Pemerintah negara saya memblokir akses VPN. Apa yang sebaiknya saya gunakan?

• Indonesia saat ini sedang kacau, dan pagi ini pemerintah memblokir akses ke Twitter dan Discord
• Karena mereka tahu berita terutama menyebar melalui kanal-kanal tersebut
• Biasanya pemblokiran bisa dihindari dengan menggunakan Cloudflare WARP, tetapi hari ini aksesnya diblokir. Alternatif apa yang sebaiknya digunakan?

[bju2000]

Sulit menyebut negara yang bahkan memblokir VPN sebagai negara bebas..

[roxie]

Tiongkok, Indonesia, Inggris, Australia, ... ternyata ini masalah yang muncul di lebih banyak tempat daripada yang saya kira

[GN⁺]

Komentar Hacker News

• Saya punya pengalaman mengerjakan upaya mengakali sensor di penyedia VPN besar pada awal 2020-an

  • Langkah pertama adalah mendapatkan perangkat lunak VPN dan file konfigurasi yang sebenarnya. Penyedia yang peduli terhadap sensor biasanya mendistribusikan program lewat kanal yang sulit diblokir seperti S3 dan paket yang diobfuscate, kadang juga bekerja sama dengan kelompok lokal untuk mendistribusikannya dengan aman
  • Kalau perangkat lunaknya sudah didapat, saya menyarankan menambah lapisan obfuscation saat menggunakannya
  • Alat bernama Obfs4proxy banyak dipakai, dan dengan kunci pra-bagi menyamarkan trafik agar tampak seperti bukan apa-apa serta menyembunyikan handshake VPN juga. Tidak sepenuhnya aman, tetapi bisa menembus sebagian besar DPI (deep packet inspection)
  • Ada juga Shapeshifter (dibuat oleh Operator Foundation) atau transport pluggable lain yang layak dicoba. Hanya saja penyedianya harus mendukung protokol ini
  • Dalam jangka panjang, bagian tersulit adalah tidak ketahuan memakai VPN sama sekali. Dalam analisis statistik jangka panjang, koneksi VPN bisa terdeteksi meski ada obfuscation, dan cukup murah bagi negara untuk menerapkannya saat mengawasi hal ini. Saya tidak terlalu tahu situasi di Indonesia jadi tidak bisa memberi saran spesifik
  • Menurut saya Mullvad adalah penyedia VPN yang tepercaya dan punya kemampuan teknis yang kuat. (Saya tidak pernah bekerja di Mullvad, malah dulu pesaing. Saya selalu menghormati pendekatan mereka)

  • Saya kadang berpikir akan bagus kalau ada operator siaran gelombang pendek besar yang menyiarkan paket VPN itu sendiri ke seluruh dunia lewat data broadcasting seperti layanan publik

  • Tadi dibilang Obfs4proxy membuat trafik terlihat seperti bukan apa-apa, tetapi pada praktiknya DPI bisa menilainya sebagai aliran byte acak lalu menggolongkannya sebagai protokol tak dikenal dan memblokirnya. Justru lebih menguntungkan memakai trik yang membuat DPI percaya itu adalah HTTPS. Tentu kalau HTTPS pun diblokir, itu tidak membantu

  • Saya penasaran bagaimana pendapat orang tentang sistem seperti DAITA milik Mullvad yang mengirim dengan pola bandwidth tetap untuk mencegah analisis trafik

  • Trik seperti TLS terfragmentasi (fragmented TLS) atau membalik urutan paket juga efektif, dan bahkan hanya memakai transport HTTPS biasa sudah cukup baik sebagai titik awal di kebanyakan tempat. Sistem terdistribusi open source bernama URnetwork menyediakan semua fitur ini. Bisa didapat juga dari toko aplikasi besar atau F-Droid

  • Memasang Obfs4proxy dan Shapeshifter benar-benar merepotkan dan memakan waktu

    • Sewa VPS sendiri (sekitar $10/tahun di Eropa/AS bisa dapat 2GB RAM, 40GB disk, trafik bulanan skala TB), saya rekomendasikan region Eropa
    • Pasang wireguard+alat obfuscation atau tailscale+server DERP sendiri di sana
    • Yang lebih sederhana, gunakan port ssh -D sebagai server SOCKS. Biasanya tidak diblokir, tetapi karena karakteristik trafiknya mudah terlihat

