Shadowsocks

Shadowsocks 是一种开源的加密 SOCKS5 代理协议，其主要设计目标是通过把流量伪装成普通 HTTPS 来绕过网络审查。它是一款轻量、灵活且性能极高的工具，用于实现安全的互联网访问，在网络过滤手段复杂的地区尤其有效。

Shadowsocks 简介

Shadowsocks 最初诞生于中国，是对防火长城（Great Firewall，GFW）的回应，如今已发展为被广泛采用的反审查方案。与传统 VPN 不同，Shadowsocks 的设计目标是尽量不被深度包检测（DPI）系统识别——这类系统通常能够识别并封锁常见的 VPN 协议。它通过加密用户流量并将其伪装成合法的网页流量（例如标准 HTTPS）来达成这一点。

架构概览

Shadowsocks 采用客户端—服务器架构：

1. Shadowsocks 客户端： 安装在用户设备上（电脑、手机）。它拦截本地应用的流量，加密后转发给 Shadowsocks 服务器。
2. Shadowsocks 服务器： 部署在远程服务器上，通常位于互联网访问不受限制的地区。它解密来自客户端的流量，并转发到互联网上的目标地址。来自互联网的响应随后由服务器加密并回传给客户端。

核心功能依赖工作在应用层的 SOCKS5 代理。这使得特定应用或系统全局流量都可以通过加密隧道转发。

Shadowsocks 的工作原理

Shadowsocks 协议把加密直接集成进 SOCKS5 代理的数据流中，而不是另外建立一条 VPN 隧道。

1. 客户端侧：
   • 用户设备上的应用被配置为使用本地 SOCKS5 代理（例如 127.0.0.1:1080）。
   • Shadowsocks 客户端接收这些流量。
   • 它使用预共享密钥和 AEAD（带关联数据的认证加密）加密算法（例如 AES-256-GCM 或 ChaCha20-Poly1305）对 SOCKS5 请求及其载荷进行加密。
   • 加密后的数据随后被封装并发送到 Shadowsocks 服务器。
2. 服务器侧：
   • Shadowsocks 服务器在指定端口上监听。
   • 收到加密数据后，它使用相同的预共享密钥和加密算法进行解密。
   • 解密后的 SOCKS5 请求随后被转发到互联网目标地址。
   • 服务器接收来自互联网的响应，加密后回传给客户端。
3. 没有独立握手： Shadowsocks 的一个关键设计特点是没有独立的协议握手过程。这种无状态设计使自动化系统更难通过分析初始连接序列来识别 Shadowsocks 的流量特征，这也使它区别于许多具有可识别握手过程的 VPN 协议。

核心设计原则

• 轻量： Shadowsocks 以最小开销为设计目标，提供高性能，适合实时应用和大数据量传输。
• 灵活： 它支持多种加密方式，用户可以根据安全需求和性能考量选择加密算法。
• 规避检测： 首要设计目标是避免被网络防火墙检测到。通过将加密与流量混淆（通常借助插件）相结合，它隐藏自身特征，使 DPI 系统难以将其与普通的加密网页流量区分开。

Shadowsocks 与 VPN 的对比

虽然 Shadowsocks 和传统 VPN 都能实现安全的互联网访问和反审查，但两者的运行模型和特性有显著差异。

部署与配置

服务器端配置

Shadowsocks 服务器通常部署在基于 Linux 的虚拟专用服务器（VPS）上。常用的实现是 shadowsocks-libev 或 shadowsocks-rust。

ss-server 的 config.json 示例：

{
    "server": "0.0.0.0",
    "server_port": 8388,
    "password": "your_strong_password",
    "method": "aes-256-gcm",
    "timeout": 300,
    "fast_open": true,
    "plugin": "obfs-server",
    "plugin_opts": "obfs=tls;failover=www.google.com"
}

• server：在所有网络接口上监听。
• server_port：服务器监听的端口。
• password：用于加密的预共享密钥。
• method：加密算法（例如 aes-256-gcm、chacha20-poly1305）。
• plugin：可选的混淆插件（例如 simple-obfs 对应的 obfs-server）。
• plugin_opts：所选插件的选项。

客户端配置

Shadowsocks 客户端支持多种平台（Windows、macOS、Linux、Android、iOS）。配置时通常需要填写服务器地址、端口、密码、加密方式以及插件相关参数。

Linux 下的 ss-local 命令示例：

ss-local -s your_server_ip -p 8388 -l 1080 -k your_strong_password -m aes-256-gcm --plugin obfs-local --plugin-opts "obfs=tls;obfs-host=www.google.com" -f /var/run/shadowsocks-local.pid

• -s：服务器 IP 地址或主机名。
• -p：服务器端口。
• -l：本地 SOCKS5 代理的监听端口（例如 1080）。
• -k：密码。
• -m：加密方式。
• --plugin：混淆插件（例如 simple-obfs 对应的 obfs-local）。
• --plugin-opts：插件选项。

客户端运行后，应用即可配置为使用 SOCKS5 proxy: 127.0.0.1:1080。

混淆技术（插件）

为了对抗高级 DPI 技术，Shadowsocks 常常使用插件对加密流量做进一步混淆，使其看起来像常见的合法协议。

• simple-obfs：该插件可以把 Shadowsocks 流量伪装成普通的 HTTP 或 TLS 流量。
  • obfs=http：流量模仿标准 HTTP 请求。
  • obfs=tls：流量模仿 TLS 握手和数据，通常看起来像合法的 HTTPS。
• v2ray-plugin：该插件提供更高级的混淆方式，包括：
  • WebSocket over TLS： 将 Shadowsocks 流量封装在 WebSocket 连接中，再由 TLS 加以保护。这样一来，流量与经过 CDN 或云服务的常规加密网页流量无法区分。
  • HTTP/2 over TLS： 与 WebSocket 类似，但使用 HTTP/2 协议。

在那些即使是加密流量、只要不符合预期特征也会被识别和封锁的环境中，这些插件至关重要。它们的做法是在加密的 Shadowsocks 载荷外面再包一层看起来合法的协议头和流量特征。

安全注意事项

• 加密强度： Shadowsocks 依赖强度高的现代 AEAD 加密算法，为传输中的用户数据提供机密性和完整性保护。
• 协议设计： 无状态特性和没有独立握手过程，降低了它被主动探测和基于特征匹配检测发现的可能性。
• 服务器信任： Shadowsocks 连接的安全性在很大程度上取决于服务器运营方是否可信。服务器会解密并重新加密全部流量，这意味着服务器运营方可以接触到未加密的数据。
• 流量分析： Shadowsocks 虽然会加密数据并可以混淆协议特征，但它本身并不提供匿名性。服务器的 IP 地址是已知的，复杂的流量分析仍有可能关联出流量模式，尤其是在没有配合其他匿名化层（例如 Tor）的情况下。
• 配置： 正确的配置——包括使用强密码和最新的加密方式——对保持安全性至关重要。过时的加密算法或弱密码会危及连接安全。