00简述
通往另一面的通道
NII Iznanka 在你的设备和我们的服务器（球域）之间建立加密通道。之后你从球域出发访问互联网。
- 运营商和他人的 Wi-Fi 只能看到通往球域的加密流量，看不到网站地址和 DNS 查询
- 网站看到的是球域的地址，而不是你的
- 通道协议基于 AWG2（AmneziaWG 2.0）：WireGuard 的加密加上 DPI 伪装
- 访问凭 NFVPN 密钥：一把通用于你的所有设备
01协议
基于 AWG2
我们的协议基于 AmneziaWG 2.0（AWG2）。它是 WireGuard 的开源分支，保留了其加密和速度，同时隐藏了深度包检测系统（DPI）识别 WireGuard 所依据的特征。
加密：与 WireGuard 相同
| 项目 | 方式 |
|---|---|
| 密钥交换 | Curve25519，Noise IK 模式 |
| 通道加密 | ChaCha20-Poly1305 |
| 哈希 | BLAKE2s |
| 传输 | UDP，每个球域一个端口 |
伪装：AWG2 增加了什么
普通 WireGuard 一看步态就会暴露：握手长度总是一样，控制包开头字节也相同。这样的通道不用解密就会被切断。AWG2 打破了这些特征：
| 手段 | 参数 | 作用 |
|---|---|---|
| 握手前的垃圾包 | Jc, Jmin, Jmax | 向通道发送协议中不存在的随机长度数据包 |
| 随机填充大小 | S1 … S4 | 控制包不再是固定长度 |
| 自定义报头 | H1 … H4 | 消息类型与 WireGuard 不同，AWG2 中以范围设定 |
| 特征包 | I1 … I5 | 会话开头看起来像其他协议的流量 |
▸ 专属混淆
每个球域都有自己的一套参数，随服务器一同生成，绝不在别处重复：从一个球域取得的指纹，在另一个球域毫无用处。
伪装就在传输层中，因此速度和延迟几乎不变。
02数据包路径
从按钮到网站
- 登陆。应用建立到所选球域的 AWG2 通道：先进行带伪装的握手，然后交换加密数据包。
- 通道内部。设备的全部流量（开启分流时为所选应用的流量）都进入通道。DNS 查询也在通道内传输，并在球域中解析。
- 出口。球域解密数据包，并以自己的地址发往互联网。回复沿同一路径返回。
- 撤离。断开即关闭通道。Windows 客户端的 Kill Switch 会在通道建立期间阻止流量绕过通道泄露。
03谁能看到什么
坦诚的表格
| 谁 | 能看到 | 看不到 |
|---|---|---|
| 运营商、他人 Wi-Fi | 你连接到了某个球域地址，以及时间和流量大小 | 网站、DNS 查询、内容 |
| 球域 | 通道开启期间你的连接来源地址；数据包的去向（任何 VPN 都是如此） | 什么都不记录：不记网站地址、不记 DNS 查询、不记内容 |
| 网站 | 球域地址，以及你自己透露的一切（登录账号、Cookie） | 你的真实 IP |
| 我们 | 密钥、设备列表、流量计数、邮箱或 Telegram ID | 你去了哪里、在那里做什么 |
数据详情：使用政策。
04密钥与设备
通行证 NFVPN
- 密钥由网站个人中心（验证邮箱后）或 Telegram 机器人发放，一把通用于你的所有设备
- 应用通过 HTTPS 在请求正文而非网址中发送密钥，因此不会留在任何人的日志里
- 首次连接时设备会注册：球域为它生成专属的 WireGuard 密钥对
- 密钥在我们这里加密存储（AES-256-GCM），访问密钥本身还以哈希形式保存
- 在个人中心或机器人中“重置设备”，会立即吊销所有球域中的全部密钥对。密钥本身不变
05球域
我们的服务器
- 每个球域都是我们的：由 NII Iznanka 团队租用、配置并用防火墙保护。我们不转卖别人的节点池
- 球域代理只知道设备公钥和字节计数。其中的 DNS 查询收集功能已关闭并删除
- 速度公平分配：每台设备都有自己的上限，避免一台设备占满通道
- 球域彼此互不知晓：一个宕机，其余照常运行，应用会推荐另一个
- 球域代码（1-1 AENSLAND、1-2 MANDALA …）在网站、机器人和应用中一致
06应用
装备
| 平台 | 如何维持通道 |
|---|---|
| Windows | 系统服务与 Wintun 驱动、Kill Switch、按程序排除 |
| Linux | 单个 AppImage，通过 pkexec 建立通道 |
| Android | 系统 VPN、按应用分流、启动时登陆 |
| Steam Deck | 直接在游戏模式中运行的 Decky 插件 |
| iPhone, iPad, Mac | 从个人中心获取的 AWG 配置文件，用于兼容客户端 |
07边界
VPN 做不到的事
- 不会让你在已登录账号的网站上变成匿名
- 无法防护浏览器里的跟踪器和 Cookie
- 无法清除设备本身的病毒
- 无法隐藏你自己透露的信息
08安全
发现了漏洞？
请发邮件到 security@iznanka.tech：我们会处理并致谢。同一支团队也为企业提供审计与渗透测试，详见首页。