Технический документ

Транспорт, который прячется на виду.

rVPN работает поверх WebSocket/TLS на порту 443 — том же порту и протоколе, что и обычный HTTPS. Для наблюдателей в сети туннель выглядит как обычный просмотр веб-страниц.

Он заменяет статический обмен ключами на алгоритм Double Ratchet, обеспечивая прямую секретность и безопасность после компрометации. Весь трафик мультиплексируется через небольшой набор WebSocket-соединений на порту 443.

Десктопные, CLI- и Android-клиенты используют BoringSSL, чтобы имитировать отпечаток ClientHello TLS 1.3 от Chrome, что помогает обходить глубокую проверку пакетов. Клиенты iOS используют rustls на чистом Rust: песочница Network Extension от Apple ограничивает модель памяти BoringSSL, поэтому iOS жертвует имитацией отпечатка ради стабильности. Сервер также использует rustls для входящих WebSocket-соединений и сам получает и продлевает сертификат Let’s Encrypt через ACME TLS-ALPN-01 на том же слушателе :443 — без внешних инструментов и таймеров продления.

// TLS 1.3 Chrome fingerprint
fn build_chrome_connector() {
    let mut builder = SslConnector::builder();
    builder.set_min_proto_version(TLS1_3);
    builder.set_cipher_list(
        "TLS_AES_128_GCM_SHA256:
         TLS_AES_256_GCM_SHA384:
         TLS_CHACHA20_POLY1305"
    );
    builder.set_alpn_protos(b"\x08http/1.1");
    builder.build()
}

Маленькая, стабильная форма соединения.

Начиная с v1.3.5, CLI- и десктопные клиенты мультиплексируют все прокси-потоки через пул долгоживущих WebSocket/TLS-соединений вместо открытия нового соединения на каждый поток. Мобильный режим прямого TUN всегда мультиплексировал всё через одно соединение; пул приносит то же свойство в режим SOCKS5/HTTP, не жертвуя параллелизмом.

От чего защищает rVPN.

Каждая строка связывает угрозу с механизмом, который её нейтрализует.

Динамическое, самовосстанавливающееся криптографическое состояние.

rVPN не использует статические рукопожатия, как OpenVPN или WireGuard. Его криптографическое состояние эволюционирует на протяжении всей сессии.

Встроенный продвинутый движок маршрутизации.

Клиент включает движок маршрутизации, который решает, какой трафик попадает в туннель, какой остаётся локальным, а какой блокируется.

Мультисерверная маршрутизация

Профиль может включать дополнительные выходные серверы, каждый со своими доменами маршрутизации (совпадение по суффиксу: google.com покрывает *.google.com) и IP/CIDR маршрутизации. Подходящий трафик выходит через этот сервер и никогда молча не откатывается на сервер по умолчанию. На мобильных устройствах резолвер работает внутри самого расширения туннеля: каждый выходной сервер разрешает имена через собственный канал DNS-over-HTTPS, а каждый ответ записывается в общую карту маршрутов с TTL этого ответа, так что последующие соединения к этим IP автоматически идут через тот же выход. Выходные серверы подключаются лениво при первом использовании и переподключаются независимо, каждый со своим закреплённым идентификатором TOFU.

Быстрая загрузка правил при запуске.

Клиент загружает в память при запуске встроенные списки маршрутизации и блокировки, а также необязательные пользовательские списки. Благодаря этому поиск для каждого соединения остаётся быстрым.

Как это работает

Домены сопоставляются в коллекциях HashSet с проверкой родительских доменов. Диапазоны IP хранятся в таблице совпадения по самому длинному префиксу. Всё загружается в память при запуске; сериализация без копирования и дельта-обновления запланированы для очень больших корпоративных наборов правил.

Нет интерфейса управления — нечего взламывать.

Открытие HTTP/REST API управления, RPC-интерфейсов или административных сокетов создаёт поверхность атаки для кражи учётных данных, повышения привилегий и эксплойтов нулевого дня.

У rVPN нет интерфейса управления. Все параметры, правила маршрутизации и соответствия ключей задаются в статических TOML-файлах, читаемых при запуске. Ни административных API, ни панелей, ни управляющих сокетов не существует, поэтому противник не может изменить состояние во время выполнения.