Pendahuluan
Jika Anda pernah bepergian ke Tiongkok atau berbicara dengan seseorang yang tinggal di sana, Anda mungkin pernah mendengar keluhan yang sama: "VPN saya berhenti bekerja." Ini bukan sekadar gangguan atau masalah server. Ini adalah hasil dari salah satu sistem sensor paling canggih yang pernah dibangun.
Sistem penyaringan internet Tiongkok, yang secara resmi dikenal sebagai Golden Shield Project tetapi umumnya disebut Great Firewall (GFW), telah berkembang secara signifikan sejak awal pembentukannya di awal 2000-an. Apa yang dimulai sebagai pemblokiran IP dasar kini telah tumbuh menjadi sistem deteksi berlapis-lapis yang mengidentifikasi dan mengganggu koneksi VPN dengan akurasi luar biasa.
Dalam artikel ini, kami akan membahas bagaimana Great Firewall mendeteksi dan memblokir lalu lintas VPN, mengapa protokol populer seperti OpenVPN dan WireGuard kesulitan bertahan, dan bagaimana V2Ray dirancang secara khusus untuk mengatasi tantangan-tantangan ini.
Apa itu Great Firewall?
Great Firewall adalah sistem sensor dan pengawasan internet nasional milik Tiongkok. Secara resmi disebut Golden Shield Project, sistem ini diinisiasi pada 1998 oleh Kementerian Keamanan Publik dan mulai beroperasi pada 2003. Tujuannya adalah untuk mengatur dan mengontrol konten apa yang dapat diakses oleh pengguna internet di dalam Tiongkok.
GFW memblokir akses ke ribuan situs web dan layanan asing, termasuk Google, YouTube, Facebook, Twitter (X), WhatsApp, Instagram, dan banyak media berita internasional. Sistem ini juga memantau lalu lintas internet domestik untuk konten yang dibatasi.
Yang membuat GFW sangat efektif bukanlah satu teknik tunggal, melainkan kombinasi berbagai metode deteksi yang bekerja bersama-sama.
Bagaimana Great Firewall Mendeteksi VPN
GFW menggunakan beberapa metode deteksi berlapis, masing-masing dirancang untuk menangkap jenis lalu lintas penembusan yang berbeda.
Deep Packet Inspection (DPI)
DPI adalah senjata paling ampuh dalam persenjataan GFW. Alih-alih hanya melihat ke mana lalu lintas menuju (alamat IP) atau port mana yang digunakan, DPI memeriksa isi dan struktur aktual dari paket jaringan.
Setiap protokol memiliki sidik jarinya sendiri. Cara paket disusun, urutan byte dalam jabat tangan, pola ukuran transfer data,semuanya ini menciptakan tanda tangan yang dapat diidentifikasi. Mesin DPI membandingkan lalu lintas langsung dengan tanda tangan protokol yang sudah dikenal untuk mendeteksi koneksi VPN secara real-time.
Peracunan DNS
Ketika Anda mengetikkan alamat situs web, perangkat Anda mengirimkan kueri DNS untuk menerjemahkan nama domain tersebut menjadi alamat IP. GFW mencegat kueri-kueri ini dan mengembalikan alamat IP palsu untuk domain yang diblokir, mengarahkan pengguna ke jalan buntu atau halaman peringatan.
Pemblokiran Daftar Hitam IP
GFW mempertahankan dan secara rutin memperbarui daftar hitam alamat IP yang terkait dengan layanan VPN yang sudah dikenal. Ketika IP server VPN ditandai, semua lalu lintas ke alamat tersebut diblokir. Inilah sebabnya penyedia VPN terus-menerus merotasi IP server mereka.
Pemeriksaan Aktif
Ini mungkin adalah teknik yang paling canggih. Ketika GFW mencurigai sebuah server menjalankan proxy atau VPN, ia mengirimkan koneksi uji miliknya sendiri ke server tersebut. Jika server merespons dengan cara yang konsisten dengan protokol VPN, server tersebut akan diblokir.
Pemeriksaan aktif membuat penyamaran lalu lintas keluar saja menjadi tidak cukup. Server itu sendiri harus berperilaku secara meyakinkan seperti server web normal ketika diperiksa oleh koneksi yang tidak dikenal.
