Privater VPN/IPsec in kritischen Ländern wie China

[aid0nex]

Hallo zusammen,

anstatt irgendeines VPN Dienstes wie Hide My Ass, NordVPN, ExpressVPN, Tunnelbear oder wie sie auch immer alle heißen mögen (der Markt wird derzeit ja gefühlt überflutet von solchen VPN Anbietern mit der immer gleichen (guten) Leistung zum immer gleichen Preis) nutze ich unterwegs und im Ausland über Handy, Tablet und Notebook einen privaten VPN in Form eines IPsec Tunnels in mein Heimnetzwerk - da alles im Internetanschluss dann da raus geht, bekomme ich genauso eine sichere, nicht zensierte Leitung mit deutscher IP und bin damit auch gegen Geoblocking safe. Denn Dienste wie Sky GO blocken zum Beispiel immer wieder viele Server der VPN Dienstleister, während sie das bei meiner dynamischen DSL IP ja wohl kaum machen können. Doch wie sieht das ganze eigentlich in extremen Ländern wie China aus? Dort ist das ja ein Katz und Maus Spiel zwischen der "Great Firewall" der Regierung und den VPN Anbietern, so wie man das hört. VPNs sind ja generell wohl erstmal nicht verboten, aber die großen Anbieter bekommen wohl "Lizenzen", wenn sie sich der Regierung unterwerfen - oder sie machen halt das Katz und Maus Spiel weiter. Doch wie sieht das bei Firmen und Privatpersonen wie mir aus? Angenommen ich wäre in China - könnte ich dann ohne Probleme meinen IPsec VPN in mein Heimnetzwerk nutzen?

MfG

 

[Pilatesjünger]

Wird oft geblockt. Zumindest meine Erfahrung zu meinem openvpn 1194

 

[Falc410]

Kannst du i.d.R. benutzen. Ich tunnel mein VPN über Port 80 oder 443 oder 8080 und dann können die es von normalen TLS Traffic eh nicht unterscheiden. Hat bei mir immer funktioniert. Manche kommerzielle Anbieter wurden schon des öfteren in China abgeschaltet - ist halt ärgerlich wenn man ein Jahres-Abo gekauft hat oder so.

 

[floxorius]

Die Nutzung von VPN ist in China verboten und benötigt eine Genehmiging. Es funktioniert unter Umständen aber Big Brother bittet dann auch gerne am nächsten Morgen um Ausreise.

 

[suRe]

Japp, wird meist geblockt. Alternativ HTTPS Port für VPN nutzen (OpenVPN oder Wireguard entsprechend konfigurieren)

 

[aid0nex]

Danke schonmal für die Antworten bisher.

 

[till69]

Alternativ HTTPS Port für VPN nutzen (OpenVPN oder Wireguard entsprechend konfigurieren)

Wireguard auf HTTPS Port geht nicht, UDP != TCP

Würde mich wundern, wenn in China das IPsec (UDP 500/4500) zu einer Fritzbox funktioniert.

Wie schon oben gesagt, die größte Aussicht auf Erfolg hast man mit OpenVPN auf TCP Port 443, aber selbst das kann durch DPI erkannt/geblockt werden.

 

[sizeofanocean]

Wireguard auf HTTPS Port geht nicht, UDP != TCP

"Geht" in der Regel schon (wenn jetzt nicht einfach plump 443 nur für TCP offen steht), macht natürlich nur wenig Sinn. Zumindest ein klein wenig mehr Sinn würde ein Port für ein fast nie geblocktes Protokoll, das auf UDP aufbaut, machen, wie 53/DNS.

Aber nicht nur in China lachen sich Netadmins über solche "Maßnahmen" tot, der VPN Verkehr wird als solcher erkannt, ob du den nun über einen anderen Port murkst oder nicht, dafür müssen die Chinesen ja nicht mal ihre DPI Maschine anschalten.

