Что такое DPI и почему одни VPN блокируют, а другие нет

DPI (Deep Packet Inspection) — глубокая проверка пакетов. Оборудование у провайдера смотрит не только на то, куда идёт трафик, но и на то, как он выглядит.

Как DPI находит VPN

Зашифрованное содержимое DPI не читает. Но у каждого протокола есть узнаваемый «почерк»:

• характерное начало соединения. OpenVPN и WireGuard здороваются с сервером по-своему, и этот обмен легко узнать;
• размеры и ритм пакетов. Туннель передаёт данные иначе, чем обычный браузер;
• адрес назначения. Если на один адрес идут тысячи долгих зашифрованных соединений, он попадает в список подозрительных.

Узнав протокол, система может разорвать соединение, замедлить его до неработоспособности или заблокировать адрес сервера.

Почему маскировка работает

Самый надёжный способ не выделяться — выглядеть как то, что заблокировать нельзя. Обычный HTTPS-трафик к крупным сайтам нужен всем, и отсекать его целиком никто не будет.

VLESS Reality устроен именно так. При подключении он предъявляет настоящий сертификат популярного сайта, и со стороны соединение выглядит как обычное посещение этого сайта. Отличить его по началу соединения практически невозможно.

Зачем тогда ещё два протокола

Маскировка не бывает вечной: методы фильтрации меняются. Поэтому на каждое устройство мы выдаём сразу три протокола:

• VLESS Reality — для сетей с активной фильтрацией;
• Hysteria2 — быстрый протокол на UDP, когда сеть его пропускает;
• OpenVPN — для роутеров и старых устройств.

Если один способ перестал работать, второй уже настроен, и переключение занимает секунды.

Итог

DPI ищет узнаваемые протоколы. Чем больше VPN похож на обычный трафик, тем дольше он работает. Но надёжнее всего не полагаться на один протокол, а иметь запасной под рукой.