Comment configurer votre propre VPN Shadowsocks avec Outline

Pourquoi Outline et Shadowsocks

Shadowsocks est un proxy chiffré léger conçu, dès le départ, pour être difficile à détecter. Au lieu des handshakes reconnaissables qui trahissent WireGuard ou OpenVPN, il brouille votre trafic pour en faire un flux d'octets d'apparence aléatoire, sans signature révélatrice sur laquelle le DPI pourrait s'accrocher - ce qui explique pourquoi il est depuis longtemps un outil de prédilection pour franchir les pare-feu nationaux dans les pays fortement censurés. (Les pare-feu les plus avancés peuvent tout de même apprendre à repérer ce caractère aléatoire avec le temps - la limite honnête que nous abordons à la fin.)

Outline, créé par Jigsaw (une filiale de Google), transforme Shadowsocks en quelque chose que tout le monde peut faire tourner. Ce sont deux applications gratuites et open source : l'Outline Manager, qui installe et fait tourner le serveur sur votre propre VPS à votre place, et l'Outline Client, qui s'y connecte. Vous possédez le serveur, vous possédez les clés, et aucune entreprise ne se trouve au milieu à enregistrer votre trafic - vous ne payez que pour un VPS bon marché.

• Un VPS bon marché avec un processeur x86-64, au moins 1 Go de RAM, exécutant un Linux moderne tel qu'Ubuntu 22.04 / 24.04. Pour contourner la censure, hébergez-le en dehors du pays qui pratique le blocage.
• L'adresse IP du serveur et son accès SSH root - votre fournisseur vous les envoie par e-mail après le paiement.
• Un ordinateur (Windows, macOS ou Linux) pour faire tourner l'Outline Manager. L'installation initiale se fait depuis un ordinateur, pas depuis un téléphone - ensuite, vous pouvez vous connecter depuis un simple téléphone. Comptez aussi environ 10 minutes.

Étape 1 : Installer l'Outline Manager

Sur votre ordinateur, téléchargez l'Outline Manager depuis le site officiel, getoutline.org, et installez-le. Il fonctionne sur Windows, macOS et Linux. C'est l'outil d'administration - vous l'utilisez une fois pour installer le serveur, puis plus tard pour ajouter ou révoquer des clés d'accès.

Étape 2 : Installer le serveur sur votre VPS

Ouvrez l'Outline Manager et choisissez Configurer Outline n'importe où (pas les options cloud intégrées). Le Manager vous affiche une seule commande à copier. Connectez-vous en SSH à votre serveur et collez-la là - elle télécharge et exécute l'installateur officiel (dans un conteneur Docker) et affiche une ligne de configuration :

sudo bash -c "$(wget -qO- https://raw.githubusercontent.com/Jigsaw-Code/outline-server/master/src/server_manager/install_scripts/install_server.sh)"

Utilisez toujours la commande exacte affichée par le Manager. Une fois terminé, le serveur affiche une ligne verte qui commence par {"apiUrl": ...}. Copiez cette ligne entière, collez-la à nouveau dans l'Outline Manager et validez - votre serveur apparaît dans le Manager, prêt à l'emploi. (Si la commande échoue avec wget: command not found, certaines images minimales sont livrées sans cet outil - lancez d'abord apt update && apt install -y wget, puis collez à nouveau la commande.)

Étape 3 : Créer une clé d'accès

Dans l'Outline Manager, votre serveur possède désormais une clé d'accès par défaut. Cliquez sur Ajouter une nouvelle clé pour en créer une par appareil (un téléphone, un ordinateur portable, un ami), puis utilisez Partager pour copier la clé - c'est un court lien ss:// qui contient tout ce dont un client a besoin.

Traitez chaque clé comme un mot de passe : tous ceux qui la possèdent partagent la bande passante de votre serveur, et vous pouvez révoquer n'importe quelle clé à tout moment sans perturber les autres.

Étape 4 : Installer l'Outline Client et se connecter

Installez l'Outline Client sur l'appareil, puis ajoutez la clé ss://. Choisissez votre plateforme :

Étape 5 : Ajouter d'autres appareils et gérer les clés

Donnez à chaque appareil et à chaque personne sa propre clé. Dans l'Outline Manager, vous pouvez voir combien de données chaque clé a consommées, les renommer et supprimer une clé dès qu'un appareil est perdu ou qu'un ami n'a plus besoin d'accès - les autres continuent de fonctionner. C'est le grand avantage de l'auto-hébergement : c'est vous l'administrateur.

Étape 6 : Vérifier que ça fonctionne

Avec Outline connecté, vérifiez deux choses sur notre propre page Outils réseau. D'abord, Internet devrait désormais afficher l'IP de votre serveur - indiquée en haut de la page. Ensuite, ouvrez l'onglet Test de fuite DNS : les résolveurs listés ne devraient pas appartenir à votre FAI domestique. Si tout est correct, votre tunnel Outline est actif.

Erreurs fréquentes

• Pare-feu du fournisseur cloud. Sur AWS, Oracle Cloud, Azure ou Google Cloud, les ports sont fermés par défaut dans le panneau web. Ouvrez les ports de gestion et de clé d'accès affichés par l'installateur (le port de clé d'accès doit être ouvert à la fois en TCP et en UDP), pas seulement sur le serveur lui-même.
• Horloge du serveur désynchronisée. Shadowsocks rejette les connexions dont les horodatages dérivent trop, donc si vos clés sont correctes mais que rien ne se connecte, vérifiez l'heure du serveur. Lancez timedatectl et assurez-vous que l'horloge est synchronisée par NTP.
• Plages d'IP d'hébergement bloquées. Les pare-feu les plus stricts bannissent des plages d'IP entières des plus gros hébergeurs économiques. Si un serveur tout neuf est bloqué dès le premier jour, essayez un fournisseur plus petit et moins évident.
• Serveur à l'intérieur du réseau censuré. Un VPS physiquement situé dans le pays qui pratique le blocage peut être bloqué à la source. Hébergez-le à l'étranger.
• Partager une seule clé partout. Réutiliser une seule clé sur de nombreux appareils rend impossible d'en révoquer une seule. Créez une clé distincte par appareil.
• Forfaits OpenVZ très bon marché. Outline tourne dans Docker, qui nécessite un vrai VPS (KVM). Évitez les conteneurs OpenVZ les moins chers.
• Bloqué par un DPI avancé. Shadowsocks est robuste, mais les pare-feu les plus agressifs peuvent quand même apprendre à le repérer avec le temps. S'il cesse de fonctionner, un protocole qui imite un vrai site web - comme VLESS + Reality - est l'étape suivante.

Les limites, en toute honnêteté

Shadowsocks cache le fait que vous utilisez un proxy aux censeurs du réseau, mais les limites habituelles de l'auto-hébergement s'appliquent toujours : votre fournisseur peut voir les adresses IP qui se connectent au serveur et, sur un VPS, peut faire un instantané de sa RAM. Pour réduire ce que votre propre serveur conserve sur le disque, poursuivez avec notre guide sur comment faire en sorte que votre VPS ne conserve aucun journal. Et comme toujours, un VPN ou un proxy change l'endroit d'où votre trafic semble provenir - il ne vous place pas au-dessus de la loi de l'endroit où vous vivez.