Что такое DPI
DPI (Deep Packet Inspection) — это технология глубокой инспекции сетевых пакетов. Она позволяет провайдерам и государственным системам анализировать не только заголовки, но и содержимое трафика в реальном времени.
Простая аналогия: обычный файервол — это охранник, который проверяет адрес на конверте. DPI — это охранник, который вскрывает конверт и читает письмо.
Как DPI анализирует трафик
DPI-система работает на нескольких уровнях:
1. Анализ заголовков
Самый простой уровень. Система смотрит на порт назначения, IP-адрес и протокол. Например, трафик на порту 1194 — почти наверняка OpenVPN.
2. Сигнатурный анализ
Каждый протокол имеет характерную «подпись» — последовательность байтов в начале соединения. DPI хранит базу сигнатур и сравнивает каждое соединение с ней:
- OpenVPN — начинается с характерного хендшейка, который легко распознать
- WireGuard — использует UDP с фиксированным заголовком в 4 байта
- Shadowsocks — высокая энтропия данных, нетипичная для обычного трафика
- IKEv2/IPsec — использует UDP-порты 500 и 4500
3. Статистический анализ
Даже если протокол шифрует данные, DPI анализирует паттерны: размер пакетов, интервалы между ними, соотношение входящего и исходящего трафика. VPN-соединения создают характерные статистические аномалии, которые отличаются от обычного веб-сёрфинга.
4. Активное зондирование
Самый агрессивный метод. DPI-система отправляет специальные запросы к подозрительным серверам, чтобы определить их назначение. Если сервер отвечает как VPN — его блокируют. Этот метод активно используется Великим китайским файерволом.
Что DPI может блокировать
| Протокол | Метод обнаружения | Сложность блокировки |
|---|---|---|
| PPTP | Заголовки (порт 1723, GRE) | Элементарная |
| L2TP/IPsec | Заголовки (порты 500, 4500) | Элементарная |
| OpenVPN | Сигнатура хендшейка | Простая |
| WireGuard | Фиксированный UDP-заголовок | Простая |
| Shadowsocks | Статистический анализ энтропии | Средняя |
| VLESS Reality | — | Невозможная |
Как VLESS Reality обходит DPI
VLESS Reality — протокол, созданный специально для обхода DPI. Он не прячется от инспекции — он становится неотличимым от легитимного трафика.
Маскировка под реальный HTTPS
Обычные VPN создают собственный зашифрованный канал с узнаваемой сигнатурой. VLESS Reality работает иначе — он встраивается в стандартный TLS 1.3 поток.
Для DPI-системы ваше VPN-соединение выглядит как обычный визит на google.com или microsoft.com. Тот же протокол, тот же формат пакетов, тот же TLS-хендшейк. Это означает, что провайдер не может определить, что вы используете VPN.
Реальный SNI
SNI (Server Name Indication) — поле в TLS-хендшейке, которое указывает, к какому сайту вы подключаетесь. DPI-системы активно анализируют SNI.
VLESS Reality указывает в SNI реальный домен легитимного сайта. Провайдер видит, что вы подключаетесь к google.com — и пропускает трафик.
Имитация TLS fingerprint браузера
Каждый браузер формирует TLS-хендшейк по-своему — это называется TLS fingerprint (JA3). DPI-системы используют эти отпечатки для обнаружения нестандартных клиентов.
VLESS Reality имитирует TLS fingerprint популярных браузеров (Chrome, Firefox, Safari). Для DPI ваше соединение выглядит как обычный Chrome, открывающий веб-страницу.
Защита от активного зондирования
Если DPI-система отправляет зонд к серверу VLESS Reality, сервер отвечает как обычный веб-сервер — возвращает реальную страницу сайта-маскировки. Зонд не обнаруживает VPN, потому что сервер действительно ведёт себя как легитимный веб-сервер для всех, кроме авторизованных VPN-клиентов.
