Principe de la double négociation sans déchiffrement
Lorsque l'automatisation DPI effectue un sondage actif d'un port suspect, ShadowTLS relaie de manière transparente ces requêtes vers une ressource externe légitime. Le filtre reçoit la réponse TLS originale d'un grand portail Internet, et les données chiffrées du client ne sont acheminées vers le serveur proxy interne qu'en présence d'un mot de passe secret dans l'en-tête du paquet.
Comment configurer une connexion fiable
- choisir comme domaine de couverture une ressource étrangère prenant en charge TLS 1.3 et les chiffrements ALPN
- associer ShadowTLS à des protocoles internes légers Shadowsocks ou VMess
- veiller à ce que le domaine externe choisi ne figure pas dans les listes noires locales
- mettre à jour la version du client pour se protéger contre l'analyse comportementale de la longueur des paquets réseau