Mengapa OpenVPN Gagal di Tiongkok
OpenVPN adalah salah satu protokol VPN yang paling banyak digunakan secara global. Protokol ini open source, telah diaudit dengan baik, dan mendukung enkripsi yang kuat. Namun, ia memiliki kelemahan fundamental di lingkungan yang disensor: protokol ini mudah dikenali.
Jabat Tangan TLS yang Dapat Dikenali
OpenVPN menggunakan jabat tangan TLS khusus yang berbeda dari lalu lintas HTTPS standar. Bahkan ketika berjalan di port 443 (port HTTPS standar), jabat tangan OpenVPN mencakup pola byte dan urutan paket tertentu yang dapat dideteksi oleh mesin DPI.
Protokol OpenVPN dimulai dengan byte opcode yang khas dan menyertakan pengenal kunci statis dalam paket awalnya. Fitur-fitur ini dirancang untuk keandalan dan konfigurasi yang mudah, bukan untuk penyamaran. Sistem DPI dapat menandai lalu lintas ini dalam beberapa paket pertama dari sebuah koneksi.
Pola Ukuran Paket dan Waktu
Ukuran paket dan pola waktu OpenVPN juga berbeda dari browsing HTTPS standar. Fitur statistik ini memberikan sinyal tambahan bagi mesin DPI bahkan jika jabat tangan awalnya entah bagaimana disamarkan.
Add-On Penyamaran Bersifat Terbatas
Beberapa penyedia VPN menggunakan alat seperti obfsproxy atau pengacakan XOR di atas OpenVPN untuk menyamarkan lalu lintasnya. Meskipun ini dapat membantu melawan deteksi dasar, GFW telah menunjukkan kemampuan untuk mengidentifikasi dan memblokir banyak lapisan penyamaran ini juga.
Mengapa WireGuard Gagal di Tiongkok
WireGuard dipuji karena kecepatan dan kesederhanaannya, tetapi kualitas yang sama ini justru menjadi kelemahannya di lingkungan yang disensor.
Pola UDP Tetap
WireGuard berkomunikasi secara eksklusif melalui UDP dan memiliki pola jabat tangan yang tetap. Pesan jabat tangan awal selalu berukuran 148 byte (inisiator) dan 92 byte (responder). Ukuran tetap ini membuat koneksi WireGuard sangat mudah untuk di-fingerprint.
Tanpa Penyamaran Bawaan
WireGuard dirancang sebagai protokol tunneling yang ramping dan berperforma tinggi. Penyamaran secara eksplisit bukan tujuan desainnya. Penciptanya, Jason Donenfeld, telah menyatakan bahwa penyamaran seharusnya ditangani di lapisan yang berbeda. Ini berarti WireGuard saja tidak menyediakan kemampuan menembus sensor.
Mudah Diblokir
Karena jabat tangan WireGuard begitu khas dan dapat diprediksi, GFW dapat memblokirnya dengan aturan sederhana yang mencocokkan ukuran paket UDP tertentu. Tidak ada ambiguitas bagi mesin DPI,paket UDP berukuran 148 byte dengan struktur khusus milik WireGuard hampir pasti adalah koneksi WireGuard.
Bagaimana V2Ray Mendekati Masalah Ini Secara Berbeda
V2Ray, bagian dari Project V, dikembangkan mulai 2015 dengan ketahanan terhadap sensor sebagai tujuan desain inti. Alih-alih menjadi protokol VPN yang diadaptasi untuk penyamaran, protokol ini dibangun sejak awal agar sulit dideteksi.
WebSocket + TLS: Meniru HTTPS Normal
Penerapan V2Ray yang paling umum menggunakan WebSocket sebagai lapisan transport, dibungkus dalam enkripsi TLS. Bagi mesin DPI, lalu lintas ini terlihat identik dengan koneksi HTTPS normal ke sebuah situs web, karena pada tingkat protokol, ini memang koneksi HTTPS yang sah.
Jabat tangan TLS-nya asli, sertifikatnya nyata, dan upgrade WebSocket-nya standar. Data proxy yang sesungguhnya berjalan di dalam koneksi WebSocket terenkripsi ini, tak terlihat oleh pemeriksaan.
