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ - не обёртка над чужим сервисом. Свои серверы в восьми странах, свой протокол NOTFOUND 2.0, свои приложения для Windows, Linux и Android, свой ключ вместо логина и пароля. Между вами и сетью нет посредника, которому пришлось бы верить на слово.
Протокол: AmneziaWG второго поколения
В основе тоннеля лежит AmneziaWG 2 - модернизированное нами второе поколение протокола. От WireGuard он берёт скорость и современную криптографию: рукопожатие на эллиптических кривых, шифрование AES-256-GCM, отсутствие лишних слоёв между вашим пакетом и сетью.
Проблема классического WireGuard не в стойкости, а в узнаваемости. Его рукопожатие всегда одной длины, заголовки начинаются с одних и тех же четырёх байт, и системе глубокого анализа трафика не нужно ничего расшифровывать: ей достаточно увидеть форму пакета. Дальше решение принимается за вас.
AmneziaWG 2 ломает саму форму:
- перед рукопожатием в канал уходят мусорные пакеты случайной длины - анализатор видит шум там, где ждал начало сессии;
- служебные пакеты добиваются до нестандартных размеров - привычная сигнатура «ровно столько-то байт» перестаёт совпадать;
- магические числа в заголовках заменены на собственные - те четыре байта, по которым протокол опознавали, больше ничего не значат;
- второе поколение добавляет маскировочные пакеты произвольной формы - тоннель может начинать разговор так, как это делают совсем другие протоколы.
В итоге для сети наш трафик выглядит не как «VPN, который решили пропустить», а как трафик без имени. Опознавать нечего.
Личная обфускация
Здесь начинается главное отличие 𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ от всех, кто просто взял готовый протокол и поднял его по инструкции.
Параметры маскировки у нас не общие. Каждый сервер получает собственный набор: свои длины мусорных пакетов, свои добивки, свои заголовки, свои маскировочные последовательности. Набор рождается в момент, когда узел заводится, и больше не повторяется нигде - ни на соседнем сервере, ни у другого провайдера, ни в чьих-либо готовых списках сигнатур.
Следствие простое. Даже если бы кто-то потратил месяцы и собрал отпечаток по одному нашему серверу, на следующем этот отпечаток не сработает: там другая длина шума, другие смещения, другие числа в заголовках. Закрывать пришлось бы каждый узел отдельно и каждый раз с нуля.
Параметры едут к вам вместе с конфигурацией и нигде по дороге не пересчитываются. Разойдись они хоть на байт - тоннель просто не поднимется. Это же свойство работает как защита: на чужой ключ сервер молча не отвечает. Ни ошибки, ни отказа, ни намёка. Для стороннего сканера порт выглядит мёртвым.
Что происходит, когда вы нажимаете «Подключиться»
- Приложение отправляет ваш ключ
NFVPN-…и постоянный идентификатор установки. Ключ всегда идёт в теле запроса, а не в адресе - иначе он оседал бы в журналах промежуточных серверов, до которых нам уже не дотянуться. - Панель проверяет подписку и выбранную локацию, создаёт отдельную пару ключей именно для этого устройства и заводит его на нужном узле.
- В ответ приходит готовая конфигурация: адрес узла, порт, публичный ключ сервера, DNS и полный набор параметров обфускации этого конкретного сервера.
- Клиент поднимает тоннель. Дальше в него уходит весь трафик целиком, включая запросы имён: DNS резолвится внутри периметра узла, а не у вашего провайдера.
Повторная активация с тем же идентификатором возвращает ту же конфигурацию и не занимает новый слот - поэтому переустановка приложения или обновление системы ничего не ломают.
Серверы
Восемь локаций, и все они - арендованные нами машины, а не перепроданный чужой пул:
- 🇫🇮 Финляндия
- 🇸🇪 Швеция
- 🇳🇱 Нидерланды
- 🇩🇪 Германия
- 🇱🇹 Литва
- 🇮🇹 Италия
- 🇨🇭 Швейцария, Цюрих
- 🇺🇸 США, Нью-Йорк
На каждом узле - изолированный контейнер с тоннелем, собственный резолвер имён во внутренней сети и служебный агент, который заводит и отзывает устройства по команде панели. Ключи сервера живут внутри контейнера и наружу не выгружаются никогда: ни в резервную копию, ни в образ, ни в репозиторий.
Наружу узел отвечает ровно на три вещи: порт тоннеля, служебный канал управления, открытый только для адреса панели, и ping. Всё остальное уходит в тишину.
Ping оставлен намеренно - по нему приложение меряет задержку и рисует её рядом с каждой страной. Вы выбираете сервер глазами, а не наугад.
Узлы не знают друг о друге и ничем не связаны между собой. Падение одной страны - это одна страна, а не сервис. И новый узел заводится не «установкой по инструкции»: параметры маскировки для него генерируются заново, поэтому расширение сети никогда не размножает один и тот же отпечаток.
Ключ вместо аккаунта
В 𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ нет ни логинов, ни паролей, ни почты, ни привязки к соцсетям. Есть одна строка - NFVPN-… - и она работает на Windows, Linux и Android одновременно, в пределах лимита устройств вашего тарифа. Забыть пароль здесь невозможно по устройству системы: его нет.
Устройствами вы распоряжаетесь сами: список, удаление по одному, полный сброс с мгновенным отзывом ключей сразу на всех узлах. Потерянный ноутбук перестаёт быть вашей проблемой за два касания.
Приложения
Windows - установщик. Linux - один файл AppImage, которому достаточно права на запуск. Android - APK. iPhone, iPad и Mac - готовый файл конфигурации.
Обновления на десктопе ставятся сами: кнопка рядом с версией, дальше приложение делает всё за вас и возвращается в рабочее состояние. На Android обновление ставит системный установщик с вашим подтверждением - заменять собственный APK приложение не вправе, и обхода тут нет ни у кого.
Честно о приватности
Мы не заводим аккаунтов и не просим ни одного документа. Из технического сервис держит короткую суточную статистику работоспособности - она нужна ровно затем, чтобы отличать «узел лёг» от «у провайдера ночь», и уходит вместе с сутками.
Содержимое ваших соединений в неё не попадает и попасть не может. Внутри тоннеля всё зашифровано, а поверх тоннеля работает шифрование ваших же приложений: почта, мессенджеры, банк. Мы видим их ровно так же, как ваш провайдер после подключения - то есть никак.
Итог
Хороший VPN - тот, о котором не думаешь. Он не спрашивает паспорт, не выдумывает аккаунты, не мигает окнами и не заставляет разбираться в протоколах, чтобы просто открыть страницу.
Мы собрали 𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ именно таким: современный протокол второго поколения, личная обфускация на каждом сервере, восемь стран, один ключ - и тишина в ответ на любой чужой запрос.
𝐍𝐎𝐓𝐅𝐎𝐔𝐍𝐃ⱽᴾᴺ - вас здесь нет.