Риски прогона трафика через два сервера?

Question

[phzeroegro]

Я развернул мессенджер для компании на российском VDS, сказали дополнительно поднять VPN под ряд сайтов, нужных для работы. Так вот, суть вопроса: что будет безопасно и эффективно работать:
если я буду весь трафик (50 пользователей) гнать через российский VDS (на котором стоит мессенджер), на котором будет MARZBAN с настройками списка сайтов (то есть, трафик через зарубежный VPN пойдет только если клиент будет подключаться к сайту из списка);
либо настроить список сайтов непосредственно на телефоне (буду использовать клиент teapod-stream), то есть, клиент не будет проводить трафик через ру VDS, а сразу его погонит на зарубежный сервер.
Меня беспокоит, что могут заблокировать ру VDS, если будет идти большой трафик через него, а со вторым способом есть вариант, что операторы будут постоянно банить зарубежный IP и придется постоянно его менять. Забыл сказать, клиент ВПН будет постоянно включен на телефоне

Comments

[aleks-th]

И так и так заблокируют через неделю, так что даже по SSH потом на эти впс-ки не зайдешь.
И от количества трафика это зависеть не будет.
Если паттерны трафика - совпадать будут особенно стем что это - что это какойнить запрещенный мессенджер, то заблочат быстро....

Постоянно менять ты будешь только снова оплачивая VDS новую, и то недолго, так как там нельзя теперь вот так адреса менять на лету на дешевых тарифах...

В общем не делай это на рабочем сервере, делай на том который нежалко похоронить когда заблочат.

Причем полностью по разным серверам раздели корпоративную часть - ее то трогать внутри страны не будут.

И всякую внешнюю непотребщину, так как ее будут точно периодически блочить.

Answer 1

[Drno]

да могут забанить вместе с мессенджером
да могут забанить и зарубежный
да количество траффика это тоже важно, поэтому я бы рекомендовал на устройстве списки делать

разделяй риски

Answer 2

[Пума Тайланд]

Если Marzban на том же хосте что и мессенджер — достаточно заблокировать один IP, и оба сервиса падают разом. Это главный риск первого варианта.

Второй вариант геморройнее в поддержке (надо апдейтить конфиг на клиентах), но зато мессенджер живёт независимо от VPN-инфраструктуры.

Answer 3

[gogatmn]

Самый правильный вариант - на клиенте раздельное тунеллирование всегда. Можно использовать Amnezia VPN - оно умеет. Список русских IP агрегированный порядка 8 тысяч префиксов. То что не адреса РФ - отправляются в туннель на РФ сервер к которому каскадом подключен сервер за рубежом. ТСПУ всегда видит нормальный трафик к РФ ресурсам и какой то трафик к РФ VPS. Формально вы не ходите зарубеж вообще с точки зрения оператора. Адрес забугорного сервера никогда не раскрывается.