DPI простыми словами: что провайдер видит в вашем трафике

Аббревиатура DPI встречается в каждом обсуждении блокировок, но объясняют её обычно либо слишком поверхностно, либо совсем непонятно. Давайте по-человечески.

Что это такое

DPI — Deep Packet Inspection, глубокая инспекция пакетов. Обычный маршрутизатор смотрит только на «конверт»: откуда пакет и куда его доставить. DPI вскрывает конверт и изучает содержимое — какой протокол внутри, к какому сайту обращение, иногда и сами данные.

Технология не злая по своей природе. Её придумали для управления сетью: приоритизировать голосовые звонки, ограничивать торренты в час пик, ловить вирусы. Блокировки — лишь одно из применений.

«У меня же HTTPS, всё зашифровано»

Содержимое страницы — да, зашифровано. Но вокруг него остаётся много открытой информации.

Про SNI подробнее

Когда вы открываете сайт, браузер в самом первом сообщении говорит: «дай мне сертификат для example.com». Эта фраза идёт до установки шифрования — иначе сервер не поймёт, какой сертификат предъявить. Именно по SNI работает большинство современных блокировок: содержимое читать не нужно, достаточно увидеть имя.

Есть технология ECH, которая шифрует и это поле, но она требует поддержки с обеих сторон и пока распространена слабо.

Пассивный и активный DPI

Пассивный стоит «сбоку» и только наблюдает копию трафика. Заблокировать соединение он напрямую не может, зато умеет вбрасывать поддельные ответы — например, страницу-заглушку или RST-пакет, обрывающий связь. Работает быстро и не тормозит сеть.

Активный стоит прямо в разрыве канала: весь трафик физически идёт сквозь него. Он может задержать пакет, изменить его или не пропустить вовсе. Надёжнее для блокировок, но дороже и создаёт точку отказа — если такое оборудование ломается, у абонентов пропадает интернет целиком.

Отпечаток TLS: как узнают приложение

При установке защищённого соединения клиент перечисляет поддерживаемые шифры, расширения, версии. Набор и порядок этих параметров у разных программ отличается. Chrome выглядит не так, как Firefox, а самописный VPN-клиент — совсем иначе, чем любой браузер.

Поэтому современные обходные протоколы специально имитируют отпечаток популярного браузера. Трафик должен быть не просто зашифрован — он должен выглядеть как чей-то обычный трафик.

Как от DPI защищаются

• Маскировка под реальный сайт. Технология Reality устанавливает соединение, которое и по SNI, и по сертификату, и по отпечатку выглядит как обращение к настоящему популярному домену.
• Транспорт поверх WebSocket. Трафик упаковывается в обычное веб-соединение, какое используют чаты и онлайн-игры.
• Подмена отпечатка. Клиент представляется браузером — в конфигурации это параметр fp=chrome.
• Разбивка рукопожатия. Простейшие системы анализируют только первый пакет; если разрезать его на части, сигнатура не собирается.

Главный принцип обхода DPI: не «спрятаться», а «слиться с толпой». Зашифрованный, но странный трафик выделяется сильнее, чем обычный HTTPS.

Что это значит для пользователя

Выбирая VPN, смотрите не на обещания «военного шифрования» — с шифрованием давно всё хорошо у всех. Смотрите на то, как сервис решает задачу маскировки: какие протоколы предлагает, есть ли Reality, можно ли переключиться на другой транспорт, если текущий перестал работать.

Читайте также