Почему строке scramble в профиле .ovpn нужен пропатченный клиент

Профиль со строкой scramble импортируется в официальный клиент и затем сбоит на рукопожатии, либо импортируется с молча отброшенной строкой и подключается ни к чему. Директива относится к пропатченной сборке OpenVPN, а не к исходному набору функций, поэтому клиент без этого патча не может говорить на получившемся протоколе. Добавление строки в обычный профиль не добавляет реализацию. Совместимость должна быть на обоих концах, прежде чем файл что-то значит.

Считайте это сначала вопросом протокола, а потом вопросом магазина приложений.

Это не предпочтение, а формат на проводе

Патч scramble меняет то, как пакеты туннеля выглядят на проводе, обычно применяя XOR к полезной нагрузке с общим значением. Это меняет байты, которые обе стороны должны создавать и принимать, что делает это соглашением о формате, а не локальной настройкой. Если одна сторона применяет преобразование, а другая нет, получается сессия, которая проходит аутентификацию и затем не несёт ничего полезного. Настройка имеет смысл только когда оба конца выполняют одно и то же пропатченное поведение.

Два продукта могут оба рекламировать обфускацию и при этом реализовывать несовместимые преобразования. Название в меню — не спецификация; спецификацией является фактическая сборка оператора.

Импорт файла — это не совместимость

Клиенты по-разному ведут себя с неизвестной директивой. Одни сразу отвергают профиль, другие предупреждают и продолжают, а третьи отбрасывают строку и подключаются обычным рукопожатием. Последний случай опасен, потому что туннель может установиться с сервером, который принимает оба варианта, и затем сбоить только на трафике. Поэтому успешный импорт доказывает, что парсер терпел строку, а не то, что соединение будет работать.

Проверяйте с тем клиентом и сборкой, которые действительно нужны развёртыванию, против сервера, который оператор действительно запускает.

APK — это решение о цепочке поставок

Пропатченная сборка Android существует потому, что кто-то её скомпилировал, и её существование ничего не говорит о том, кто поддерживает её сейчас. Прежде чем одобрять одну, владелец развёртывания должен изучить ревизию исходников, из которой она взята, способ применения патча, идентичность подписи и путь обновления. VPN-приложение работает с учётными данными и всем охваченным трафиком, поэтому посторонняя страница загрузки не является приемлемым органом распространения.

Спросите оператора сервиса о поддерживаемой комбинации клиента и её текущем канале установки. Если этого канала больше нет, у развёртывания есть проблема с обслуживанием, которую старый двоичный файл не решает.

Обфускация — это не шифрование и не скрытность

Изменение видимого формата пакетов не заменяет шифрование и не гарантирует, что сеть не сможет классифицировать соединение. Тайминги, репутация конечной точки и окружающий трафик по-прежнему несут информацию. Сохраняйте проверки идентичности сервера, на которые опирается профиль, например проверку сертификата по ожидаемому имени, даже когда цель дополнительного слоя — изменить внешний вид.

Не заменяйте tls-crypt или настройку прокси патчем и не называйте это эквивалентом. Каждое меняет свою часть соединения.

Требуйте поддерживаемую пару

Достойный результат — это два конца, которые поддерживаются и явно совместимы, с документированным путём обновления на каждой стороне. Если такой пары нет, оцените поддерживаемый транспорт сервера или другую схему доступа вместо того, чтобы держать живым привилегированное старое приложение. Это решение принадлежит владельцу сервиса, а не тому, кто нашёл APK.

Работающая галочка scramble в клиенте — это локальное наблюдение возможности. Она ничего не говорит о сервере, пока реальная сессия не понесёт трафик.