Caspian-BYOC: компьютер превращают в Wi-Fi-шлюз, чтобы один туннель обслуживал все устройства

Зачем нужен шлюз, а не клиент на каждом устройстве

Большинство инструментов обхода блокировок исходит из того, что клиент установлен на каждом устройстве. В описании проекта перечислены случаи, когда это не работает: смарт-телевизоры и игровые консоли не позволяют поставить произвольное приложение, старые телефоны не тянут современные клиенты, а гостю в доме настраивать подключение никто не будет. Отдельно упомянуто, что клиентские приложения удаляют из магазинов.

Предлагаемый размен — перенести всю настройку на одну машину. Пользователь вставляет ссылку-подписку в локальную веб-панель, машина включает точку доступа, и каждое подключившееся устройство идёт через туннель. По формулировке автора, один технически грамотный человек в семье обслуживает одну коробку вместо десяти устройств.

Что принимает и на чём работает

Панель принимает ссылки vless:// (включая REALITY), vmess://, trojan://, ss://, socks://, hysteria2:// и hy2://, а также конфигурации Clash и Clash.Meta в YAML, сырой JSON Xray, списки ссылок и содержимое подписки в base64. Из списка берётся первая ссылка; по адресу подписки конфигурация не скачивается — это оговорено отдельно.

Движком туннеля выступает Xray-core, подключённый как библиотека на Go и работающий внутри процесса. Поддержаны Windows 10 версии 2004 и новее и Windows 11 через «Мобильный хот-спот», macOS 13 и новее через «Общий интернет» (вход по Ethernet, раздача по встроенному радиомодулю; USB-адаптеры в роли точки доступа не поддержаны), а также Linux и Raspberry Pi через hostapd и dnsmasq.

Архитектурно проект разведён на два процесса: привилегированная служба владеет сетью и движком, веб-панель работает от непривилегированного пользователя и общается со службой через локальный сокет. Заявлено отсутствие телеметрии и проверок обновлений: наружу идут только сам туннель и проба доступности настроенного сервера. Лицензия — AGPL-3.0.

Что обещано на случай обрыва туннеля

Ключевое для шлюза свойство — поведение при падении туннеля. В описании заявлен режим «fail closed»: если туннель отваливается, пересылка трафика блокируется и устройства теряют связь, вместо того чтобы молча пойти напрямую через провайдера. На Linux это правило nftables, на Windows — фильтры WFP, на macOS — якорь pf.

Автор сам разделяет степень проверенности: правило для Linux, по его словам, проверено на живом Raspberry Pi 5 и тестами, а для Windows и macOS доказательства пока ограничены модульными тестами, а не прогонами на железе. Отдельным переключателем в панели можно обрубить пересылку клиентского трафика, оставив точку доступа, DHCP, DNS, панель и туннель поднятыми; настройка живёт только в памяти и перезапуск не переживает.

Чего пока нет: возраст проекта и отсутствие аудита

Проекту на момент публикации восемь суток: репозиторий создан 31 августа 2026 года, у него 71 отметка «звезда», и версии выходят по несколько раз в сутки — 0.2.4 и 0.2.5 датированы 5 сентября, 0.2.7 — 6 сентября, 0.2.8 — вечером 7 сентября, 0.2.9 — ночью 8 сентября. Список изменений последних выпусков состоит из починок: отказ портов, выходящих за диапазон, восстановление забытого пароля панели, понятное сообщение о ненастроенной стране Wi-Fi.

Независимого аудита безопасности у проекта нет, и это стоит держать в уме: шлюз видит трафик всех устройств в доме. Основная аудитория, названная автором, — пользователи внутри Ирана; интерфейс панели англо-персидский, страницы вики есть в том числе на русском. Ставить такую конструкцию имеет смысл с пониманием, что часть заявленных защит подтверждена пока только тестами разработчика.