Deep Packet Inspection (DPI) — это технология глубокого анализа сетевого трафика, которая позволяет провайдерам и государственным органам не просто видеть, куда вы подключаетесь, а анализировать содержимое пакетов данных. Если обычная фильтрация работает как почтальон, читающий адрес на конверте, то DPI — это рентген, просвечивающий конверт и читающий содержимое письма.
В России DPI активно используется для реализации блокировок Роскомнадзора. Провайдеры устанавливают оборудование ТСПУ (технические средства противодействия угрозам), которое анализирует весь проходящий трафик в реальном времени. DPI определяет тип протокола (HTTP, HTTPS, VPN, торрент), SNI (Server Name Indication) в TLS-соединениях и может блокировать трафик по различным критериям: доменному имени, IP-адресу, типу протокола или даже по статистическим характеристикам трафика.
Классические VPN-протоколы — OpenVPN, WireGuard, IPsec — имеют характерные сигнатуры, по которым DPI легко их идентифицирует. Например, OpenVPN всегда начинает соединение с определённой последовательности байтов, а WireGuard использует фиксированный формат пакетов. Обнаружив VPN-трафик, DPI может его замедлить (throttling) или полностью заблокировать. Именно поэтому в периоды усиления блокировок многие VPN перестают работать.
VLESS Reality решает эту проблему фундаментально. Вместо того чтобы пытаться спрятать VPN-трафик, он делает его неотличимым от обычного HTTPS-соединения. Когда DPI анализирует подключение через VLESS Reality, оно видит стандартное TLS 1.3 рукопожатие с валидным сертификатом настоящего сайта (например, google.com). Сервер VLESS Reality «притворяется» этим сайтом для внешнего наблюдателя, а настоящие данные передаёт только авторизованному клиенту.
Shadowsocks (используемый в Outline) применяет другой подход — обфускацию. Трафик шифруется и модифицируется так, чтобы у него не было узнаваемых паттернов. Для DPI такой трафик выглядит как случайный набор данных, который сложно классифицировать. Однако некоторые продвинутые системы DPI могут обнаружить Shadowsocks по статистическим аномалиям — именно отсутствие паттернов может быть паттерном само по себе.
Для максимальной защиты от DPI рекомендуем комбинированный подход: используйте VLESS Reality как основной протокол, Outline как запасной, и настройте DNS-over-HTTPS для защиты DNS-запросов. Freedom VPN предоставляет инструкции по настройке всех этих технологий для каждой платформы.