Дадаць злучэнне

Адно і тое ж злучэнне — альбо на роўтары, альбо ў КвасПро

Калі тунель ужо падняты на самым роўтары (напрыклад, WireGuard наладжаны ў яго ўласным інтэрфейсе, міма КвасПро), дадаць такое ж злучэнне ў прадукт нельга: сервер WireGuard абслугоўвае пару ключоў па апошнім рукапацісканні, і трафік ішоў бы «кудысьці аднаму». Прадукт правярае гэта сам: пры даданні злучэння ён глядзіць паднятыя на роўтары тунелі і, калі супаў публічны ключ або адрас сервера, адмаўляе і называе інтэрфейс.

Праверка магчымая толькі там, дзе на прыладзе ёсць служба WireGuard, якой можна задаць пытанне (wg show). Калі яе няма або яна недаступная, прадукт праверыць гэта не можа — тады, калі ласка, упэўніцеся самі: не выкарыстоўвайце адно і тое ж злучэнне і на роўтары, і ў КвасПро.

Якія тыпы правяраюцца. Усе: WireGuard — па стане ядра роўтара (wg show), а VLESS, TrustTunnel і іншыя — па канфігурацыях самога роўтара (яго ўласныя інтэрфейсы, Xray/v2ray/sing-box, OpenVPN, Amnezia) і па ўжо дададзеных злучэннях прадукту. Супаў адрас сервера або асоба злучэння — даданне спыняецца з тлумачэннем.

Што такое «злучэнне»

Злучэнне — гэта абаронены канал, па якім Квас Про выводзіць ваш трафік у інтэрнэт. Уявіце закрытую трубу ад роўтара да сервера ў іншай кропцы сеткі: даныя ўнутры яе не бачныя ні правайдэру, ні староннім, а сайты бачаць адрас сервера, а не ваш. Менавіта праз такое злучэнне працуюць доступ да сайтаў па белым спісе і абыход блакаванняў.

Злучэнняў можна завесці некалькі — напрыклад, асноўнае і рэзервовае — і накіроўваць розныя сайты або розныя прылады праз розныя каналы. Усе злучэнні бачныя і наладжваюцца на экране «Сетка → Злучэнні».

Кожнае злучэнне паказанае карткай: у шапцы — сцяг краіны злучэння (ручны выбар чалавека ў картцы мацнейшы за аўтаматычнае вызначэнне па адрасе; калі краіна не вызначана — аднаколерны шчыт), імя, назва пратакола словам пад ім, адрас сервера, статус (працуе ці не) і тып. У службовых маршрутаў «Наўпрост» і «Блакаваць» у шапцы стаяць стрэлка і крыжык: гэта стан, а не кнопка — націснуць іх нельга. Побач кнопкі «Праверыць», «Змяніць», «Выдаліць». Асобная картка «+ Дадаць злучэнне» запускае майстар. Дзве сістэмныя ўкладкі — «Наўпрост» (трафік ідзе міма VPN, звычайным шляхам) і «Блакаваць» (трафік закрываецца) — прысутнічаюць заўсёды і не выдаляюцца.

WireGuard

WireGuard (хуткі і надзейны сучасны VPN-пратакол) даступны без аплаты і без абмежаванняў. Часцей за ўсё яго наладка зводзіцца да таго, каб загрузіць файл профілю, які выдаў ваш VPN-сэрвіс: майстар сам разбярэ яго і запоўніць поля.

Спосабы дадаць WireGuard:

• файл .conf — самы просты шлях: перацягніце файл, атрыманы ад сэрвісу;
• спасылка на профіль;
• свой сервер (VPS) — Квас Про сам наладзіць серверную частку (гл. ніжэй);
• уручную — калі хочаце ўвесці параметры самі.

Пасля захавання Квас Про падыме канал і пакажа яго статус, краіну, знешні і лакальны адрас, час працы, затрымку і хуткасць.

Іншыя пратаколы

VLESS (Reality) (пратакол з маскіроўкай трафіку — яго складаней распазнаць і заблакаваць) і TrustTunnel (тунэль праз давераны сервер) даступныя без абмежаванняў. А ў выпуску 1.0.24 да іх дададуцца Hysteria2, AnyTLS, ShadowTLS і Shadowsocks-2022 разам з усталяваннем сервернай часткі (TUIC і Trojan у план бліжэйшых выпускаў не ўваходзяць). Дадаюцца яны гэтак жа: новае злучэнне, загрузка профілю або спасылкі, захаванне.

Свой сервер (VPS) — наладка за вас

VPS — гэта арандаваны ў інтэрнэце сервер (віртуальная машына, якую вы здымаеце штомесячна). Калі такі сервер у вас ёсць, Квас Про можа наладзіць яго серверную частку сам — быць сістэмным адміністратарам не трэба.

