Tri načina na koja Rusija lomi vaš Xray poslužitelj, a samo je jedan blokada

Svakih nekoliko tjedana stigne isti tiket. Klijentov je VPS radio iz Rusije, onda jednog dana nije, a sad adresa iz Moskve izgleda mrtvo, dok odasvud drugdje odgovara besprijekorno. Zaključak se piše sam: DPI je prepoznao VLESS, poslužitelj je završio na popisu, IP je spržen.

Ponekad je upravo tako. Češće je riječ o jednoj od dvije druge stvari koje iz klijentove stolice izgledaju isto, a popravljaju se posve drukčije.

To je važno, jer je uobičajeni savjet — „prebaci prijenos na gRPC” — napola točan na način koji ga čini teškim za osporiti. On doista pomaže, i to iz razloga koji vrijedi razumjeti precizno. Samo ne pomaže protiv kvara koji vas stvarno stoji adrese, a mnogi posežu baš za njim umjesto za onim što bi pomoglo.

Evo što se doista događa, poredano po šteti koju čini.

1. Skeniranje: vaš poslužitelj odgovori na sondu, a odgovor ga oda

Ovo je ono što vas stvarno stoji cijelog IP-a.

U svibnju 2026. netko je skener VPN-ova ruskog tipa pustio na vlastiti poslužitelj i objavio izvješće. To je najkorisniji dokument o ovoj temi, jer pokazuje razmišljanje, a ne samo presudu. 7

Skener se ne zadržava na portu 443. Prolazi cijeli raspon, od 1 do 65535, u 500 niti, i na sve što odgovori baca nekoliko različitih sondi: HTTP GET, CONNECT, TLS ClientHello s namjerno neispravnim SNI-jem i sirove binarne podatke. Zatim uspoređuje odgovore.

Pravi web poslužitelj na različito smeće reagira različito. Posrednik sa statičkom pričuvom ne. Na ispitivanom poslužitelju port 2096 vratio je istih 41 bajt, bajt u bajt, na svaku sondu, počevši statusnim retkom HTTP/0.0 307 Temporary Redirect. Nijedan pravi nginx, Apache ni Caddy ne ispisuje verziju HTTP/0.0. Taj je jedan odgovor gotovo priznanje.

Izvješće slaže i nekoliko blažih tragova:

• Nema zaglavlja Server:. Postavlja ga svaki uobičajeni web poslužitelj. Njegov izostanak govori „vlastiti rukovatelj”, a ne „web stranica”.
• Certifikat s ukupno šest dana valjanosti. Javna certifikacijska tijela izdaju na 30 do 90 dana. Sve kraće od otprilike dva tjedna govori „ručno napravljeno”, dakle „ispitni stol”, dakle „posrednik”.

Skener je domaćina ocijenio s 48 od 100 i izrekao presudu OBVIOUSLY-VPN. Posljedica je, riječima samog izvješća, da nakupljene nepravilnosti prijeđu prag TSPU-a i „IP se dodaje na popis ugleda, a budući se tokovi odbacuju ili usporavaju dok se potpis ne promijeni”.

To je mehanizam na koji ljudi misle kad kažu da je IP blokiran. Stvaran je, radi na razini adrese, a okida ga ono što vaš poslužitelj odgovori kad mu se obrate — a ne protokol koji tunelirate.

2. Navala: tri rukovanja unutar pedeset milisekundi

Drugi je mehanizam ponašajni i sa sondiranjem nema veze.

Rasprava otvorena u Xray-coreu opisuje kako TSPU čita TLS ClientHello i ocjenjuje ga prema podmreži i autonomnom sustavu poslužitelja, prema SNI-ju i prema otisku preglednika. Otisci Chromea, Safarija i iOS-a iz sumnjivog raspona zadržavaju se; Firefox, Android, OkHttp i Edge prolaze. 3

Okida ga intenzitet. Tri ili više istodobnih TLS veza prema istom domaćinu unutar otprilike 20 do 50 milisekundi zamrzne ih sve na oko 120 sekundi. Odgovori li klijent mijenjanjem otiska usred zamrzavanja, to postaje 600 sekundi.

Zato je preglednik koji kroz tunel otvara stranicu mnogo gori od jednog preuzimanja. Suvremeni preglednici po zamisli otvaraju šest veza odjednom. To je točno oblik koji detektor traži.