• Saya pernah tinggal di Tiongkok beberapa waktu dan mengalami beberapa gelombang pemblokiran VPN. Sekarang kebanyakan perusahaan VPN sudah menyerah mendukung negara yang memblokir. VPN komersial pada akhirnya pasti akan diblokir

  • Cara yang saya pakai adalah menjalankan server SOCKS5 di EC2 gratis di region luar negeri lalu menghubungkan perangkat ke sana. VM Cloudflare sepertinya juga cocok untuk tujuan ini
  • Hanya trafik pribadi saya yang lewat, jadi profil saya rendah, dan negara tidak mudah membedakannya di antara banyak server lain di region tersebut
  • Tips bertahan hidup di lingkungan internet yang tidak bebas: GitHub tidak diblokir (setidaknya di Tiongkok), jadi materi terkait dan unduhan diunggah oleh engineer lokal
  • Kalau khawatir identitas terpapar karena static IP, VM juga cuma komputer, jadi bisa ditambah koneksi VPN lagi untuk meningkatkan anonimitas

  • Saya pernah dengar blok IP publik VPS sudah dikenal luas, jadi cara ini tidak efektif di Tiongkok. Katanya ini bukan solusi yang benar-benar berguna terhadap firewall Tiongkok

  • Memakai instance VM sebagai terowongan VPN memang bagus, tetapi bandwidth internet nyata masuk-keluar Tiongkok sangat terbatas jadi ada batas kemampuan menangani trafik. Pengaturan yang lebih baik adalah punya VM di kedua sisi firewall, lalu memakai peering antara VM internal-eksternal dalam layanan hosting yang sama (contohnya Alibaba Cloud). VM internal bisa dibuat sederhana dengan alat seperti socat atau netfilter

    • Alat obfuscation juga sebaiknya wajib dipakai
    • Saat pemblokiran terjadi, cukup ganti IP VPN eksternal dan perbarui konfigurasi. IP VM internal hampir tidak perlu diubah

  • Saya juga dulu pernah bekerja di Tiongkok (tidak tinggal lama, tapi sering masuk) dan membuka OpenVPN di server milik saya pada port 443 atau 22, dan dengan itu biasanya bisa terhubung tanpa banyak masalah

  • Dua tahun lalu di Indonesia GitHub juga sempat diblokir sebentar, dan salah satu operator besar pernah memblokir SSH sementara waktu

• Sebagai orang yang tinggal di Indonesia, saya tidak ingat pernah melihat berita bahwa X (Twitter)/Discord baru-baru ini diblokir. Pada 2024 memang pernah ada pembicaraan soal memblokir X karena konten dewasa

  • Anda bisa memeriksa status blokir secara real-time langsung di situs ini
  • Anda bilang koneksi VPN tidak bisa, tetapi walau beberapa penyedia pernah diblokir dulu, selama 5 tahun terakhir hal seperti ini tidak terjadi
  • Jadi salah satu cara adalah mencoba ganti penyedia internet (ISP)

• Menurut saya tempat ini (Hacker News) bukan tempat yang paling tepat untuk pertanyaan tentang mengakali sensor

  • Ada kecenderungan hanya merekomendasikan self-hosting seperti Tor, Tailscale, VPN berbasis Wireguard, Mullvad, padahal kelihatannya kurang punya pengalaman nyata
  • Cukup cari VPN yang memang ditujukan untuk Tiongkok/Rusia/Iran. Privasinya mungkin tidak sebagus Mullvad, tapi setidaknya pasti berfungsi

  • Kalau saya adalah badan intelijen Tiongkok, Rusia, atau Iran, saya akan menyamar sebagai penyedia VPN khusus negara berisiko itu dan memakainya sebagai honeypot untuk mengumpulkan data kelompok oposisi

  • Bagi saya, untuk individu yang cukup percaya diri secara teknis, cara paling aman adalah menyalakan server instance kecil di cloud luar negeri lalu mengakses informasi lewat ssh forwarding + proxy

    • Sebagai contoh, lihat panduan konfigurasi Squid Proxy
    • Karena pemerintah tidak memblokir trafik ssh, cara ini memungkinkan privasi tinggi sekaligus melewati pemblokiran

  • Saya tidak setuju kalau merekomendasikan metode atau penyedia yang terkenal otomatis berarti tidak punya pengalaman menghindari sensor

    • Penyedia anonim atau metode sementara pada akhirnya bisa terekspos pada serangan watering hole

  • Kalau tidak percaya pada lapisan luar, Anda juga bisa menumpuk VPN lain di atasnya

