Contournement de liste blanche

Fait passer le trafic internet par des plateformes d'appels vidéo (VK Call, Yandex Telemost, WB Stream) pour contourner la censure par liste blanche gouvernementale.

Installation

Guide d'installation pas à pas (en russe) : docs/SETUP.md

Fonctionnement

Deux modes de tunnel sont disponibles : DC (DataChannel) et Video (encodage de données VP8). La configuration recommandée est headless aux deux extrémités - du Go pur (Pion) dialogue directement avec le SFU de la plateforme, sans navigateur. L'obfuscation ChaCha20, le pacing VP8 configurable et le backend LiveKit/WB Stream sont des fonctionnalités réservées au mode headless.

Un chemin navigateur hérité (un joiner Android WebView face à un créateur desktop Electron avec des hooks JS) fonctionne encore pour VK DC, mais il est plus lent, ne peut pas obfusquer, et est en cours d'abandon. Les nouveaux déploiements devraient utiliser le mode headless.

Mode DC

Pion ouvre un DataChannel SCTP sur le PC publisher et y tunnelise TCP/UDP. Les trames traversent le SFU de la plateforme comme n'importe quelle autre charge utile DataChannel.

Joiner (censored, Android/iOS/Linux)                Creator (free internet)

All apps
  |
VpnService (captures all traffic)
  |
tun2socks (IP -> TCP)
  |
SOCKS5 proxy (Go, :1080)
  |
Headless joiner (Pion)                    Headless creator (Pion)
  |                                         |
DataChannel  <------- SFU ------->   DataChannel
                                            |
                                        Relay bridge
                                            |
                                        Internet

Mode Video

Même pipeline que le mode DC, mais le tunnel passe par une piste vidéo VP8 publiée au lieu d'un DataChannel SCTP. Utile lorsque le SFU limite le débit des DataChannels mais laisse passer le RTP (par ex. Telemost), et obligatoire sur certaines plateformes (la piste publisher de WB Stream est toujours de la vidéo). Le framing du tunnel et la couche de multiplexage au-dessus sont identiques au mode DC.

Le trafic passe par le SFU de la plateforme, qui figure sur la liste blanche gouvernementale. Pour la DPI, cela ressemble à un appel vidéo normal.

Composants

• relay/ - relais Go partagé par les deux extrémités : proxy SOCKS5, plomberie tun2socks, tunnel DC/VP8, obfuscateur ChaCha20, multiplexeur de connexions, bindings gomobile/iOS
• headless/vk/ - créateur VK headless : crée ou rejoint un appel via l'API HTTP VK, tunnel Pion DC/VP8, sans navigateur
• headless/telemost/ - créateur Telemost (Yandex) headless avec le même modèle
• headless/wbstream/ - créateur WB Stream headless (basé sur LiveKit, jetons invités anonymes)
• headless/dion/ - créateur DION headless avec le même modèle
• headless/bitrix/ - créateur Bitrix headless (DC/VP8 adaptatif, jonction invité)
• headless/wbstream-joiner/ - joiner WB Stream desktop (homologue du créateur, utilisé pour les tests et les clients Linux)
• headless/telemost-joiner/ - joiner Telemost desktop (homologue du créateur, utilisé pour les tests et les clients Linux)
• headless/dion-joiner/ - joiner DION desktop (homologue du créateur, utilisé pour les tests et les clients Linux)
• headless/bitrix-joiner/ - joiner Bitrix desktop (homologue du créateur, utilisé pour les tests et les clients Linux)

Téléchargement

Des binaires précompilés sont disponibles sur GitHub Releases.

Côté créateur (internet libre, desktop)

Téléchargez et lancez l'application Electron depuis GitHub Releases. Elle embarque automatiquement le relais Go.

1. Ouvrez l'application
2. Sélectionnez le mode de tunnel (DC ou Video)
3. Cliquez sur « VK » ou « Telemost »
4. Connectez-vous, créez un nouvel appel depuis l'application
5. Copiez le lien de jonction, envoyez-le au joiner

Important : l'appel doit être créé depuis l'application Creator. Rejoindre un appel existant depuis l'application ne fonctionnera pas - les hooks JS doivent être présents dès le début de l'appel.

Côté joiner (censuré, Android/iOS/Linux)

Trois formes sont disponibles ; choisissez celle qui convient à l'appareil :

• Android - installez whitelist-bypass.apk depuis Releases. Autorisez l'invite VPN au premier lancement. Collez le lien de jonction et appuyez sur GO ; le trafic à l'échelle du système passe par l'appel.
• iOS - installez whitelist-bypass-proxy.ipa depuis Releases (sideload via AltStore / Sideloadly / votre compte développeur). Expose uniquement un proxy SOCKS5 local - pas de VPN système. Pour proxyfier tout l'appareil, pointez n'importe quelle application VPN compatible SOCKS5 (Shadowrocket, Streisand, ...) vers le point de terminaison SOCKS5 affiché par l'application ; ou configurez le proxy par application (Telegram le prend en charge nativement).
• Linux desktop - lancez un joiner headless ; il expose un proxy SOCKS5 sur le port donné pour tout ce que vous y pointez. Utile pour les serveurs et les clients Linux. Les options --socks-user / --socks-pass activent l'authentification SOCKS5 par nom d'utilisateur/mot de passe.
  • WB Stream : headless-wbstream-joiner --room <link> --socks-port 1080 [--socks-user u --socks-pass p]
  • Telemost : headless-telemost-joiner --tm-link <link> --socks-port 1080 [--socks-user u --socks-pass p]
  • DION : headless-dion-joiner --room <link> --socks-port 1080 [--socks-user u --socks-pass p]
  • Bitrix :

Le guide complet pas à pas (en russe) couvre chaque plateforme en détail : voir docs/SETUP.md.

