5 min di lettura
Tre sistemi di filtraggio — iraniano, russo e cinese — sono costruiti in modo diverso, ma tagliano fuori la stessa cosa: i protocolli con un disegno di pacchetti riconoscibile. OpenVPN, L2TP, WireGuard puro e Shadowsocks nella configurazione di base cadono in tutti e tre. Passa una sola classe di soluzioni: quelle indistinguibili da un normale HTTPS. BessyConnect funziona in Iran, Russia e Cina proprio perché è costruito su quella classe. Qui sotto l'analisi di quali proprietà lo rendono possibile.
L'apparato non decifra il traffico: non ne ha né la potenza di calcolo né le chiavi. Guarda i segnali visibili dall'esterno:
| Segnale | Cosa tradisce il protocollo | |---|---| | Dimensione e ordine dei primi pacchetti | costanti in ogni VPN classica | | Campi dell'handshake TLS | una discrepanza con un sito reale si nota subito | | Entropia dei primi byte | Shadowsocks si tradisce proprio qui | | Ritmo dello scambio | pacchetti regolari di lunghezza fissa non somigliano al web | | Risposta a una richiesta di sondaggio | un server che risponde «da VPN» finisce in lista nera |
L'ultima riga è quella che si dimentica più spesso. Il sistema cinese non si limita ad ascoltare: si collega esso stesso all'indirizzo sospetto e verifica come risponde. Qui la cifratura non aiuta, perché a essere messo alla prova è il comportamento, non il contenuto.
1. L'handshake avviene con un sito vero. Il protocollo VLESS con mascheramento Reality prende in prestito il certificato TLS di una risorsa realmente popolare. Per un osservatore la connessione appare come una normale visita a un normale sito: certificato vero, dominio vero, gli stessi campi di handshake.
2. Il server sopravvive al sondaggio attivo. Quando il sistema di filtraggio invia una richiesta di prova, riceve esattamente la risposta che avrebbe dato quel sito vero. Non c'è appiglio. È questo a distinguere Reality da una «VPN su TLS»: mascherare il flusso senza una risposta credibile al sondaggio, in Cina non salva.
3. Nessuna firma propria. Manca quella costanza dei primi pacchetti per cui un protocollo finisce scritto in una regola. Se non c'è nulla da descrivere, non c'è nulla da bloccare per elenco.
4. Riserva di indirizzi. Più di cento server. Quando un indirizzo specifico finisce comunque sotto restrizione — e capita a qualunque servizio — cambiare richiede un secondo. La differenza tra «il servizio ha smesso di funzionare» e «ha cambiato posizione» sta esattamente nel numero.
Il lato tecnico del protocollo è trattato a parte: Reality e VLESS in parole semplici.
La distanza determina la latenza più di qualsiasi impostazione: la luce nella fibra viaggia a circa 200.000 km/s, cioè all'incirca 1 ms ogni 100 km andata e ritorno.
| Da dove | Località più vicina | Minimo fisico | Realistico | |---|---|---|---| | Russia, parte europea | Finlandia | ~9 ms | 15–25 ms | | Russia, parte europea | Polonia, Germania | 12–16 ms | 25–40 ms | | Iran | Turchia | ~15 ms | 30–50 ms | | Cina, costa orientale | Singapore | ~25 ms | 50–80 ms |
I nodi europei e americani funzionano anche da lì, ma con latenze di centinaia di millisecondi: tollerabile per i messaggi, non per chiamate e mappe.
Durante uno spegnimento totale di internet non funziona nulla: né il nostro servizio, né quello di nessun altro. Un tunnel trasporta traffico su un canale esistente. Quando un Paese spegne la rete, come ha fatto l'Iran l'8 gennaio 2026, non resta nulla da trasportare. Qualunque servizio prometta di funzionare durante un blackout ti sta mentendo.
Un singolo indirizzo può finire sotto restrizione. Succede a qualunque servizio in queste regioni e non significa che il servizio abbia smesso di funzionare: passare a un'altra località richiede un secondo e i server sono più di cento. È proprio la riserva di indirizzi a separare «ho cambiato server» da «sono rimasto senza connessione».
Nei Paesi con filtraggio duro anche gli store sono limitati. Un client installato in anticipo funziona; un client che provi a scaricare nel momento in cui ti serve potrebbe essere già irraggiungibile. È l'errore più frequente di chi arriva impreparato.
BessyConnect funziona in Cina e in Iran? Sì. Il servizio gira su VLESS con mascheramento Reality: un protocollo privo di firma propria che risponde correttamente al sondaggio attivo. Sono due proprietà che i protocolli classici non hanno e senza le quali in queste regioni non passa nulla.
Cosa faccio se un server specifico smette di aprirsi? Cambiare server all'interno dello stesso Paese: il più delle volte la restrizione ha colpito un indirizzo, non l'intera località. I server sono più di cento.
Quale località scegliere dall'Iran e dalla Cina? Turchia e Singapore rispettivamente, i nodi principali più vicini. I Paesi lontani aggiungono centinaia di millisecondi di latenza.
Serve il kill switch in questa situazione? Sì. Un tunnel che cade in un Paese con filtraggio significa che per quei secondi il traffico esce in chiaro attraverso la rete dell'operatore. Il kill switch trasforma la caduta in assenza di connessione.
Quanti dispositivi posso collegare? Nessun limite: un account copre telefono, portatile, tablet e televisore contemporaneamente.
Happ, Incy e Batya VPN sono client senza server propri; Sota è a pagamento. In cosa differisce BessyConnect: app propria su VLESS+Reality, senza registri. Altro
Reality, Shadowsocks o Trojan nel 2026: quale protocollo aggira blocchi e DPI. Confronto onesto di resistenza, velocità e dove entra BessyConnect. Altro
Quale VPN scegliere nel 2026: 6 criteri onesti — protocollo, server, log, dispositivi, traffico e accesso. Come scegliere la VPN migliore e perché BessyConnect. Altro
