DPI — три буквы, за которыми стоит главный инструмент интернет-цензуры в России 2026 года. Именно DPI блокирует YouTube, замедляет Twitter, ломает старые VPN-протоколы. Разбираем, как технология устроена изнутри, как используется в системе ТСПУ и какие современные протоколы научились её обходить.
Расшифровка и определение
DPI расшифровывается как Deep Packet Inspection — «глубокий анализ пакетов». Это технология, которая позволяет сетевому оборудованию не просто пропускать трафик дальше, но и заглядывать внутрь каждого пакета: смотреть, что за протокол, какой домен, какие заголовки.
Обычный маршрутизатор работает на 3-м уровне модели OSI: видит только IP-адрес отправителя и получателя. DPI работает на 7-м уровне (приложений): он распознаёт, какой именно сервис генерирует трафик — это веб-страница, видеозвонок, торрент, мессенджер или VPN.
Аналогия: почта и таможня
Обычный роутер — это почтальон, который доставляет письмо по адресу, не вскрывая конверт. DPI — это таможенник, который открывает конверт, читает содержимое, классифицирует и решает: пропустить, замедлить или отправить обратно.
Зачем нужен DPI операторам
Не вся история про цензуру. DPI изначально появился у операторов связи для законных задач:
- QoS (Quality of Service) — приоритизация трафика. Например, голосовые звонки идут с более высоким приоритетом, чем скачивание торрентов.
- Защита от DDoS — детекция аномалий и автоматическое подавление атак.
- Биллинг — учёт трафика по типу для тарифов с раздельной тарификацией.
- Защита от вирусов и спама — фильтрация известных угроз ещё до того, как они дошли до конечного пользователя.
- Соблюдение законодательства — блокировка ресурсов из реестров запрещённой информации.
Проблема в том, что DPI — это «двойного назначения» технология. То же оборудование, которое защищает от вирусов, может блокировать политически неугодный контент. Именно так DPI становится инструментом цензуры.
ТСПУ — российская реализация
ТСПУ расшифровывается как «Технические средства противодействия угрозам». Это система DPI, установленная у каждого крупного оператора связи в России по закону № 90-ФЗ «о суверенном интернете», принятому в 2019 году.
Особенности ТСПУ:
- Централизованное управление. Все ТСПУ управляются из единого центра — ЦМУ ССОП (Роскомнадзор). Оператор не контролирует, что блокируется и замедляется.
- Гранулярность. Может блокировать по IP, по домену, по SNI, по сигнатуре протокола.
- Активные действия. Не просто пропускает или блокирует, но и замедляет (как с YouTube), сбрасывает соединения, выполняет активные пробы.
- Постоянное обновление. Сигнатуры протоколов и правила обновляются регулярно — гонка вооружений с разработчиками VPN не прекращается.
Как DPI «видит» трафик
Современный DPI анализирует трафик по нескольким уровням одновременно.
1. Заголовки сетевых пакетов
IP-адреса источника и получателя, номера портов (например, порт 443 — это HTTPS), протокол транспортного уровня (TCP или UDP). Простой уровень, но даёт базовую классификацию.
2. SNI в TLS-рукопожатии
Когда вы открываете HTTPS-сайт, в начале TLS-соединения в открытом виде передаётся доменное имя — SNI. DPI читает SNI и решает: пропустить, заблокировать или замедлить. Именно так блокируется большинство «недружественных» сайтов в РФ.
3. TLS Fingerprint
Внутри ClientHello (первый пакет TLS) — порядок шифров, расширений, кривые ECDH. У каждой библиотеки свой характерный отпечаток. Chrome, Firefox, Safari, мобильные приложения, библиотеки V2Ray/Xray — у всех разный fingerprint. DPI знает «честные» отпечатки и подозрительно смотрит на нестандартные.
4. Сигнатурный анализ
У каждого протокола есть характерные «следы» в потоке данных: размеры пакетов, тайминги, специальные байты в начале. Для WireGuard это всегда первый байт 0x01, для OpenVPN — характерные опкоды. DPI имеет базу сигнатур и сравнивает с ней.
5. Поведенческий анализ
Самый продвинутый уровень. DPI смотрит на статистику: пакеты по 1500 байт через равные промежутки времени — похоже на видеостриминг. Короткие пакеты с быстрым ответом — мессенджер. Длительные TLS-сессии с большим объёмом данных к одному IP — возможный VPN.
6. Активные пробы
Если DPI заподозрил подозрительный сервер — система может сама подключиться к нему и проверить поведение. Если сервер ведёт себя как настоящий веб-сайт — пропускают. Если странно отвечает или вообще не имеет HTML-страницы — IP в блок-лист.