На экране «Сетка → Свае серверы» націсніце «+ Дадаць сервер», укажыце яго адрас і даныя для ўваходу па SSH — і праграма вызначыць аперацыйную сістэму, усталюе патрэбны пратакол і падрыхтуе гатовы профіль злучэння.

TrustTunnel: адкуль бярэцца кліент і як праверыць яго стан

TrustTunnel — тунэль праз давераны сервер. У адрозненне ад астатніх пратаколаў, яго абслугоўвае не ўбудаванае ядро, а асобная невялікая праграма на роўтары: Квас Про сам ставіць яе пры абнаўленні і сам сочыць за яе версіяй. Асобна спампоўваць і наладжваць нічога не трэба.

Што гэта значыць на практыцы:

• профіль злучэння (файл або спасылка tt://, атрыманыя ад сервера) дадаецца на экране «Сетка → Злучэнні» гэтак жа, як астатнія;
• праграма-кліент ставіцца разам з абнаўленнем прадукту і абнаўляецца разам з ім жа — версія, якая працуе, замацаваная ў выпуску;
• унутраны канал паміж Квас Про і гэтай праграмай слухае толькі сам роўтар (127.0.0.1) і вонкі не адкрываецца.

Як праверыць стан. На экране «Абслугоўванне → Дыягностыка» ёсць радок «Лакальны кліент TrustTunnel»: ён паказвае, ці знойдзены кліент, яго версію і шлях. Радок з’яўляецца толькі тады, калі ў вас ёсць злучэнне гэтага тыпу.

Калі кліента на роўтары няма (напрыклад, абнаўленне прайшло не цалкам), Квас Про не робіць выгляд, што ўсё ў парадку:

• злучэнне з непрацуючым кліентам пазначаецца прама ў картцы зразумелым надпісам «Лакальны кліент не ўсталяваны» з тлумачэннем, што трафік гэтай групы нікуды не ідзе;
• у журнале з’яўляецца прычына з пералікам месцаў, дзе кліента шукалі;
• у дыягностыцы радок робіцца памылкай.

Лячыцца гэта абнаўленнем прадукту: дастаўка кліента ўваходзіць і ва ўсталёўшчык, і ў абнаўленне па паветры. Выдаленне Квас Про прыбірае і кліента, і яго налады — пры ўмове, што кліента ставіў прадукт; пастаўлены вамі ўручную ён не чапае.

Майстар дадання злучэння

Майстар правядзе па шасці кроках — шкала ўнізе паказвае, дзе вы зараз: Тып · Метад · Даныя · Дадатк. · Імя · Гатова.

1. Тып — выберыце пратакол: WireGuard, VLESS Reality або TrustTunnel.
2. Метад — адкуль узяць налады: файл профілю, спасылка, свой сервер (VPS) або ручны ўвод. Набор спосабаў залежыць ад выбранага пратакола.
3. Даныя — загрузіце файл, устаўце спасылку або запоўніце форму. Для варыянту «свой сервер» — выберыце сервер з дададзеных раней.
4. Дадаткова — Квас Про паказвае, што ён разабраў з вашых даных, і папярэджанні, калі яны ёсць. Напрыклад, бэйдж «Адрас не ўнікальны» азначае, што такі ж унутраны адрас ужо заняты іншым уключаным каналам, — варта паправіць, інакш злучэнні будуць перашкаджаць адно аднаму.
5. Імя — зразумелая назва канала (запаўняецца аўтаматычна, але яго можна змяніць) і, пры жаданні, апісанне.
6. Гатова — выніковая зводка. Сакрэтныя ключы ў ёй схаваныя. Націсніце «Праверыць падключэнне», а затым «Захаваць».

Падпіска па спасылцы — адразу некалькі вузлоў

Калі ў вас ёсць спасылка на падпіску (яе выдае сервер або панэль правайдэра), вузлы з яе можна дадаць адразу, не пераносячы кожны ўручную.

1. На экране «Злучэнні» націсніце «Дадаць па спасылцы на падпіску».
2. Устаўце спасылку і націсніце «Праверыць». Прадукт спампуе спіс і пакажа вузлы: краіну, пратакол і затрымку адказу — вузлы без адказу стаяць у канцы.
3. Адзначце патрэбныя галачкамі і націсніце «Імпартаваць выбраныя».

Спасылка прымаецца ў любым з хадавых выглядаў, якія аддаюць правайдэры: спіс спасылак, той жа спіс адным закадаваным радком, файл JSON або спіс вузлоў Clash.

