Enable Cloudflare ECH in Direct Outbound

[vpnm4k3r]

سلام
یه موضوعی رو می‌خواستم مطرح کنم که مطمئن نیستم تا چه حد عملی باشه.

برای گوگل و متا، فکر می‌کنم فرگمنت کردن مشکل امنیتی خاصی ایجاد نمی‌کنه، اما روی سایت‌های Fastly (چون خیلی از سایت‌های خبری ازش استفاده می‌کنن) این روش میتونه به رژیم اجازه بده ببینه ما چه سایتهایی میریم و من از ترسم از domain fronting استفاده میکنم.

در مورد Cloudflare هم همین حس رو دارم. می‌خواستم ببینم آیا راهی هست که در Xray یک outbound مستقیم تعریف کنیم و روی اون ECH رو فعال کنیم، همراه با فرگمنت، طوری که امکان خواندن SNI توسط MITM وجود نداشته باشه؟

اگه باشه میتونه کمک کنه نیاز به proxy ip توی کانفگیهای بر اساس وورکر هم حذف بشه و لود وورکر هم پایین بیاد و شاید کلودفلیر کمتر بهمون گیر بده.

[Farshid669]

من مبتدی هستم ولی میتونم بگم این پروژه خیلی عالی بود

ios روی

میتونیم اعمال کنیم ؟

[Enqvy]

سلام یه موضوعی رو می‌خواستم مطرح کنم که مطمئن نیستم تا چه حد عملی باشه.

برای گوگل و متا، فکر می‌کنم فرگمنت کردن مشکل امنیتی خاصی ایجاد نمی‌کنه، اما روی سایت‌های Fastly (چون خیلی از سایت‌های خبری ازش استفاده می‌کنن) این روش میتونه به رژیم اجازه بده ببینه ما چه سایتهایی میریم و من از ترسم از domain fronting استفاده میکنم.

در مورد Cloudflare هم همین حس رو دارم. می‌خواستم ببینم آیا راهی هست که در Xray یک outbound مستقیم تعریف کنیم و روی اون ECH رو فعال کنیم، همراه با فرگمنت، طوری که امکان خواندن SNI توسط MITM وجود نداشته باشه؟

اگه باشه میتونه کمک کنه نیاز به proxy ip توی کانفگیهای بر اساس وورکر هم حذف بشه و لود وورکر هم پایین بیاد و شاید کلودفلیر کمتر بهمون گیر بده.

If he ditches fragment and goes ECH, that's a full config rewrite, and even then, ECH is flaky as hell in Iran right now. The devs literally say it's unstable here. also i dont think you can really do it, fragment is a thing you can slap onto any connection, ech needs server to have same config as you, that would go back to sni spoofing era, only a list of sites would work, not dynamic like fragment, i still might be wrong

[Enqvy]

i dont think this is relevent to your worker ech thing, but you can use ech already on all workers on most isp i tested, this is config i use
godotengine.org+udp://208.67.220.220:443
this needs 0 configuring on ur panel, just use this if ur config is behind cloudflare cdn via worker or just a domain

[vpnm4k3r]

You got it wrong.

I can already use ECH in my configuration. Most of the time it works fine when crypto.cloudflare.com is accessible. Even when it is blocked, I can use fragmentation together with ECH in the configuration, and it still works properly.

My point is different: I would like to have an ECH_for_Cloudflare outbound that uses a direct connection while supporting ECH, with a rule such as:

{
  "outboundTag": "ECH_for_Cloudflare",
  "network": "tcp",
  "port": 443,
  "ip": ["geoip:cloudflare"]
}

The goal is to make connections to Cloudflare more secure and eliminate the need to use a proxy IP for Cloudflare Workers.

[Enqvy]

well then thats very cool