Compilation depuis les sources

Prérequis

• Go 1.26+
• gomobile (go install golang.org/x/mobile/cmd/gomobile@latest)
• gobind (go install golang.org/x/mobile/cmd/gobind@latest)
• Android SDK + NDK 29
• Java 11+
• Node.js 18+

Scripts de compilation

# Full release build (Android APK + Creator app + Headless creators + Linux joiners + VK bot + iOS IPA on macOS)
./make-release.sh

# Individual builds
./build-go.sh          # Go .aar, relay binary, headless creators
./copy-hooks.sh        # Copy JS hooks to android assets
./build-app.sh         # Android APK
./build-headless.sh    # Headless binaries only (current platform)
./build-cli.sh         # Per-arch zips of headless creators + joiners + vk-bot
./build-creator.sh     # Creator Electron app (all platforms)
./build-ios.sh proxy   # iOS proxy app, xcframework + unsigned IPA
./build-ios.sh vpn     # iOS VPN app, xcframework + unsigned IPA

iOS

Nécessite Xcode et macOS. build-ios.sh prend un argument, proxy ou vpn.

./build-ios.sh proxy   # ios-proxy-app -> prebuilts/whitelist-bypass-proxy.ipa
./build-ios.sh vpn     # ios-vpn-app   -> prebuilts/whitelist-bypass-vpn.ipa

Le script compile Mobile.xcframework dans le répertoire de l'application, exécute le strip-signing.sh de l'application pour retirer l'équipe de développement du projet, compile l'application non signée, et écrit une IPA non signée dans prebuilts/.

Pour l'exécuter sur un appareil, ouvrez le .xcodeproj correspondant dans Xcode, définissez votre équipe et des identifiants de bundle uniques dans Signing & Capabilities, puis compilez. La variante vpn nécessite la capacité Network Extension sur ses identifiants de bundle.

Sortie dans prebuilts/ :

Compilation Docker

Pour compiler le projet avec Docker, exécutez :

docker compose -f docker-build/docker-compose.yml up 

Cela compilera tous les composants (creator-app, headless, application Android) dans le dossier prebuild (sauf le créateur macOS)

Créateurs headless

Créateurs en Go pur qui créent des appels via l'API sans navigateur. Pas d'Electron, pas de hooks JS - Go Pion PeerConnection gère directement le tunnel DataChannel.

./build-headless.sh

Dix binaires sont produits - cinq créateurs, quatre joiners Linux, et le bot VK :

./headless/vk/headless-vk-creator               --cookies cookies-vk.json
./headless/telemost/headless-telemost-creator   --cookies cookies-yandex.json
./headless/wbstream/headless-wbstream-creator   --cookies cookies-wbstream.json
./headless/dion/headless-dion-creator           --cookies cookies-dion.json
./headless/bitrix/headless-bitrix-creator       --cookies cookies-bitrix.json
./headless/wbstream-joiner/headless-wbstream-joiner --room <link> --socks-port 1080
./headless/dion-joiner/headless-dion-joiner         --room <link> --socks-port 1080
./headless/telemost-joiner/headless-telemost-joiner --tm-link <link> --socks-port 1080
./headless/bitrix-joiner/headless-bitrix-joiner     --link <link> --socks-port 1080
./headless/vk-bot/headless-vk-bot               --token <t> --group-id <g> --bins-dir <dir>

Les quatre créateurs nécessitent des cookies exportés depuis l'application créateur desktop (bouton Export Cookies) au format JSON [{"name":"..","value":".."},...]. DION accepte aussi {"email":"..","password":"..","cookies":[]} et se connecte alors de lui-même, voir docs/SETUP.md.

Options communes

Rejoindre un appel existant

Par défaut, chaque binaire crée un nouvel appel. Pour s'attacher à un appel existant (redémarrages de serveur sans invalider le lien, sessions multiples façonnées, ...) :

Mutuelllement exclusif avec les options de création d'appel (--peer-id pour VK ; les autres n'ont pas d'option de création).

Modes de ressources

custom retombe sur les valeurs par défaut de unlimited pour toute option non définie, donc les surcharges partielles fonctionnent :

./headless-vk-creator --cookies cookies-vk.json --vk-link https://vk.com/call/join/<token> \
  --resources custom --read-buf 65536 --max-dc-buf 8388608 --mem-limit 268435456 \
  --write-file /var/run/whitelist-bypass/call.txt

• read-buf - taille du tampon de lecture TCP/DC. Plus petit = vérifications de contre-pression plus fréquentes, mémoire moins en rafales
• max-dc-buf - met en pause les lectures TCP lorsque la quantité bufferisée du DataChannel dépasse cette valeur ; câblé uniquement dans VK (Pion BufferedAmountLowThreshold)
• mem-limit - limite mémoire souple du runtime Go ; rend le GC plus agressif près du plafond

Licence

MIT

Faire un don

• 0xd986b7576340d8d7b04f806dfd38a182b19edf50 - USDC (ERC20)
• TTEo4XXTB6CqhEiKpyoncfk3skEvoq3bCP - USDT (TRC20)
• UQCZge2JzLmwNtI56p-ZxLuN2f7ZMCPGqO0XTt3wJ-cy8JaE - USDT (TON)