Outline. Comment fonctionne le service

Le module Outline du panneau BeAdmin déploie un VPN reposant sur Shadowsocks avec chiffrement AEAD. Côté serveur, c’est outline-ss-server de l’Outline Foundation, une implémentation en Go de Shadowsocks qui gère de nombreux utilisateurs sur un seul port et sert TCP et UDP en même temps ; côté client, l’application Outline Client ou tout client Shadowsocks compatible.

Le problème qu’Outline résout

Les premières versions de Shadowsocks (avant 2017) chiffraient le contenu du paquet, mais transmettaient les premiers octets en clair. Un système d’inspection approfondie des paquets (DPI) passif pouvait ainsi identifier le tunnel à la structure du premier octet, sans connaître le contenu. La version AEAD (Authenticated Encryption with Associated Data, chiffrement authentifié avec données associées) a supprimé les en-têtes en clair : dès le premier octet, tout est chiffré, et le paquet est authentifié par-dessus le chiffrement. Toute tentative de le modifier en route le fait rejeter comme non authentique.

Outline, c’est du Shadowsocks AEAD pensé pour l’exploitation. Un seul serveur dessert autant d’utilisateurs qu’on le souhaite depuis un seul port TCP et un seul port UDP à la fois, sans réserver un port par utilisateur. L’implémentation, outline-ss-server, est écrite en Go, sous licence ouverte, et fait l’objet d’audits de sécurité indépendants réguliers. Le protocole lui-même ne masque rien : c’est un tunnel chiffré « honnête ».

Comment fonctionne Outline

Outline repose sur trois choix d’ingénierie.

Chiffrement AEAD sans en-têtes en clair. Il utilise chacha20-poly1305, le même algorithme que WireGuard. Chaque paquet est chiffré et authentifié en une seule opération ; le premier octet est déjà chiffré, et aucun champ de service reconnaissable ne circule sur le réseau. Pour un observateur passif, c’est un flux continu d’octets aléatoires.

Multiplexage des utilisateurs sur un seul port. Le serveur écoute un port TCP et un port UDP ; un nombre quelconque d’utilisateurs s’y connectent, chacun avec sa propre clé secrète. Le serveur détermine « qui arrive » grâce au handshake AEAD. Il n’est donc plus nécessaire de réserver un port par utilisateur ni de garder une plage de ports ouverte dans le pare-feu.

TCP et UDP depuis le même port. Outline relaie non seulement le TCP (HTTP/HTTPS), mais aussi l’UDP, ce qui compte pour les requêtes DNS sur UDP, la VoIP, les visioconférences et les jeux. Les deux transports sont servis depuis le même port par le même serveur.

Ce qu’Outline ne fait pas

• Il ne masque pas le trafic. L’AEAD supprime les signatures évidentes dans le premier octet, mais les systèmes DPI modernes à sondage actif savent identifier Shadowsocks par des méthodes statistiques, d’après les caractéristiques du flux (répartition des tailles de paquets, temporisations). Dans les pays où la censure est active, Outline est bloqué ou fonctionne de façon instable. Pour de tels réseaux, il faut Xray avec un camouflage en HTTPS ou Amnezia avec un camouflage du handshake par-dessus WireGuard.
• Aucun plugin d’obfuscation. v2ray-plugin, cloak et obfs-local ne sont pas branchés dans notre implémentation. Au-dessus de Shadowsocks, on ne déploie que Shadowsocks lui-même.
• Uniquement AEAD-2018 chacha20-poly1305. Shadowsocks-2022 (2022-blake3-*) n’est pas utilisé dans notre implémentation. Aucun autre chiffrement ne peut être choisi depuis l’interface.
• Ce n’est ni Tor ni une anonymisation. Un tunnel vers votre propre serveur cache le trafic au fournisseur d’accès, mais le serveur de destination voit toujours l’IP du client.
• Il ne rend pas le VPN légal. Si l’usage d’un VPN est restreint ou interdit dans votre juridiction, Outline n’y change rien.

Outline dans BeAdmin

Le module Outline de BeAdmin s’installe en un clic. Le panneau installe le serveur Shadowsocks, ouvre le port nécessaire et configure la sortie du trafic des clients vers l’extérieur. Inutile de modifier des fichiers de configuration ou de passer par la ligne de commande.

Pour chaque utilisateur, le panneau produit un lien de connexion prêt à l’emploi et un code QR. Le client scanne le code QR depuis l’application Outline Client ou colle le lien, et la connexion est prête. Outline Client existe sur toutes les grandes plateformes : Android, iOS, Windows, macOS, Linux, ChromeOS. Les clients Shadowsocks compatibles conviennent aussi.

Ce qu’il faut côté serveur : un VPS ordinaire ou une machine physique. Sur les serveurs à conteneurs (LXC, OpenVZ sans virtualisation complète), le module ne démarre pas : un accès complet à la pile réseau est indispensable. Les versions récentes d’Ubuntu et de Debian sont prises en charge.

Quand choisir Outline

Choisissez Outline lorsque :

• Le réseau n’exerce pas de censure active. Outline fournit du Shadowsocks AEAD sans camouflage : c’est suffisant pour un contournement de base des blocages par DNS, par IP ou par liste blanche, mais pas pour les réseaux à sondage actif.
• Vous avez besoin de compatibilité avec Shadowsocks standard. Outline, c’est de l’AEAD-2018 chacha20-poly1305 : tout client Shadowsocks compatible AEAD s’y connecte sans difficulté.
• Vous tenez à une application unique pour toutes les plateformes. Outline Client existe sur Android, iOS, Windows, macOS, Linux et ChromeOS.

Évitez Outline si :

• Le réseau bloque ou sonde activement le trafic Shadowsocks. Prenez Xray avec un camouflage en HTTPS ou Amnezia avec un camouflage du handshake par-dessus WireGuard.
• Vos utilisateurs ont l’habitude du client WireGuard natif. Prenez WireGuard ou Amnezia : aucune application supplémentaire n’est à installer.
• Le réseau ne pose aucun problème et vous voulez le VPN le plus rapide possible. WireGuard établit la connexion plus vite et supporte mieux les changements de réseau côté client.

En cas de doute, installez Outline dans BeAdmin et testez-le gratuitement.

Si vous n’avez pas encore de serveur, vous pouvez en prendre un chez nos partenaires : ils proposent des serveurs virtuels et dédiés avec le panneau BeAdmin préinstallé.

Plus de 15 ans d’expérience dans l’hébergement. Votre VPS avec BeAdmin est prêt à l’emploi.

• Allemagne
• Pays-Bas
• Suède
• Suisse
• Espagne
• États-Unis

Choisir un serveur

La fiabilité européenne en toute simplicité. Lancez BeAdmin avec votre VPS en un clic.

• Allemagne
• Pays-Bas
• Suède
• Estonie
• Roumanie
• Suisse
• Espagne
• Royaume-Uni
• États-Unis

S’inscrire

Étapes suivantes

• Outline. Démarrage rapide — installation du module et première connexion.
• Outline. Gérer le module — gestion du service et mises à jour.
• Outline. Gérer les utilisateurs — attribution et révocation des connexions, désactivation temporaire d’un utilisateur sans réimport.