Fleksibilitas Transport
Berbeda dengan OpenVPN atau WireGuard yang memiliki mekanisme transport tetap, V2Ray mendukung berbagai pilihan transport:
- WebSocket — Terlihat seperti lalu lintas web standar
- gRPC — Terlihat seperti komunikasi API
- HTTP/2 — Meniru browsing web modern
- QUIC — Menyerupai lalu lintas protokol milik Google
- Raw TCP — Untuk lingkungan di mana opsi lain sudah memadai
Fleksibilitas ini berarti bahwa jika satu metode transport terdeteksi, pengguna dapat beralih ke yang lain tanpa mengubah konfigurasi inti mereka.
Ketahanan terhadap Pemeriksaan Aktif
Ketika diterapkan di balik server web seperti Nginx, sebuah server V2Ray dapat menyajikan situs web sungguhan kepada pengunjung normal sambil merutekan lalu lintas V2Ray melalui jalur tertentu. Jika GFW mengirimkan pemeriksaan ke server tersebut, ia akan menerima halaman web normal sebagai respons, tanpa memberikan indikasi bahwa server tersebut juga menjalankan proxy.
Penerapan dwifungsi ini merupakan keunggulan signifikan dibandingkan protokol VPN tradisional, yang biasanya tidak dapat menyamarkan diri sebagai server web yang berfungsi.
Kenyataan Perlombaan Senjata
Penting untuk jujur tentang keterbatasannya. Hubungan antara teknologi sensor dan alat penembusan adalah perlombaan senjata yang terus berlangsung. Tidak ada alat yang menjamin akses permanen melalui Great Firewall.
GFW terus diperbarui dan telah menunjukkan kemampuan untuk:
- Mendeteksi dan memblokir protokol yang sebelumnya tidak terdeteksi
- Sementara meningkatkan penyaringan selama periode yang sensitif secara politik
- Menggunakan machine learning untuk mengidentifikasi pola lalu lintas yang anomali
- Memblokir seluruh rentang IP yang terkait dengan penyedia cloud hosting
Alat berbasis V2Ray telah terbukti lebih tangguh daripada protokol VPN tradisional, tetapi mereka bukan tidak terkalahkan. Keandalan koneksi dapat bervariasi menurut wilayah di Tiongkok, waktu dalam sehari, dan selama peristiwa politik penting ketika sensor diperketat.
Pengguna di Tiongkok biasanya mempertahankan beberapa metode koneksi dan tetap mengikuti perkembangan pendekatan mana yang sedang berfungsi. Komunitas penembusan sensor secara aktif beradaptasi dengan teknik pemblokiran baru, tetapi tetap saja ada periode ketika akses terganggu.
Bagaimana EdgeVPN Menggunakan V2Ray
EdgeVPN menyertakan V2Ray dengan VMess melalui WebSocket+TLS sebagai salah satu pilihan protokolnya, khusus untuk pengguna yang menghadapi pembatasan jaringan. Penyiapan ini menyediakan manfaat penyamaran yang dijelaskan di atas sambil tetap mudah dikonfigurasi.
EdgeVPN juga menawarkan WireGuard untuk pengguna di jaringan tanpa pembatasan di mana kecepatan menjadi prioritas. Memiliki beberapa protokol yang tersedia berarti pengguna dapat memilih alat yang tepat untuk situasi spesifik mereka, alih-alih bergantung pada satu pendekatan saja.
Kesimpulan
Protokol VPN tradisional dirancang untuk privasi dan keamanan di jaringan terbuka, bukan untuk menghindari sistem sensor yang canggih. Great Firewall mengeksploitasi pola lalu lintas mereka yang dapat diidentifikasi untuk mendeteksi dan memblokirnya secara efektif.
V2Ray mengambil pendekatan yang secara fundamental berbeda dengan membuat lalu lintas proxy tidak dapat dibedakan dari browsing web normal. Meskipun tidak ada alat yang dapat menjamin akses permanen dan tanpa gangguan di lingkungan yang disensor, desain V2Ray memberikan ketahanan yang jauh lebih baik terhadap deep packet inspection dan pemeriksaan aktif.
Jika Anda bepergian ke atau tinggal di wilayah dengan pembatasan internet, memiliki alat yang mendukung V2Ray adalah langkah praktis. Ingatlah bahwa lanskap ini terus berubah, dan tetap mengikuti kondisi terkini sama pentingnya dengan memiliki perangkat lunak yang tepat.