Что такое DPI и как он блокирует VPN в России

Что такое DPI: Deep Packet Inspection, «глубокая проверка пакетов» — это способ анализа интернет-трафика, при котором оборудование смотрит не только на адрес получателя, но и на служебные признаки внутри соединения. Через DPI провайдеры могут замечать и замедлять или обрывать соединения, похожие на VPN. Ниже — как это устроено, по каким признакам VPN находят и что реально помогает.

Что такое DPI простыми словами

Обычный фильтр смотрит на «конверт»: IP-адрес, на который идёт запрос. DPI вскрывает «конверт» глубже и изучает, как устроено само соединение: какой протокол используется, как выглядит начало соединения, какое имя сайта в нём указано.

Важно: это не значит, что оборудование читает ваши переписки. Содержимое HTTPS и VPN зашифровано. Но у любого соединения есть открытые служебные части и характерное «поведение», и по ним можно многое понять.

По каким признакам DPI находит VPN

Как правило, оборудование опирается на несколько типов признаков:

• IP-адрес сервера. Если адрес попал в список, соединение к нему можно рвать без всякого анализа.
• Имя сайта в начале соединения (SNI). При обычном TLS-подключении имя сайта передаётся в открытом виде, и по нему можно фильтровать.
• Сигнатуры протокола. У многих VPN-протоколов первые пакеты выглядят одинаково и узнаваемо: по этому «рукопожатию» протокол определяется, даже если данные зашифрованы. Так легко узнаются классические OpenVPN и WireGuard, о которых мы писали на странице «WireGuard и Outline не работают».
• Поведение трафика. Размеры пакетов, их порядок и паузы между ними у обычного сайта и у туннеля отличаются. По публикациям в профильных изданиях, современные системы учитывают и такие шаблоны, а не только адреса.

Что именно и как жёстко фильтруется, в каждой сети разное и со временем меняется. Точной картины для всех операторов нет, и обещать «такой-то протокол точно работает» никто честно не может.

Как DPI связан с блокировками в России

По описаниям в технических публикациях (например, разбор на Хабре), в сетях российских операторов работает специальное оборудование для фильтрации — ТСПУ, технические средства противодействия угрозам. Оно умеет работать по IP, доменам, SNI и сигнатурам протоколов и в зависимости от режима пропускать, отбрасывать пакеты или подменять ответ.

Для пользователя это выглядит так: приложение «подключается», но страницы не открываются; соединение живёт несколько секунд и обрывается; один протокол работает, а другой нет; на мобильном интернете одно, на домашнем Wi-Fi другое. Если у вас именно так, причина часто в фильтрации трафика, а не в поломке телефона. Пошаговую диагностику мы собрали на странице «VPN не подключается».

Как VPN маскируется от DPI

Обход строится на одной идее: соединение должно выглядеть как обычный трафик, а не как VPN. Для этого есть несколько подходов.

По описанию авторов REALITY, если проверку проходит не ваш клиент, а посторонний, трафик передаётся настоящему сайту, и наблюдатель видит именно его сертификат. Подробности — в репозитории проекта. Про сам VLESS читайте на странице «Что такое VLESS», а про выбор протокола — в разделе «Протоколы».

Маскировка — не волшебство. Ни один протокол не даёт гарантии, что его не начнут распознавать завтра. Поэтому полезно, когда у сервиса есть несколько протоколов и можно переключиться.

Что делать, если VPN перестал работать из-за DPI

1. Обновите подписку в приложении — список серверов мог измениться.
2. Смените протокол: если не работает один, попробуйте другой (например, VLESS вместо Hysteria2 или наоборот).
3. Смените сеть: проверьте Wi-Fi и мобильный интернет по очереди. Если на одной сети работает, а на другой нет, дело в фильтрации именно этой сети.
4. Попробуйте другую страну сервера.
5. Если мобильный интернет работает только с «белыми списками», обычный VPN не справится: нужны специальные серверы. Подробнее — на странице «Белые списки».
6. Не помогло — напишите в поддержку.

DPI и Vetryx

В Vetryx доступны протоколы VLESS (REALITY, XHTTP, WebSocket) и Hysteria2, поэтому есть из чего выбирать, если один из вариантов в вашей сети не работает. Для мобильного интернета, который работает только по «белым спискам», есть серверы «Анти-глушилки» с пометкой LTE — они входят в тарифы «Обход блокировок», «VPN + Обход» и «Семейный». Тариф «VPN + Обход» мы рекомендуем как работающий в любой ситуации. Трафик на всех тарифах безлимитный.

Убедиться, что всё подходит, можно бесплатно: есть 24 часа без привязки карты. Тарифы и условия — на странице тарифов, а если выбираете сервис впервые, пригодится руководство по выбору VPN. Если что-то не получается, отвечает человек из команды: бот поддержки в Telegram. Мы не обещаем, что любой сервис будет работать всегда и везде: фильтрация меняется, поэтому и нужен запас протоколов.

Частые вопросы

DPI видит, какие сайты я открываю через VPN?

Нет: внутри зашифрованного туннеля видно только, что есть соединение с VPN-сервером, а не то, какие сайты вы открываете через него. Именно поэтому DPI старается распознать сам туннель.

Чем DPI отличается от обычной блокировки по IP?

Блокировка по IP смотрит только на адрес назначения. DPI дополнительно анализирует, как устроено соединение: протокол, имя сайта, характер трафика. Поэтому блокировку по IP обойти проще, чем DPI.

Можно ли полностью спрятаться от DPI?

Гарантировать это нельзя. Маскировка вроде REALITY затрудняет распознавание, но методы фильтрации развиваются, а их точные параметры публично не раскрываются.

Почему VPN работает по Wi-Fi, но не работает на мобильном интернете?

Операторы фильтруют трафик по-разному. Попробуйте другой протокол, обновите подписку, а если интернет работает только по «белым спискам», используйте серверы, рассчитанные на такой режим.

Нужно ли что-то настраивать самому?

Обычно нет: достаточно подключить подписку в приложении и при проблемах переключить протокол или сервер.