3. Brojač: vaš petnaesti kilobajt

Treći je grublji i, na svoj način, elegantan. Cenzor prati TLS vezu prema stranom poslužitelju i zamrzne je čim vraćeni podaci prijeđu otprilike 15 do 20 KB — kasnije određeno kao oko 25 paketa u svakom smjeru.

Rasprava koja to dokumentira, otvorena 27. lipnja 2025., izričita je da nije riječ o podudaranju protokola: „Nije važno je li to ‚legitiman' HTTPS promet ili ga netko oponaša.” 2

To su one prijave „radi nekoliko sekundi pa umre”. Rukovanje i par malih zahtjeva stanu u proračun. Stranica sa slikama ne.

Kako ih razlikovati, jednim testom

Sva tri izgledaju isto jer cenzor veze zamrzava, a ne resetira. Nema RST-a, nema ICMP-a — rukovanje naprosto nikad ne završi i klijent sjedi dok mu ne istekne vrijeme, što se ne razlikuje od rute koja je otišla u prazno.

Iz pogođene mreže dohvatite nešto malo i jednostavno preko HTTP-a s iste adrese.

• Običan HTTP radi, TLS ne — mehanizam 2 ili 3. S adresom je sve u redu. U prijavi iz studenoga 2025. o blokadi REALITY-ja kod ruskog operatora autor je provjerio upravo to i utvrdio da se stranica na istom IP-u i dalje učitava. 4
• Ništa uopće ne odgovara — mehanizam 1. Na popisu ste ugleda i pomaže jedino nova adresa.

Te dvije minute vrijede truda, jer vam zamjena poslužitelja kod mehanizma 2 ili 3 kupuje otprilike petnaest kilobajta olakšanja prije nego što se nova adresa počne ponašati jednako. Ljudi to čitaju kao trenutno prženje novog IP-a. Ništa nije sprženo. Proračun je naprosto potrošen iznova.

Gdje gRPC stvarno pomaže, a gdje ne

Operatori uporno javljaju da se gRPC drži tjednima ondje gdje je čisti TCP bio otkriven u danima. To nije folklor ni sreća. To je mehanizam 2, a razlog je posve mehanički.

gRPC radi povrh HTTP/2, a Xrayeva dokumentacija izričito kaže što to donosi: „gRPC (HTTP/2) ima ugrađeno multipleksiranje. Uz gRPC i HTTP/2 ne preporučuje se uključivati mux.cool.” 5

Multipleksiranje znači da mnogo tokova dijeli jednu TCP vezu, pa time i jedno TLS rukovanje. Detektor navale traži tri ili više rukovanja prema istom domaćinu unutar pedeset milisekundi. Preglednik povrh čistog TCP-a otvori šest veza i proizvede točno takav oblik. Isti preglednik povrh gRPC-a proizvede jedno rukovanje sa šest HTTP/2 tokova unutra. Navale koju bi se otkrilo naprosto nema.

Dakle, ako ste prešli na gRPC i problem je nestao, evo zašto, i nemojte dopustiti da vas itko nagovori natrag.

Ono što ne radi jest odgovaranje na sondu. Ista stranica upozorava da su „gRPC usluge izložene aktivnom sondiranju” i preporučuje obrnuti posrednik ispred, koji promet dijeli po prefiksu putanje. Goli gRPC koji sluša na 443 skeneru svejedno odgovara, a na popis ugleda adresu šalje upravo mehanizam 1. Multipleksiranje tu ne mijenja ništa.

Vrijedi znati i kamo to ide. Prijenos gRPC označen je kao zastario: dokumentacija sada kaže „Preporučuje se prijeći na XHTTP.” 5 To je bilješka o migraciji, a ne razlog da čupate nešto što radi. XHTTP, uveden u prosincu 2024., multipleksira jednako kroz XMUX i dodaje ono što gRPC-u nedostaje: popunjavanje zaglavlja i razdvajanje uzvodnog i nizvodnog toka, pa nizvodni ide na nezavisnim GET zahtjevima, čime usput zaobilazi ograničenja gRPC-a koja nameću neki CDN-ovi. U usporedbi s WebSocketom izbjegava uočljiv ALPN http/1.1. 6

Prijelaz isplanirajte. Nemojte ga žuriti.

Slažite ih; nisu alternative

Pogreška ispod većine ovih rasprava jest tretirati to kao jedan izbor — REALITY ili gRPC, ovaj prijenos ili onaj. Tri su mehanizma neovisna, pa su i obrane neovisne, i one se slažu:

Poslužitelj koji vozi REALITY iza nginxa povrh multipleksiranog prijenosa odgovara na sva tri. Poslužitelj koji vozi samo jedno od toga odgovara na jedno.

