DPI (Deep Packet Inspection, глубокая инспекция пакетов) — это технология, которая анализирует не только адрес назначения, но и содержимое и поведение сетевых пакетов. По характерным признакам — как устроено рукопожатие, какого размера пакеты, с какими интервалами они идут — DPI распознаёт популярные VPN-протоколы и решает, что с ними делать: пропустить, замедлить или оборвать. Именно поэтому VPN, который вчера работал, сегодня может еле ползти. Защищает от этого не один «волшебный протокол», а умение переключаться между разными способами подключения.
Чем DPI отличается от обычной блокировки
Классическая блокировка работает как список запрещённых адресов: если сайт или IP-адрес внесён в реестр, провайдер не пускает к нему. Обойти такую блокировку несложно — достаточно отправить трафик через сервер в другой стране.
DPI устроен иначе. Он смотрит на сам трафик и пытается понять, что это за соединение, даже если содержимое зашифровано. Для этого ему не нужно расшифровывать данные — хватает внешних признаков:
- последовательность и размер пакетов при установке соединения;
- служебные поля в заголовках;
- распределение размеров пакетов и интервалы между ними;
- имя сайта, которое видно в начале TLS-соединения (SNI);
- длительность соединения и объём переданных данных.
Вместе эти признаки образуют «отпечаток» протокола.
Что такое ТСПУ
В России DPI-оборудование называется ТСПУ — технические средства противодействия угрозам. Их устанавливают операторы связи в своих сетях в соответствии с законом о «суверенном интернете», а управление ими централизовано. Одним из первых заметных случаев применения ТСПУ стало замедление Twitter. С тех пор этот инструмент используют и для ограничения VPN: в ряде сетей пользователи сталкивались с блокировкой OpenVPN, WireGuard и других распространённых протоколов.
Важно, что поведение ТСПУ может отличаться от оператора к оператору, от региона к региону и даже в зависимости от времени суток.
Как DPI распознаёт VPN
Сигнатуры протоколов
Большинство классических VPN-протоколов создавались ради защиты данных, а не ради маскировки. У OpenVPN в каждом пакете есть поле с типом сообщения, сообщения рукопожатия WireGuard имеют фиксированный размер, IKEv2, L2TP и PPTP используют характерные порты и структуры пакетов. Для DPI это готовые правила распознавания.
Поведенческий анализ
Даже если протокол замаскирован, его может выдать поведение: долгоживущее соединение с ровным потоком данных выглядит иначе, чем обычный веб-сёрфинг. Современные системы используют для этого статистику и машинное обучение.
Активное зондирование
Обнаружив подозрительный сервер, система может сама подключиться к нему и посмотреть на ответ. Если сервер отвечает «как VPN», его адрес попадает под блокировку.
Что происходит после распознавания
- соединение обрывается сбросом (TCP RST);
- скорость режется так, что соединение формально живо, но пользоваться им нельзя;
- блокируется IP-адрес сервера целиком.
Замедление часто коварнее блокировки: пользователь не понимает, что происходит. Подробно о том, как это проявляется на видео, мы писали в статье «Почему YouTube тормозит через VPN».
Как разные протоколы выглядят для DPI
| Протокол | Распознаётся DPI | Что происходит после распознавания | Типичный результат в строгой сети |
|---|---|---|---|
| PPTP, L2TP | Очень легко | Блокировка | Не работает |
| IKEv2 | Легко | Блокировка или замедление | Нестабильно |
| OpenVPN | Легко | Сброс соединения или сильное замедление | Медленно или не подключается |
| WireGuard | Легко, рукопожатие узнаваемо | Блокировка UDP-трафика | Быстрый на бумаге, на практике часто не работает |
| Один фиксированный замаскированный конфиг | Сложнее, но со временем возможно | Замедление или блокировка IP | Сначала быстро, потом медленно |
Почему одного протокола недостаточно
Из всего сказанного следует простой вывод: любой фиксированный способ подключения рано или поздно распознают. Правила DPI обновляются, отпечатки изучаются, адреса серверов блокируются. Маскировка выигрывает время, но если все пользователи долго сидят на одной и той же схеме и одном сервере, эта схема сама становится отпечатком.
Устойчивое подключение строится иначе:
- несколько способов подключения, которые различаются характером трафика и способом передачи;
- постоянное измерение того, как каждый из них ведёт себя в вашей сети прямо сейчас;
- мгновенная смена способа, как только текущий заблокировали или замедлили.
Как с этим справляется CyberPort AI
CyberPort AI — адаптивный движок подключения ZoltVPN — построен именно по этому принципу. Он выбирает одну из 10 моделей подключения с учётом вашего местоположения, провайдера и текущей производительности соединения, автоматически переключается, если модель блокируют или она тормозит, и запоминает, что работает в каждой сети. Подробности — на странице возможностей.
Частые вопросы
Видит ли DPI, какие сайты я открываю через VPN?
Содержимое зашифрованного трафика DPI обычно не видит. Но он видит внешние признаки, по которым можно понять, что вы пользуетесь VPN, и какой именно протокол используется.
Поможет ли смена порта?
Только против самой простой блокировки по порту. DPI распознаёт протокол по поведению и структуре пакетов, а они от смены порта не меняются.
Почему VPN работает дома, но не работает на мобильном интернете?
У разных операторов и типов сетей разные настройки фильтрации. Один и тот же способ подключения может работать в одной сети и не работать в другой.
Справляется ли ZoltVPN с DPI?
CyberPort AI создан для таких сетей: он выбирает модель подключения под вашу сеть и сам переключается, если её распознали или замедлили.
Проверьте, как это работает в вашей сети: скачайте ZoltVPN и пользуйтесь 7 дней бесплатно, без карты. Тарифы — на странице цен, обзор сервиса — на главной странице на русском.
