Chameleon 4.5

Нагрузочный тест хаба на реальной RU-ноде (2 vCPU, 2 ГБ). Хаб ограничен одним ядром (CPUQuota=100%) и 700 МБ RAM. Нагрузку подаёт отдельная машина: 10% пользователей активны (20 пакетов/с по 1000 Б), остальные раз в 2 с шлют keepalive. На каждой ступени 60 с измерений.

Сколько пользователей держит одно ядро

Свой порт у каждого пользователя

• RU-нода: пользователь слота N подключается к порту база+N. Хаб сразу знает, чей это пакет, и не перебирает ключи всех пользователей.
• Плечо до выхода: ks-relay держит отдельный сеанс на каждого пользователя: порт база+N и ключ HMAC(master, N). Выход видит внутренний адрес пользователя, общего SNAT нет.
• Ленивое окно ключей: пока пользователь молчит, хаб держит 256 позиций вместо 8192. Памяти и CPU нужно примерно в 30 раз меньше, байты на проводе прежние.

Как нас видит DPI/ТСПУ

Мы воспроизвели опубликованные методы обнаружения VPN (сигнатуры, правило «полностью зашифрованный трафик» FET, ритм простоя, ACK-эхо, активные зонды) и пять политик блокировки, а затем прогнали через них KS, CITP и для сравнения WireGuard, OpenVPN и обычный HTTPS. Меньше признаков — труднее отличить от обычного трафика.

• Что исправили: у CITP пропал ровный 5-секундный «пульс», зонд закрывается в случайный момент, первый пакет выглядит как TLS-запись, сервер слушает и 443; у KS убрано ACK-эхо (паддинг мелких пакетов) и снята чувствительность к сбитым часам (раньше дрейф ±9 с ломал связь, теперь держит ±30 с).
• Политики: CITP работает при блокировке UDP, бане IP за UDP и когда открыты только порты ниже 1000. KS при блокировке UDP не работает — для этого и нужен AUTO. «Заморозку» соединения после 16 КБ пока не переживает ни один протокол.
• Живая проверка (Россия → зарубежный сервер): все шесть протоколов 56/56 загрузок, вмешательства сети не видно.
• Оговорка: это модель по открытым публикациям, а не настоящий ТСПУ. Полноценный разбор TLS увидит, что за заголовком CITP не TLS.

Запустить у себя

./bench/bench.sh          # 1 скорость · 2 пользователи/ресурсы · 3 скорость/число пользователей
./bench/bench.sh status   # пройденные чекпоинты; после обрыва продолжит с того же места

Свой сервер за 5 минут

git clone https://github.com/xfgx/Chameleon-CITP-VPN chameleon && cd chameleon
make setup && ./bin/chameleon-setup     # Windows: bin\chameleon-setup.exe

Мастер спросит адреса RU-ноды и выхода, порты (auto / default / свой) и число пользователей. Потом он заменит все заглушки в репозитории и запишет готовые команды запуска в .chameleon-setup/RUN.md. Откатить: chameleon-setup -undo.

Нужны тестеры

Chameleon бесплатный и открытый. Нам нужны люди с разными провайдерами и в разных городах: мобильный интернет, домашний, офисный Wi-Fi. Оставьте заявку ↗: город, провайдер и устройство. Мы пришлём ключ.

Открытый исходный код Chameleon CITP — VPN‑клиентов для Android и Windows, общего ядра на Go, серверной ноды и спецификации протокола. Реальные адреса, порты, ключи и токены заменены заглушками (vpn.example.com, 203.0.113.x, <port>); логика кода не менялась.

Ветки

Возможности

• AUTO — клиент пробует транспорты CITP, KS и ChaosSync и держится за тот, что проходит в текущей сети; итоги сеансов учитываются при следующем выборе.
• Российские сайты напрямую, остальное — через VPN.
• Подписанный DNS (v2) — ответы о выборе узла проверяются клиентом, без тихого отката при ошибке.
• Фоновый маскирующий трафик ограничен по объёму и времени.
• Обновления в приложении со сверкой SHA‑256 пакета.

Состав репозитория

Сборка

Нужны Go ≥ 1.26; для Android — Android SDK 34, gomobile, Gradle 8.7; для Windows — .NET 10 SDK и NSIS 3.

git clone https://github.com/xfgx/Chameleon-CITP-VPN chameleon && cd chameleon
make build test vet            # всё Go-ядро, серверы и утилиты

# Сервер (linux/amd64)
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags "-s -w" ./cmd/cham-server

# Ядро Windows
GOOS=windows GOARCH=amd64 go build -trimpath -ldflags "-H=windowsgui" ./cmd/chamd

# Android: ядро + APK
gomobile bind -target=android -androidapi 23 -o android/app/libs/mobilecore.aar ./mobilecore
cd android && gradle assembleRelease

Своя инсталляция

DNS‑аутентификация v2 не принимает старые MAC: клиенты и все узлы цепочки обновляются вместе.

Свой сервер за 5 минут

make setup && ./bin/chameleon-setup: 8 вопросов (адреса нод, порты auto/default/свой, число пользователей, домен), замена всех заглушек, ключ плеча в secrets/, команды запуска в .chameleon-setup/RUN.md. Для Windows есть chameleon-setup.exe.

Бенчмарк

./bench/bench.sh: сравнение скорости, максимум пользователей на разных ресурсах, скорость при разном числе пользователей. После каждого шага сохраняется чекпоинт, результаты в разделе Бенчмарки.

Безопасность

• Модель угроз — THREAT_MODEL.md, сообщения об уязвимостях — по SECURITY.md, не в открытых issue.
• make security ищет случайно закоммиченные секреты и уязвимые зависимости.
• CI на GitHub только собирает и тестирует код и не имеет доступа к серверам проекта.

Устранение неполадок

• Нода молчит — так задумано: на неаутентифицированные запросы нода отвечает 0 байт. Проверьте allowlist и ключи.
• Windows не поднимает туннель — откройте «Диагностику» и нажмите «Проверить и исправить»: приложение запустит BFE, брандмауэр и службу ChameleonBroker.
• KS не подключается — проверьте синхронизацию времени Windows; AUTO переключится на CITP.

Лицензия

MIT, см. LICENSE и LICENSE-NOTICE.md. Сторонние компоненты (Wintun, .NET и Go‑модули) распространяются под своими лицензиями — список в packaging/THIRD-PARTY-NOTICES.txt.