Stavite pravi nginx ispred i pričuve usmjerite na njega. To je promjena s najvećom vrijednošću i ujedno prva preporuka samog izvješća: vozite pravi nginx s urednom kartom stranica s pogreškama i Xrayeve pričuve usmjerite na njega, da sve što nije valjano rukovanje dobije pravi HTTP od pravog web poslužiteljskog softvera. 7 To ubija statusni redak HTTP/0.0, vraća zaglavlje Server: i čini da se odgovori razlikuju od zahtjeva do zahtjeva, kao kod prave stranice. Poslužite na njemu stvarnu stranicu. Zadana nginxova stranica dobrodošlice bolja je od statičkog 307, a prava je stranica bolja od obojega.

Koristite pravi certifikat. Let's Encrypt uz automatsku obnovu. Šestodnevni samopotpisani certifikat sam je po sebi trag, a uklanjanje ne stoji ništa.

Pazite na SNI. Posuđivanje od Microsofta, Applea ili Googlea privlači pozornost; za domaće domaćine s velikim prometom javlja se da su kao meta posuđivanja znatno stabilniji. Blokiranje je izborno, a ne po maski, pa svjež poddomen na čistoj adresi često prođe. 8

Pazite na otisak, ali ne samo na njega. Javlja se da prebacivanje uTLS-a s Chromea na Firefox vraća vezu kod operatora koji Chrome zadržavaju. 8 No ocjena uzima u obzir i podmrežu i autonomni sustav, pa je savršen otisak u loše ocijenjenom rasponu i dalje loša veza.

Uzmite multipleksiran prijenos i pustite ga da multipleksira. gRPC ili XHTTP, uz isključen mux.cool — dokumentacija izričito kaže da ga se povrh HTTP/2 ne preporučuje uključivati. Vozite li gRPC iza nginxa, to je grpc_pass s prefiksom putanje, čime jednim postavljanjem dobivate i obranu od sonde i obranu od navale.

Ne dajte ničemu drugom na stroju da progovori. Skener prolazi svih 65535 portova. Svaka usluga koja odgovori još je jedna prilika da skupite nepravilnost. Prebacite SSH s porta 22 na visok port i zatvorite ga vatrozidom na poznate adrese.

Držite drugu lokaciju. Ne pričuvnu adresu u istom rasponu za rotaciju, nego doista drugo mjesto. Kad je kvar regionalan, pomaže drugi put, a ne drugi broj na istom putu.

I očekujte da će se to nastaviti mijenjati

Roskomnadzor je krajem 2025. blokirao VLESS pomoću TSPU-a, a većina je razvijatelja odgovorila novim konfiguracijama unutar nekoliko dana. 1 U tom ritmu to i ide, a proračun iza toga raste: kapacitet TSPU-a planira se do 2030. povećati dva i pol puta, na 954 terabita u sekundi, za otprilike 186 milijuna $ — dovoljno, po računici samog ministarstva, da se analizira sav promet Runeta i još pretekne.

Ništa od gornjih savjeta nije trajno. Dvije se stvari poopćavaju.

Ne hvataju vas zbog onoga što tunelirate. Hvataju vas jer izgledate kao stroj koji postoji radi tuneliranja — po onome što odgovara, po tome kako se spaja i po tome koliko šalje. Sve što poslužitelj čini nalik običnom web poslužitelju koji uz to nosi i drugi promet kupuje vam vrijeme.

I nijedna pojedinačna postavka nije odgovor. Otkrivanje je slojevito, pa i obrana mora biti. Ako vam netko kaže da jedan prijenos ovo rješava, pitajte ga koji od tri mehanizma rješava.

Izvori

1. Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max, Zona Media, 7. travnja 2026.
2. [Russia] Censor has a new method of blocking, net4people/bbs, otvoreno 27. lipnja 2025.
3. Russia blocks 2026, XTLS/Xray-core, 2026.
4. TCP + Reality gets blocked, XTLS/Xray-core, 23. studenoga 2025.
5. gRPC transport, dokumentacija Project X
6. XHTTP, XTLS/Xray-core, prosinac 2024.
7. How Bye Bye VPN Works in Russia, MHSanaei/3x-ui, 6. svibnja 2026.
8. Bypassing Russian GFW, XTLS/Xray-core