深度包检测（Deep Packet Inspection，简称 DPI）是一种不只看数据包“地址”、还会分析数据包内容和行为特征的网络检测技术。它能从流量的握手方式、包长度、时间间隔等特征中认出常见的 VPN 协议，然后选择放行、限速或阻断。这就是为什么很多 VPN 刚开始能用，过一段时间就变慢或连不上。应对 DPI 的关键，不是某一个“万能协议”，而是能在多种连接方式之间灵活切换。
DPI 和普通防火墙有什么不同
普通防火墙像小区门口的保安，只核对“从哪里来、到哪里去”，也就是 IP 地址和端口。只要地址不在黑名单里，就放行。
DPI 则更像机场安检：它会打开“包裹”看里面装了什么、是怎么包装的。即使内容是加密的，它也能观察到很多外部特征，比如：
- 连接开始时的握手过程长什么样；
- 数据包的长度分布是否有规律；
- 数据包之间的时间间隔；
- 加密握手中可见的域名信息（SNI）；
- 一条连接持续多久、传了多少数据。
这些特征组合起来，就构成了一种协议的“指纹”。
DPI 是如何识别 VPN 的
特征匹配
很多传统 VPN 协议在设计时并没有考虑隐藏自己。例如 OpenVPN 的数据包头部带有固定格式的字段，WireGuard 的握手消息长度固定，IKEv2、L2TP、PPTP 使用的端口和报文结构也很容易辨认。DPI 系统只需要把这些固定特征写成规则，就能在海量流量中把它们挑出来。
行为分析
即使协议本身做了伪装，流量的“行为”仍可能露出破绽：例如一条连接长时间保持、流量大小和节奏不像正常浏览网页。较先进的 DPI 会结合统计方法甚至机器学习来判断。
主动探测
有些检测系统在发现可疑服务器后，会主动向它发送试探性的连接请求，观察服务器如何回应。如果回应方式暴露了代理或 VPN 的身份，这个服务器地址就可能被封锁。
封锁之外：限速与干扰
DPI 识别出 VPN 后，并不一定直接切断。常见的处理方式包括：
- 发送重置信号，让连接中断；
- 大幅限速，让连接“能连但不能用”；
- 在特定时段加强管控；
- 封锁服务器所在的 IP 地址。
各类协议在 DPI 面前的表现
| 协议 | 能否被 DPI 识别 | 被识别后的常见结果 | 在严格网络中的典型体验 |
|---|---|---|---|
| PPTP、L2TP | 很容易 | 直接阻断 | 基本无法使用 |
| IKEv2 | 容易 | 阻断或限速 | 很不稳定 |
| OpenVPN | 容易 | 阻断或严重限速 | 时好时坏，常常很慢 |
| WireGuard | 容易，握手特征固定 | 阻断 UDP 流量 | 理论速度快，实际常连不上 |
| 单一固定的伪装配置 | 较难，但时间一长可能被识别 | 限速或封 IP | 先快后慢，需要不断换配置 |
在中国的网络环境中
中国的防火长城（GFW）是全球规模较大的网络管控系统之一，综合运用了 DNS 污染、IP 封锁、域名（SNI）过滤、深度包检测和主动探测等多种技术。因此，很多在其他国家表现良好的 VPN，在中国大陆可能很快就会变慢或失效。我们的文章《开了 VPN 看 YouTube 总是卡顿？》也提到，“能连上但很慢”往往就是被限速的表现。
无论在哪里使用，都请遵守当地的法律法规。
怎样的连接更能扛住 DPI
理解了 DPI 的原理，就能明白一个道理：任何单一、固定的连接方式，被识别只是时间问题。规则可以更新，指纹可以被学习，服务器地址也可以被封。更可靠的做法是：
- 准备多种连接方式，各自在流量特征和传输方式上有所不同；
- 持续测量每种方式在当前网络上的实际表现；
- 一旦被识别或限速就立即换路，而不是等用户自己发现。
有人会问：给协议加一层伪装，不就行了吗？伪装确实能让识别变难，但如果所有用户长期使用同一种伪装、连接同一台服务器，这种组合本身就会慢慢变成新的“指纹”。伪装解决的是“一时能用”，多种方式加上自动判断，解决的才是“长期稳定”。
这正是 ZoltVPN 的 CyberPort AI 的设计思路。它根据你所在的位置、运营商和实时连接表现，在 10 种连接模型之间选择，当某种模型被封锁或变慢时会自动切换，并记住在每个网络上什么最有效。具体的切换过程可以阅读《VPN 被封后自动切换》。
常见问题
加密了的流量，DPI 也能看出来吗？
DPI 通常看不到加密后的具体内容，但能看到握手方式、包长度、时间间隔等外部特征，这些足以识别很多常见的 VPN 协议。
换一个端口能躲过 DPI 吗？
只能躲过最简单的按端口封锁。DPI 看的是流量特征，协议的“指纹”不会因为换端口而改变。
为什么 VPN 有时能用、有时不能用？
DPI 的规则和管控力度可能随时间、地区和运营商而变化，同一种连接方式在不同时段的表现可能完全不同。
ZoltVPN 能应对 DPI 吗？
CyberPort AI 正是为这样的网络而打造的：它在 10 种连接模型中选择适合当前网络的一种，被识别或变慢时自动切换。
想在自己的网络上试试？下载 ZoltVPN，开始 7 天免费试用，无需信用卡。更多中文信息请访问 ZoltVPN 中文首页。