Што прадукт гаворыць сумленна. Над спісам відаць, колькі вузлоў усяго, колькі прынята і колькі адкінута, і чаму адкінута: вузел неподтрыманага пратакола, біты радок або ўсё звыш мяжы ў 500 вузлоў. Вынік імпарту называе, што дададзена, што абноўлена і якія вузлы зніклі са свежага адказу падпіскі — ні адно злучэнне пры гэтым не выдаляецца: выдаленне заўсёды застаецца за вамі. Вашы перайменаванні і прызначаныя групы паўторны імпарт не сцірае.

Бяспека. Спасылка спампоўваецца толькі па абароненым злучэнні і толькі на стандартны порт; імя і пароль у адрасе і частка пасля знака «#» не прымаюцца, ланцуг перанакіраванняў — не больш за тры, і кожнае правяраецца нанова. Сама спасылка — сакрэт: яна не трапляе ні ў журнал, ні ў тэкст памылкі, а пасля закрыцця акна сціраецца з інтэрфейсу.

Як змяніць налады існуючага злучэння

Злучэнне не трэба выдаляць і ствараць нанова, калі штосьці памянялася на баку сервера: адрас, порт, ключы або ўнутраныя адрасы. У радку дзеянняў над карткай ёсць кнопка «Рэдагаваць злучэнне» (значок шасцярні).

• Імя і ўключанасць — як і раней: перайменаваць канал або часова выключыць яго можна ў тым жа ваконцы.
• Адрасы, порт, MTU, інтэрвал праверкі — правяцца прама ў ваконцы, побач з кожным полем відаць прычына адмовы, калі значэнне ўведзенае няправільна.
• Сакрэты (прыватны ключ, агульны ключ, ідэнтыфікатар, пароль) у ваконцы не паказваюцца. Поле пустое — значыць «пакінуць ранейшае значэнне»; каб замяніць сакрэт, упішыце новы, і ён пойдзе на прыладу замест старога.
• Пратакол злучэння не мяняецца. Каб перайсці з WireGuard на VLESS або наадварот, стварыце новае злучэнне: у розных пратаколаў розны набор палёў і розныя правілы маршрутызацыі.
• Спосаб перадачы, шыфраванне і мультыплексаванне — у профілю VLESS, і запасны канал — у любога злучэння: пра гэта ніжэй.

Спосаб перадачы, шыфраванне і мультыплексаванне

У злучэння VLESS ёсць тры налады, якія раней прыходзілі толькі са спасылкай профілю, а цяпер выбіраюцца ў ваконцы праўкі: спосаб перадачы, шыфраванне і мультыплексаванне. Картка злучэння называе дзейныя значэнні: спосаб перадачы, шыфраванне (адмова ад шыфравання — чырвоным) і рэжым мультыплексавання.

• Спосаб перадачы — як паток даных ідзе ад роўтара да сервера. Звычайны TCP працуе амаль усюды і застаецца выбарам па змоўчанні. WebSocket (ws), HTTPUpgrade і HTTP/2 (http) — шлях праз пасярэдніка (такую сетку дастаўкі называюць CDN): яны выручаюць, калі адрас вашага сервера абрэзаны або злучэнне нестабільнае. Для гэтых трох спосабаў ваконца спытае шлях запыту (звычайна «/»; ён мусіць супадаць з наладай сервера) і, пры жаданні, імя сайта (Host) — імя сайта, пад якое маскіруецца трафік; пустое поле — падстаўляецца адрас сервера.
• Шыфраванне — што абараняе змест канала. Reality — як раней: канал выглядае як звычайны зварот да чужога абароненага сайта. TLS — звычайнае шыфраванне, зручнае для вузла за CDN. Без шыфравання — выбар толькі экспертнага рэжыму, і побач з ім стаіць чырвонае папярэджанне: змест канала не шыфруецца, яго бачаць правайдар і любы вузел на шляху.
• Мультыплексаванне — некалькі патокаў праз адно злучэнне (h2mux або smux). Дапамагае, калі злучэнне ўстае на буйных пакетах. Уключайце, толькі калі сервер наладжаны на той жа рэжым: звычайна значэнне прыходзіць разам з профілем.

Несумяшчальнае спалучэнне прадукт не захоўвае і тлумачыць прычыну словамі — да націску «Захаваць», а не пасля:

• маскіроўка патоку (рэжым, пры якім канал выдае сябе за звычайны сайт) працуе толькі на звычайным TCP і не спалучаецца з мультыплексаваннем;
• WebSocket, HTTPUpgrade і HTTP патрабуюць шляху запыту;
• адмова ад шыфравання не працуе паверх WebSocket і HTTPUpgrade: яны перадаюцца толькі праз абароненае злучэнне;
• для Reality і TLS патрэбнае імя сервера.

