GhostCP (GhosTCP): защита TCP‑соединений от вмешательства на Windows — установка и настройка

GhosTCP полезен на Windows, когда TCP-соединения ломаются до того, как VPN или proxy начинают работать стабильно. Его лучше оценивать как слой transport hardening, а не как продукт приватности: маршрутизация, DNS, exposure аккаунтов и rollback остаются отдельными вопросами до включения на основном профиле.

Что такое ghostcp#

ghostcp (в репозитории инструмент называется GhosTCP) — это программа для Windows, которая старается защитить TCP‑соединения от вмешательства «по пути» (например, со стороны провайдера или промежуточных устройств). На практике такие вмешательства часто связаны с DPI/фильтрацией, нестабильной работой отдельных сайтов/сервисов, подменой/срывом соединений, попытками навязать блокировки и т.п.

Важно понимать границы:

• Это не VPN и не шифрование трафика само по себе. Если вы ходите на сайт по HTTPS — шифрование делает HTTPS, а ghostcp скорее помогает сделать сам TCP‑канал менее “предсказуемым” для вмешательства.
• Инструмент работает на Windows и опирается на WinDivert (драйвер перехвата/инъекции пакетов), поэтому требует прав администратора.
• Подходит технически грамотным пользователям, которые хотят повысить устойчивость TCP‑соединений (включая работу с доменными правилами, TTL и модификациями TCP).

Версия по данным репозитория: v0.5.8. Язык реализации: Go.

Установка#

Ниже — практичный путь “для новичка”: скачать готовую сборку, поставить WinDivert и запустить. Если вы хотите собрать сами из исходников, это тоже возможно.

Windows: установка через релизы (рекомендуется)#

1. Скачайте архив из раздела Releases репозитория macronut/ghostcp (версия v0.5.8).

2. Скачайте WinDivert версии 1.4.3 (как рекомендует автор) и распакуйте рядом с программой.

• Официальные релизы WinDivert:
  • https://github.com/basil00/Divert/releases/tag/v1.4.3

3. Подготовьте папку, например C:\Tools\ghostcp\:

• положите туда tcpioneer.exe (или аналогичный .exe из релиза ghostcp)
• положите туда файлы WinDivert (обычно WinDivert.dll/WinDivert64.sys/и т.п. — зависит от архива)

4. Запустите от имени администратора:

cd C:\Tools\ghostcp
.\tcpioneer.exe

Если программа стартует и не ругается на WinDivert — базовая установка готова.

Windows: установка как сервис#

В релизах/репозитории обычно есть install.bat, который регистрирует службу. Запускать нужно от администратора:

cd C:\Tools\ghostcp
install.bat

После установки проверьте службу:

sc query tcpioneer

Название службы может отличаться (зависит от скрипта). Если sc пишет, что служба не найдена — откройте install.bat и посмотрите, какое имя он использует.

Сборка из исходников (если нужно)#

Нужен Go и Windows‑окружение. Сборка под Windows x64:

git clone https://github.com/macronut/ghostcp
cd ghostcp
GOOS=windows GOARCH=amd64 go build

После сборки все равно потребуется WinDivert.

Linux / macOS#

ghostcp — инструмент под Windows (и использует WinDivert), поэтому на Linux/macOS “как есть” он не применяется. Если вам нужен аналогичный класс решений вне Windows, придется смотреть в сторону других механизмов перехвата (например, nftables/iptables, PF, прокси и т.д.), но это уже другой стек.

Базовая настройка#

Логика ghostcp строится вокруг конфигурации: вы задаете DNS‑поведение, IPv6, правила для доменов и ip:port, а также “методы” модификации TCP.

Ниже — минимальная конфигурация, с которой удобно начать и отладить работу. Создайте файл конфигурации рядом с exe (название зависит от сборки; часто это что-то вроде config.txt/config.ini). Если в релизе уже есть пример — возьмите его и отредактируйте.

Минимальный пример конфига#

# Опционально: DNS-сервер в формате IP:Port.
# Если задан server=..., домены в правилах будут резолвиться через DNS over TCP к этому серверу.
server=1.1.1.1:53

# Включать ли IPv6-резолвинг для доменных правил
ipv6=false

# Глубина поиска домена (например, 2 означает учет example.com для a.b.example.com)
subdomain=2

# TTL для "фейковых" TCP-пакетов (используется метод ttl)
ttl=7

# Методы модификации TCP (можно несколько)
method=ttl,w-csum

Что это значит простыми словами:

• server=1.1.1.1:53 — вы фиксируете DNS для доменных правил (и используете TCP для DNS-запросов к нему). Это может помочь, когда системный DNS “не дружит” с резолвингом нужных доменов.
• ipv6=false — новичкам проще начать без IPv6, чтобы исключить лишние переменные.
• ttl=7 и method=ttl — ghostcp будет отправлять поддельные TCP‑пакеты с выбранным TTL. Идея в том, чтобы эти пакеты “умерли” по дороге, не доходя до сервера, но могли сбить с толку вмешивающиеся устройства ближе к вам (подробнее — в разделе про TTL).
• method=w-csum — поддельные пакеты могут иметь неправильную checksum (опять же: цель — усложнить вмешательство, не ломая реальный трафик).

Привязка к домену или ip:port#

В конфиг можно добавлять правила:

1. Домен, который нужно резолвить (через указанный server, если он задан):

example.com
api.example.com

2. Домен, которому принудительно назначить IP‑адреса (например, если вы хотите фиксировать конкретные точки):

example.com=93.184.216.34

3. Конкретный адрес назначения ip:port, для которого будут отправляться фейковые пакеты при создании соединения:

93.184.216.34:443

Начните с одного домена или одного ip:port, чтобы легче понять, работает ли эффект и нет ли побочных проблем.