  • VPN yang diiklankan kebanyakan bertujuan komersial, jadi besar kemungkinan badan mata-mata negara terlibat

    • Setidaknya dari luar terlihat berfungsi (bisa membuka situs yang diblokir).
    • Bergantung pada badan intelijen mana yang mengoperasikannya, Anda mungkin benar-benar mendapat privasi, atau justru trafik Anda disimpan sambil dikaitkan ke pengguna tertentu
    • Saya rasa perangkat lunak gratis (open source) yang tidak bisa dikendalikan perusahaan adalah pilihan yang lebih baik

• Saya rasa Australia dan Inggris juga mungkin akan segera menuju ke arah seperti ini

  • Bagian pahitnya, meski kita (pengguna HN) bisa mencari cara mengakalinya, warga biasa tidak punya anggaran atau kemampuan teknis, sehingga pemerintah/media besar bisa secara efektif mematikan jurnalisme warga

  • Enam bulan lalu saya mungkin akan menertawakan komentar seperti ini, tapi sekarang terasa nyata dan mengkhawatirkan (Inggris)

  • Di Australia, selama ini sudah ada peringatan bahwa hal seperti ini akan terjadi karena alasan politik

    • Ini bukan perdebatan teknis; politik tidak peduli pada teknologi
    • Semua orang perlu sadar bahwa kita pelan-pelan bergerak ke arah ini
    • Perdana Menteri Malcolm Turnbull pada akhir 2017: "yang penting bukan hukum matematika, melainkan hukum Australia"

  • Saya rasa kita tidak perlu meremehkan kemampuan masyarakat.

    • Saat tumbuh di daerah miskin di Inggris, selalu ada "abang yang kenal orang" yang bisa mencarikan komputer/TV ilegal, sambungan listrik bypass, CD bajakan, video, dan semacamnya
    • Pada akhirnya akan muncul versi "satu orang tiap beberapa rumah" yang memasang proxy dengan perangkat murah seperti Raspberry Pi
    • Terus terang, kalau saya kehilangan pekerjaan di industri TI, saya pun mungkin akan mengambil peran seperti itu

  • Saya rasa beberapa negara bagian konservatif di AS juga akan segera mencoba hal ini. Karena hukum verifikasi identitas untuk situs porno tidak efektif, kemungkinan mereka akan melangkah lebih jauh

  • "Jurnalisme warga" itu 90% bukan jurnalisme sungguhan, levelnya mirip sains warga yang meneliti vaksin

• Tor: ramah pengguna, mudah dipasang, anonimitas tinggi, dan gratis. Tapi sering jadi target sensor, lambat, dan exit node-nya tidak dipercaya hampir di semua situs

  • Tailscale+Mullvad exit: sangat mudah, tinggal pasang dan konfigurasi, lebih cepat dari Tor, dan cara pakainya beragam. Kekurangannya, trafik Mullvad bisa dikenali oleh DPI dan ada biayanya
  • VPS sendiri dengan Wireguard atau Tailscale: Anda mengendalikan hampir semuanya, bisa memilih kecepatan, dan bisa dibagikan ke kenalan. Kekurangannya butuh sedikit pengetahuan operasional, dan biaya hosting diperkirakan $20~30 per bulan atau lebih

  • Tailscale hanya diperlukan kalau OP (penanya) tidak bisa mengakses Mullvad.net untuk mendaftar

    • Kalau pemerintah Indonesia memblokir node Mullvad, trik apa pun tidak akan berguna
    • Saat mencoba mengakses lewat VPS, dari sisi luar (website) terlalu mudah diidentifikasi karena IP-nya tetap
    • Rekomendasi saya adalah memasang Mullvad atau Tor di VPS luar negeri lalu mengalihkan trafik ke VPS itu. Kalau ingin dipakai serentak dari beberapa perangkat, paling mudah menjadikan VPS sebagai Tailscale exit node

  • VPS yang mendukung Wireguard bisa didapat seharga $20~30 per tahun, jadi $20~30 per bulan mungkin salah tulis. Anda bisa mencari VPS murah di vpspricetracker.com

  • NordVPN atau ProtonVPN berada di posisi yang mirip dengan Mullvad. Kalau gratis, berarti Andalah produknya; bahkan kalau berbayar pun trafik Anda pada akhirnya menuju server VPN yang diketahui publik, sehingga di beberapa negara metadata itu saja bisa berbahaya

    • Wajib dipakai dengan sangat hati-hati

  • IP VPS bukan IP tempat tinggal, jadi di beberapa situs/layanan akses dari VPS bisa diblokir atau memerlukan verifikasi tambahan