Праверка сертыфіката сервера не адключаецца ні адным профілем, а профілі, створаныя ранейшымі версіямі, чытаюцца як раней і даюць той жа выхад.

Запасны канал і аўтапераключэнне

У ваконцы праўкі ёсць поле «Запасны канал». Выберыце ў ім іншае злучэнне — і пры адмове асноўнага прадукт сам перавядзе трафік на яго. Жывасць асноўнага канала прадукт правярае кожныя 30 секунд.

Пераключэнне ідзе ў тры крокі, і парадак тут важнейшы за хуткасць:

1. прадукт закрывае выхад — трафік не ідзе нікуды, у тым ліку ў абыход правіл;
2. перабудоўвае маршруты: перахоп, маршруты, DNS і прывязкі заквасак — на запасны канал;
3. толькі пасля пацверджанай перабудовы адкрывае трафік праз запасны.

Калі за дзесяць секунд канал не пацвердзіў працу, выхад застаецца закрытым, а званочак проста кажа, што інтэрнэт прыпынены і што рабіць далей. Калі не адказваюць абодва каналы, там жа з’яўляецца чырвонае паведамленне пра гэта, а фільтры і блакаванні працягваюць дзейнічаць.

Ужо ўсталяваныя злучэнні пры пераключэнні абразаюцца — праграма, якая ў гэты момант спампоўвала файл, пачне нанова. Так зроблена наўмысна: старое злучэнне ішло праз канал, які адмовіў.

Сумленна пра тое, калі запаснога няма. Картка злучэння проста кажа: «Пры адмове гэтага злучэння інтэрнэт абарвецца: пераключыць трафік няма на што» — і прапануе прызначыць запасны. Калі запасны выбраны, але выключаны, картка называе і гэта. Абяцанне «падзенне вузла не абарве інтэрнэт» дзейнічае толькі пры прызначаным запасным канале.

Праверка канала — «поціск рукі»

Пасля захавання Квас Про праводзіць «поціск рукі» — кароткую праверку, што канал сапраўды працуе. Так у жыцці пры знаёмстве ціснуць руку: два бакі вітаюцца і ўпэўніваюцца, што «чуюць» адзін аднаго. Праграма паказвае ваконца «Правяраем абароненае злучэнне…» (звычайна да паўхвіліны) і адзін з двух вынікаў:

• поспех — «Злучэнне працуе», паказаная затрымка ў мілісекундах, кнопка «Гатова»;
• няўдача — зразумелая прычына і кнопкі «Выправіць налады» / «Паўтарыць праверку». Злучэнне пры гэтым не выдаляецца — можна спакойна паправіць даныя і праверыць зноў.

Як зразумець, што ўсё атрымалася: картка злучэння паказвае статус «Актыўна», а на яе экране ідуць графікі хуткасці і відаць трафік па сайтах.

Націсніце «Перазапусціць злучэнне»: Квас Про выключыць канал, дасць тунэлю зняцца, уключыць яго зноў, дачакаецца прымянення правілаў і праверыць водгук. Пакуль ідзе перазапуск, кнопка заблакаваная. Затым на картцы з’явіцца вынік з вымераным часам — напрыклад, «Злучэнне адказвае — затрымка 318 мс. Перазапуск заняў 17,4 с.».

Вынік паказваецца асобным радком у рамцы, і ў радка ёсць крыжык. Радок пра ўдалы перазапуск сыходзіць сам праз 5 секунд — крыжык закрывае яе раней; радок пра няўдачу застаецца, пакуль вы яе не закрыеце: прычыну чытаюць столькі, колькі трэба. Чырвоная паметка «Не адказвае» з прычынай і кнопка «Перазапусціць злучэнне» знікаюць толькі тады, калі праверка пацвердзіла сувязь.

Калі праверка пацвердзіла сувязь, папярэджанне знікае адразу і само — на ўсіх экранах: чырвоная паметка і радок на картцы, пункт у званочку, падзея ў панэлі «Праблемы» і праверка ў Дыягностыцы. Пацвярджаць або закрываць што-небудзь уручную не трэба, перазагружаць старонку таксама. Калі ж праверка сувязь не пацвердзіла, Квас Про сумленна назаве прычыну (злучэнне не адказвае, няма інтэрнэту, ядро не гатовае, прымяненне правілаў не завяршылася), і папярэджанне застанецца — выдаваць неправеранае «ўсё ў парадку» за вынік праграма не стане.

Калі канал не падымаецца

Загляньце ў раздзел Калі штосьці не так: там разгледжаныя частые прычыны — няправільныя даныя профілю, збітыя гадзіны роўтара, недаступны сервер.