Канал NL 200, websocket тунель и vless способны выжать до 190, при этом сервер 2ядра 2 гига, и по ядрам жрёт до 40-50 в момент активной загрузки или теста, про просмотре сайтов около 10-20%
Статья на хабре на модерации. Там я описал как и куда, только без использования reality, я только проверил что работает так. С IP не проверял, это потянет на целую статью ещё
Kil1J0y, есть второй вариант будет (должен) работать со reality, это использовать, default_backend как vless а трафик tcp так же разбирать по sni а дальше пускать на http.
Забыл упомянуть, используете send-proxy-v2-ssl-cn при отправке на http
Я работаю с haproxy, vless tls, 80 443 открыт по tcp, для vless нужен домен/поддомен далее трафик шлем на http там разбор по sni и пути, путь скрывает кучу доменов и защищает сервисы от майора
ky0, но, не хорошо, у мс есть rdp gateway который использует tls на 443, на входе торчит haproxy маршрутизация по sni, вот это уже похоже на защиту, что бы подключиться нужно установить корневые сертификаты, знать логин пароль от шлюза и пароль от машины
Монитрить можно dns запросы, а можно писать tcpdump в целом все, и потом разбирать в Wireshark к примеру, естественно не получите расшифрованный трафик tls для этого в разрез нужно ставить прокси и раскидать клиентам сертификаты
Дефолтный резолвер, всегда отключаю и подымаю unbound, если сервер то пересылка на root сервера, если клиент, то пересылка на роутер или защищеный dns, но чаще стал использовать unbound+adguardhome на серверах.
Ну либо делать зеркалирование трафика на отдельную машину, и такое есть применение для ids/ips хотя скорее только информирование об угрозах будет а не активное противодействие, собственно dpi контроль трафика получите, а вот что вы развернёте это уже на ваш выбор.
Есть wg пока что, в планах поменять на openconnect, развернут adguardhome в конфиге который даёте клиенту прописывается адрес сервера dns, главное чтоб он слушал этот адрес и все, получаете мониторинг, у меня dot adh торчит во вне, доступ по белому списку.
Юрий MikroTik, больше скажу у них и альтернатива есть ГОСТ ssl VPN, почти на Cisco только ГОСТ. Открытой реализации не встречал, хочешь платить и работай не хочешь не работай. Возможный вариант из обозримого будущего
