Le principe de la double poignée de main
Contrairement aux proxys classiques, ShadowTLS ne génère pas de certificats auto-signés qui sont facilement détectables par les systèmes de filtrage. Lors du premier contact, le client se connecte à un site tiers de confiance (par exemple, un grand CDN ou une banque), valide la légitimité de la session TLS face au censeur, puis bascule la charge utile vers le serveur proxy sécurisé.
Recommandations pratiques de configuration
- Utiliser comme nœud de camouflage des domaines compatibles avec TLS 1.3 et le protocole ALPN H2.
- Associer ShadowTLS aux protocoles Shadowsocks ou Trojan pour une résistance cryptographique maximale.
- Veiller à la proximité physique du site de couverture choisi par rapport à l'emplacement réel de votre VPS.