    • Tidak ada solusi yang lebih baik, tetapi ini perlu diketahui

  • Tor juga punya teknologi anti-sensor seperti snowflake. Kalau tingkat pemblokirannya berat, Tor mungkin yang paling efektif

• Saya sering bekerja di Tiongkok, dan WireGuard VPN saya (dipasang di rumah sendiri) sampai sekarang belum pernah diblokir

  • Domain server VPN saya juga meng-host layanan HTTPS, dan itu mungkin membantu
  • Dulu saya memakai shadowsocks (proxy open source) dan obfs di droplet DO, tetapi sekarang tren utamanya v2ray+vmess/vless+reality
  • Ini bukan VPN melainkan proxy, jadi lebih mudah menyamarkan sifat aslinya dan bagus untuk menghindari blokir
  • Kalau di-host di VPS publik, memblokir AWS atau DO sampai tuntas memang berat jadi ada efek kamuflase, tetapi di sisi lain justru bisa menonjol lewat pola trafik sebagai endpoint VPN yang jelas
  • Masih ada sedikit informasi terbaru di reddit r/dumbclub, jadi bisa dilihat
  • Perlu diingat, membuat setelan seperti ini sendiri memang sulit. Saya juga merasa WireGuard saya yang terus berfungsi itu seperti keajaiban
  • Ada juga opsi khusus berupa SIM roaming. Karena roaming pada dasarnya menyalurkan trafik ke kantor pusat operator asal, ini tidak diblokir bahkan di Tiongkok. Berguna untuk mengakses server atau menyiapkan proxy saat darurat

• Saya sedang bepergian di Uzbekistan dan kaget karena protokol wireguard itu sendiri diblokir.

  • Biasanya mengakses server saya sendiri lewat wireguard tidak masalah, tetapi kali ini ini pertama kalinya saya mengalami seluruh protokol diblokir
  • Penting untuk memeriksa apa yang diblokir dan bagaimana caranya sebelum memilih penyedia VPN

  • Di tempat yang memblokir wireguard, saya pernah berhasil mengakalinya dengan menjalankan wireguard lewat wstunnel

  • wireguard sendiri punya pola jaringan yang cukup mencolok, dan memang tidak dirancang mengejar obfuscation

    • Beberapa alat menyamarkan trafiknya sebagai 443/TCP

  • Menarik juga bahwa pemerintah memblokir protokol yang pada dasarnya hanya dipakai dua komputer untuk membuat terowongan aman

  • Saya rasa pemblokiran protokol wireguard juga bisa segera menjadi kenyataan di Inggris

    • Peran para hacker akan jauh lebih penting ke depannya

• XRay/XTLS-Reality/VLESS juga bekerja cukup baik. Bahkan dikenal sulit dideteksi di Tiongkok

  • Tinggal ikuti tutorial ini, dan contoh konfigurasi tambahan bisa dilihat di sini

  • Berkat firewall Tiongkok, teknologi anti-sensor berkembang cukup pesat. Senang melihat ada yang menyebut XRay!

    • Situs resmi V2Ray atau mengakses internet Tiongkok dengan V2Ray dan caddy juga layak dilihat
    • Proxy berbasis V2Ray bisa berfungsi sebagai alternatif VPN

  • Ada juga proyek bernama sing-box yang cukup bagus (tautan proyek).

    • Cara saya memakainya adalah mengatur routing berbeda per aplikasi/layanan; misalnya aplikasi bank lewat modem 5G, bank di AS lewat US residential proxy, dan sisanya lewat VPN (tanpa perlu root Android)
    • Fitur tingkat lanjut seperti ini muncul berkat firewall Tiongkok

  • Saya penasaran, kalau semua trafik terkonsentrasi ke satu website, bukankah itu sendiri justru bisa terlihat mencurigakan?

• Mastodon sulit diblokir sepenuhnya oleh rezim, dan kebanyakan instance tidak melarang penggunaan Tor.

  • Saat X diblokir di Brasil, memang sempat ada arus masuk besar ke Mastodon
  • Lihat informasi lebih lanjut di joinmastodon.org

  • Apakah server individual (seperti mastodon.social) tidak cukup mudah diblokir satu per satu?

  • Pemblokiran di level protokol juga sebenarnya lebih mudah daripada yang dibayangkan. Negara yang memblokir VPN cenderung cepat berkembang dari sekadar blok IP menjadi pemblokiran protokol