Основные сценарии использования#

Ниже — 3 практичных сценария. В каждом случае логика одна: вы точечно включаете ghostcp там, где есть симптомы вмешательства/нестабильности, а не “на все подряд”.

Сценарий 1: точечная защита HTTPS-домена#

Допустим, у вас периодически “сыпется” подключение к example.com по 443. Начните с доменного правила + безопасной пары методов.

server=1.1.1.1:53
ipv6=false
subdomain=2
ttl=7
method=ttl,w-csum

example.com

Запуск (из папки с программой):

.\tcpioneer.exe

Проверка базовой доступности:

curl.exe -I https://example.com

Если проблема исчезла — оставляйте правило. Если сайт перестал открываться — временно уберите w-csum или снизьте “агрессивность” (см. советы ниже).

Сценарий 2: настройка TTL по трассировке (чтобы “фейк” не дошел до сервера)#

Ключевой момент метода ttl: вы хотите подобрать TTL так, чтобы поддельные пакеты не достигали сервера, иначе это может сломать соединение.

1. Выполните трассировку до публичного адреса (пример из README — 8.8.8.8):

tracert 8.8.8.8

2. Логика подбора TTL (упрощенно):

• найдите “узел”, который географически/сетево рядом с вами (условно, в пределах вашего провайдера/региона)
• выберите TTL больше, чем до этого узла
• и меньше, чем до целевого сервера

3. Примените TTL в конфиге:

ttl=7
method=ttl

Если вы не уверены — начните с малого TTL (например, 5–9), протестируйте, и корректируйте.

Сценарий 3: принудительный HTTPS для домена (редирект с 80 на 443)#

Если вы иногда случайно открываете домен по http:// (порт 80), а хотите всегда уходить на HTTPS, в ghostcp есть метод https.

Пример:

server=1.1.1.1:53
ipv6=false
subdomain=2
method=https

example.com

Проверка:

curl.exe -I http://example.com

Ожидаемое поведение: запрос на 80 будет “переведен” на HTTPS (как именно — зависит от реализации; смысл — принудить безопасный протокол для указанного домена).

Советы и нюансы#

• Начинайте с точечных правил. Не включайте сразу десятки доменов и методов: если что-то сломается, вы не поймете причину. Сначала 1 домен → 1–2 метода.
• Осторожнее с “ломающими” методами. Методы вида w-csum, w-ack, w-md5 подразумевают намеренно некорректные элементы в поддельных пакетах. Это может помочь против вмешательства, но иногда вызывает побочные эффекты. Если после включения стало хуже — отключайте их первыми.
• TTL — главный рычаг. Если поддельные пакеты доходят до сервера, вы рискуете нарушить TCP‑логику на стороне сервера/балансировщика. Подбирайте TTL через tracert и тестируйте.
• IPv6 лучше отключить на старте. Многие проблемы “внезапно” оказываются связаны с тем, что часть трафика уходит по IPv6. С ipv6=false вы исключаете этот фактор и упрощаете диагностику.
• DNS фиксируйте осознанно. server=IP:Port полезен, когда вы хотите стабильный резолвинг “как задумано”. Но если у вас корпоративная сеть/локальные домены — принудительный DNS может мешать. В таком случае уберите строку server=..., чтобы использовать системный DNS.
• Проверяйте изменения простыми командами:
  • DNS (факт резолвинга): nslookup example.com
  • HTTPS: curl.exe -I https://example.com
• Помните про OPSEC. ghostcp не делает вас “анонимным” и не скрывает IP от сайтов. Если ваша задача — приватность на уровне маршрута/провайдера, обычно нужен VPN/туннель + корректные DNS/браузерные настройки. ghostcp — это скорее “стабилизатор/защита TCP” в проблемных сетях.

Вывод#

ghostcp (GhosTCP) — полезный Windows‑инструмент для тех, кто сталкивается с вмешательством в TCP‑соединения и хочет точечно повысить устойчивость подключений. Он не заменяет VPN, но может хорошо дополнять ваш privacy‑набор, если аккуратно настроить правила и TTL.

Что читать дальше?#

• Откройте VPN-гайды GigaTap, чтобы пройти маршрут от настройки до диагностики.
• Используйте помощник VPN start, если нужно выбрать между настройкой, клиентом, docs или профилем.
• Для device-specific импорта откройте VPN client setup hub.
• Сверьте продуктовые шаги в официальных docs GigaTap перед изменением клиентского профиля.
• Для соседнего сценария посмотрите гайд по ByeDPIManager для Windows.

Если проблема похожа на mismatch между оплатой, entitlement и реальным provider state, сначала фиксируйте симптомы клиента и только потом меняйте протокол или профиль.

Определение#

• GhosTCP - инструмент hardening для TCP, который меняет поведение соединения и снижает вмешательство filtering или traffic-shaping систем, особенно в Windows-сценариях.

Comparison#

Подход	Когда использовать	На что смотреть
GhosTCP	TCP sessions сбрасываются, зависают или режутся до подключения приложения.	Он сам по себе не шифрует и не изолирует весь трафик.
VPN client	Нужна шифрованная маршрутизация всего устройства.	Начальный handshake все равно может блокироваться или замедляться.
Proxy app	Альтернативный маршрут нужен только отдельным приложениям.	DNS и состояние браузера могут уйти мимо proxy.

FAQ#

GhosTCP является VPN?#

GhosTCP не является VPN. Он меняет поведение TCP, чтобы соединения реже ломались, но не дает полный encrypted tunnel, provider policy или модель разделения аккаунтов.

Что проверить после включения?#

Проверьте, подключаются ли целевые приложения, идет ли DNS по нужному пути и стал ли стабильнее VPN или proxy handshake. Если улучшилось только одно приложение, scope маршрутизации лучше оставить узким.