Kommt halt ganz drauf an, was man machen will. So antike Geschichten wie IPSec mit all seinen Aufbauten nach heutigem Maßstab "sicher" zu bekommen ist um ein Vielfaches aufwendiger, als ein schlankes, modernes Wireguard aufzusetzen, aber beide dienen in der Anwendung meist vermutlich auch unterschiedlichen Zielen. Typische VPN Verbindungen als "nicht-VPN-Verkehr" tarnen, damit er nicht geblockt wird, da hab ich keine relevanten Erfahrungen, was da aktuell so angesagt ist. Solange es um Themen wie Geoblocking geht, kann man ja viel experimentieren, Hauptsache es läuft am Ende. Ich würde mich aber weder mit IPSec Tunneln oder Wireguard wohl fühlen, wenn es um ernstere Dinge geht.

 

[Piktogramm]

Viele der großen VPN Anbietern gehören eh Chinesen:
https://tech.slashdot.org/story/19/...e-secretly-owned-by-chinese-firms-study-finds

Mal ganz abgesehen davon, für die oft deutlich unter 10€ im Monat ist kaum zu erwarten, dass die VPN Anbieter kostendeckend arbeiten können, ohne dass sie sekundäre Einnahmequellen erschließen.

VPNs in HTTPs zu verpacken geht und fällt nicht sofort als VPN auf. Mit etwas Mustererkennung über einen Zeitraum X kann es aber auffallen. Schon allein, dass von deinem Anschluss dann nur Daten an einen einzelnen Server gehen und du nichts anderes ansteuerst etc. pp.

 

[stabile]

VPN in China wird längst nicht so heiß gegessen wie es gekocht wird. Die Chinesen selbst nutzen sehr ausgiebig VPN Dienste und beinahe jeder junge Nutzer bedient sich irgendeines Anbieters, um Instagram, Facebook oder Twitter zu nutzen.

Ich nutze gerne ExpressVPN, was meistens funktioniert. Häufig ist Hong-Kong als nächstes Ziel vorgeschlagen, nach Deutschland dauert der Verbindungsaufbau meist etwas länger. Für WhatsApp oder Google reicht aber ersteres.

Eigene VPNs gehen durch, aber längst nicht so zuverlässig wie hier in Deutschland. Die besten Erfahrungen habe ich mit OpenVPN gemacht, IPSec geht aber auch. Für die Zuverlässigkeit spielt es eine Rolle, aus welchem Netz man sich verbindet. Oft sind Hotelnetze oder Hotspots sehr restriktiv, gute Erfahrungen habe ich mit Mobilnetzen gesammelt. Da kommt man oft durch.

Was die Great Firewall aber gerne macht, ist Verbindungen zu verlangsamen. Das kann sie dynamisch und vermutlich über Regelsätze, die nach IP und Diensten filtern. So kann es sein, dass VPN Kanäle, die wochenlang hervorragend funktioniert haben, auf einmal nur noch ein Zehntel der Geschwindigkeit haben und man schlicht nicht weiß, warum.

Wer beruflich Daten austauschen muss, für den lohnen sich spezialisierte Anbieter, die direkt Leitungen von der Regierung mieten. So kann man seinen Traffic nahezu unbehelligt durchleiten. Kostet natürlich einiges, funktioniert aber.

Die Angst vor der Obrigkeit sollte man im Übrigen nicht überschätzen. Die Chinesen wissen sehr genau, dass der Staat ihnen auf die Finger schaut. Wegen eines VPNs wird da auch niemand verhaftet, das geht bei der Masse gar nicht.

 

[Paradox.13te]

Merke:
1. Je größer der Anbieter ist, desto mehr Werbung er schaltet --> desto öfteren wird er geblockt.
2. Der Anbieter muss oder sollte viele Protokolle unterstützen falls einer geblockt wird.
3. Sollte die Möglichkeit haben den Traffic zu verschleiern sprich obfuscate diese
4. Kein 0815 ISP Anbieter in China nehmen da diese keine eigene Leitungen ins Ausland haben. Daher nur: China Unicom, China Mobile oder China Telekom.
5. Anbieter sollte Server in HKG , Süd Korea, Taiwan, Japan und Westküste USA speziell LA haben da gute Geschwindigkeiten zu erwarten sind. ( Gute Anbieter teilen dir mit welche Server ein gutes Peering mit welchem ISP haben.

Das ist meine Erfahrung in 11 Jahren Peking und bis jetzt hatte ich noch nie einen Totalausfall gehabt bzw. "funktioniert meistens". Es lief immer , und das ist das A und O hier.