Стандартный порт 443
VLESS Reality работает на порту 443 — том же, что и весь HTTPS-трафик. Заблокировать порт 443 невозможно — это означает отключить весь зашифрованный интернет.
Почему другие методы обфускации не работают
obfs4 (Tor)
Шифрует трафик случайным образом, но высокая энтропия данных сама по себе является аномалией. DPI-системы обнаруживают obfs4 по отсутствию паттернов, характерных для легитимных протоколов.
Stunnel / OpenVPN over TLS
Оборачивает VPN-трафик в дополнительный TLS-слой. Проблема — двойное шифрование создаёт нехарактерное поведение: TLS внутри TLS имеет специфическую структуру пакетов, которую DPI обнаруживает статистически.
Cloak / Shadowsocks-obfs
Лучше, чем obfs4, но всё ещё уязвимы к статистическому анализу. Размер и тайминг пакетов отличаются от реального веб-трафика.
VLESS Reality — архитектурное решение
В отличие от перечисленных методов, VLESS Reality не добавляет обфускацию поверх VPN. Он изначально спроектирован так, что его трафик является легитимным TLS — с реальным сертификатом, реальным SNI и реальным TLS fingerprint. Это не маскировка — это мимикрия на уровне протокола.
DPI в России: текущая ситуация
ТСПУ (технические средства противодействия угрозам) — системы DPI, установленные у российских провайдеров по закону о «суверенном интернете». Они умеют:
- Блокировать OpenVPN и WireGuard по сигнатуре
- Обнаруживать Shadowsocks по статистическим аномалиям
- Замедлять определённые протоколы
- Блокировать доступ к конкретным IP-адресам
VLESS Reality работает стабильно, потому что ТСПУ не может отличить его от обычного HTTPS — заблокировать его означает заблокировать весь защищённый веб-трафик.
Часто задаваемые вопросы
Может ли DPI расшифровать мой VPN-трафик?
Нет. DPI анализирует структуру и паттерны трафика, но не может расшифровать данные, защищённые TLS 1.3. Провайдер видит, что вы подключаетесь к определённому IP, но не видит содержимое.
Провайдер знает, что я использую VPN?
С обычными протоколами (OpenVPN, WireGuard) — да, DPI легко определяет VPN-трафик. С VLESS Reality — нет, трафик неотличим от обычного HTTPS.
Что такое ТСПУ?
ТСПУ — технические средства противодействия угрозам. Это DPI-оборудование, установленное у российских провайдеров. Оно анализирует и фильтрует трафик в реальном времени. VLESS Reality обходит ТСПУ, потому что выглядит как обычный HTTPS.
Зачем вообще нужно обходить DPI?
DPI используется для блокировки сайтов и сервисов. Если вы хотите свободный доступ к интернету — вам нужен протокол, который DPI не может обнаружить.
VLESS Reality когда-нибудь заблокируют?
Чтобы заблокировать VLESS Reality, нужно заблокировать весь HTTPS-трафик — то есть отключить интернет. Ни одна страна не может себе этого позволить. Подробнее — в нашей статье о VLESS Reality.
Влияет ли DPI на скорость интернета?
DPI добавляет минимальную задержку при анализе пакетов. Но основная проблема — не задержка, а блокировка. Когда DPI обнаруживает VPN-протокол, соединение разрывается или замедляется до непригодной скорости.
Итог
DPI — мощная технология, которая обнаруживает и блокирует большинство VPN-протоколов. OpenVPN, WireGuard, Shadowsocks — все они имеют характерные признаки, которые DPI распознаёт. VLESS Reality решает эту проблему на архитектурном уровне: трафик неотличим от обычного HTTPS, без сигнатур, без аномалий, без поводов для блокировки.
Узнайте больше о VLESS Reality, о том, что такое VPN и зачем он нужен, или как выбрать VPN-сервис, который работает даже при жёсткой цензуре.
Подключитесь к Blink VPN — настройка за 2 минуты, VLESS Reality на серверах до 10 Гбит/с, без блокировок и без лимитов.