Методы блокировки через DPI
| Метод | Что блокируется | Сложность обхода |
|---|---|---|
| Блокировка по IP | Любой трафик к конкретному IP | Низкая (поднимаешь сервер на новом IP) |
| Блокировка по SNI | HTTPS-сайты с конкретным доменом | Средняя (помогает eSNI/ECH) |
| Сигнатурный блок | Старые VPN-протоколы | Высокая (нужен новый протокол) |
| TLS fingerprint blacklist | Подозрительные TLS-клиенты | Высокая (имитация Chrome) |
| Throttling (замедление) | YouTube, Twitter и др. | Высокая (нужен полный туннель) |
| Активные пробы | Серверы с нестандартным TLS | Очень высокая (Reality) |
Почему OpenVPN и WireGuard детектируются
Классические VPN-протоколы создавались в эпоху, когда о массовой цензуре никто не думал. Их структура слишком характерная:
- OpenVPN — фиксированный заголовок, характерные опкоды (0x38, 0x40 и т. п.), легко распознаваемая последовательность handshake.
- WireGuard — первый байт пакета всегда 0x01 (initiation), 0x02 (response) или 0x04 (data). DPI ловит это за миллисекунды.
- IKEv2/IPsec — использует фиксированные порты 500 и 4500 UDP. Простое правило «блокировать всё на этих портах» убирает 95% трафика.
Поэтому в 2026 году в России эти протоколы либо не работают совсем, либо работают с большими ограничениями.
Что обходит DPI: современные протоколы
VLESS Reality
Главный «обходчик» 2026 года. Подменяет SNI на популярный домен, имитирует TLS fingerprint браузера, корректно отвечает на активные пробы. Подробности — в статье что такое Reality.
Shadowsocks 2022
Современная версия Shadowsocks с AEAD-шифрами 2022. Не имеет характерных сигнатур в начале пакета — выглядит как поток случайных байт. Хорошо работает в Иране и Китае, в России — местами нестабильно из-за поведенческого анализа.
ShadowTLS
Подход, похожий на Reality: оборачивает Shadowsocks в настоящее TLS-рукопожатие к легитимному сайту. Тоже использует подмену SNI и имитацию реальных TLS fingerprints.
Hysteria 2 и TUIC
Протоколы поверх QUIC (HTTP/3). Маскируются под обычный HTTP/3-трафик современных сайтов. Преимущество — устойчивость к потерям пакетов и высокая скорость на нестабильных соединениях.
NaiveProxy
Использует Chrome как сетевой стек, что даёт идеальную имитацию TLS fingerprint Chrome. Сложнее в развёртывании, но крайне трудно детектируется.
Гонка вооружений: как развивается DPI
DPI и обходные протоколы развиваются параллельно. Каждый раз, когда блокируется один метод, появляется новый. Текущие тренды:
- AI-анализ. DPI учится использовать машинное обучение для детекции аномалий в трафике, даже когда сигнатуры неизвестны.
- Анализ таймингов. Распределение пакетов по времени — характерный признак типа трафика. ML-модели учатся отличать «настоящий» HTTPS от замаскированного VPN.
- Блокировка по поведению клиента. Если один IP-адрес подключается к «microsoft.com» каждый день по 5 часов без перерыва — это явно не обычный пользователь.
- Рандомизация со стороны протоколов. VPN-протоколы добавляют случайные задержки, фейковые пакеты, переменные размеры — чтобы запутать ML-классификаторы.
Постквантовое будущее
Отдельная угроза — квантовые компьютеры. Когда они станут достаточно мощными, они смогут ретроактивно расшифровать сохранённый трафик, использующий современные алгоритмы (RSA, ECC). Это значит: трафик, который ТСПУ запишет сегодня, через 10–20 лет может быть прочитан.
Ответ — постквантовая криптография. Уже в 2026 году в TLS появляется поддержка ML-KEM (бывший Kyber) — алгоритма, устойчивого к квантовым атакам. Современные VPN на VLESS/Xray начинают экспериментировать с интеграцией постквантового handshake.
BRAID и устойчивость к DPI
BRAID VPN использует VLESS Reality с актуальной имитацией Chrome fingerprint и тщательно подобранными маскировочными доменами. Это позволяет стабильно работать даже на участках сети с активной ТСПУ.
Итог: что важно понимать
DPI — это не магия, а инженерная система с конкретными возможностями и ограничениями. Чем «характернее» протокол, тем легче его заблокировать. Чем больше он похож на обычный HTTPS — тем сложнее DPI его отличить. Эта простая мысль и определяет всю индустрию VPN в 2026 году: будущее за протоколами, которые не пытаются спрятаться в шуме, а сливаются с большим легитимным трафиком.
Подробнее о современных протоколах — в статьях что такое VLESS и что такое Reality. О том, как BRAID реализует обход блокировок — на странице технологии. Чтобы протестировать — получите бесплатный ключ на 7 дней.