Как DPI вычисляет VPN-трафик
Любое соединение оставляет характерные следы: размер пакетов, ритм их отправки, параметры рукопожатия при установке шифрованного канала, особенности заголовков. Системы DPI собирают эти признаки в единый профиль и сравнивают с известными шаблонами. У классических протоколов — OpenVPN, IKEv2, WireGuard, L2TP — такой профиль очень узнаваем. Даже если данные внутри зашифрованы, сам факт, что «это похоже на VPN», виден фильтру.
«Почерк» соединения
Размер пакетов, ритм отправки и параметры рукопожатия складываются в профиль, который DPI сравнивает с известными шаблонами VPN.
Анализ без расшифровки
Фильтру не нужно читать ваши данные — достаточно увидеть форму соединения, как почтальону достаточно взглянуть на конверт.
Блокировка по типу
Если трафик помечен как VPN, его либо замедляют до неработоспособности, либо разрывают полностью — даже при стойком шифровании.
Сложность в том, что DPI не нужно расшифровывать ваш трафик, чтобы его заблокировать. Ему достаточно увидеть форму соединения. Поэтому борьба идёт не за стойкость шифрования (с ним всё в порядке), а за то, чтобы соединение вообще не было похоже на VPN.
Что такое белые списки и почему они меняют правила игры
Долгое время блокировки в России работали по «чёрным спискам»: запрещён конкретный ресурс — он и закрывается, всё остальное доступно. Но в периоды отключений и учений всё чаще применяется обратный принцип — белые списки. При такой модели по умолчанию закрыто всё, и доступ остаётся только у заранее разрешённых сервисов: государственных порталов, банков, отдельных российских платформ. Любое соединение, которое не входит в утверждённый перечень, просто не проходит.
Для пользователя это выглядит так: интернет вроде бы есть, но открывается лишь узкий набор сайтов, а большинство привычных сервисов, мессенджеров и зарубежных платформ становятся недоступны. Классический VPN в таком режиме часто бесполезен — его соединение не входит в белый список и обрывается на этапе установки. Именно сценарий белых списков стал главным вызовом последних лет.
OpsVPN решает эту задачу за счёт того, что его трафик неотличим от обращения к разрешённым крупным сайтам по HTTPS. Для системы фильтрации это выглядит не как «подключение к VPN», а как обычный визит на легитимный ресурс — а такие соединения белый список пропускает.
VLESS, Reality и маскировка трафика
В основе OpsVPN лежит современный стек VLESS с технологией Reality поверх ядра XRay. Его принцип — не прятать факт шифрования, а полностью имитировать поведение обычного HTTPS-соединения к реально существующему популярному сайту. Reality использует настоящие TLS-сертификаты крупных ресурсов, поэтому при анализе рукопожатия DPI видит легитимный запрос, а не подозрительный VPN-туннель.
Нет «VPN-рукопожатия»
Соединение с первого пакета выглядит как обращение к большому сайту, который входит в любой белый список. Отдельного рукопожатия, которое можно засечь, здесь нет.
Цена блокировки слишком высока
Чтобы закрыть такой трафик, фильтру пришлось бы заблокировать заодно и легитимные ресурсы, которыми пользуются миллионы. Поэтому маскирующееся соединение проходит.
Дополнительно OpsVPN не оставляет узнаваемого ритма пакетов и не использует фиксированные порты-маркеры, по которым VPN вычисляли раньше. Всё это вместе делает соединение устойчивым там, где обычные сервисы уже не работают.
Чем OpsVPN отличается от старых протоколов
Разница принципиальная: старые протоколы пытаются «пробить» фильтр, а OpsVPN делает так, что фильтру просто нечего блокировать — он не видит VPN.
OpenVPN и IKEv2
УзнаваемыГодами были стандартом, но их характерный почерк давно занесён в базы DPI и блокируется в первую очередь.
WireGuard
Быстрый, но заметныйОтлично работает там, где нет жёсткой фильтрации, но в режиме белых списков его соединение тоже отсекается — оно не маскируется под разрешённый трафик.
VLESS + Reality (OpsVPN)
НезаметныйНе борется с фильтром «в лоб», а делает соединение неотличимым от обычного посещения сайта. Поэтому работает даже при белых списках и активных блокировках.
Частые вопросы про обход DPI
Коротко о том, что чаще всего спрашивают про работу VPN при блокировках и белых списках.
Нужен VPN, который работает при любых блокировках?
OpsVPN остаётся на связи там, где обычные сервисы уже сдались — подключитесь и проверьте сами.