Deep Packet Inspection (DPI): как современные системы анализируют сетевой трафик

Когда говорят о Deep Packet Inspection (DPI), многие представляют систему, которая буквально читает каждый сетевой пакет и анализирует его содержимое. Такое представление появилось не случайно — несколько лет назад именно так и работали многие реализации DPI.

Сегодня ситуация изменилась.

Подавляющее большинство сайтов используют HTTPS, а значит содержимое соединения защищено TLS-шифрованием. Расшифровать такой трафик без доступа к ключам невозможно. Поэтому современные системы анализа все чаще концентрируются не на самих данных, а на том, как выглядит соединение.

Размер пакетов, порядок обмена сообщениями, особенности TLS Handshake, интервалы между пакетами — все это помогает классифицировать трафик даже без доступа к его содержимому.

Именно поэтому DPI до сих пор остается одним из основных инструментов фильтрации сетевого трафика, обнаружения VPN и оценки подозрительных подключений.

Что такое Deep Packet Inspection

Deep Packet Inspection (DPI) — это технология анализа сетевого трафика, которая позволяет изучать характеристики сетевых соединений и применять к ним различные правила обработки.

Сегодня DPI используется не только интернет-провайдерами. Его можно встретить в корпоративных сетях, государственных системах фильтрации, CDN-платформах, антибот- и антифрод-сервисах.

Название технологии нередко вводит в заблуждение. Несмотря на слова Deep Packet Inspection, современные реализации далеко не всегда анализируют содержимое пакетов. Намного важнее определить, к какому типу относится соединение и насколько оно похоже на обычный веб-трафик.

Во время анализа система может учитывать:

• последовательность установки соединения;
• размеры пакетов;
• интервалы между ними;
• особенности TLS Handshake;
• направление и характер обмена данными.

По сути, DPI анализирует поведение соединения, а не передаваемую информацию.

Почему HTTPS не делает соединение полностью невидимым

HTTPS надежно защищает содержимое соединения. Если сайт использует TLS, посторонний наблюдатель не сможет увидеть страницы, сообщения, пароли или другие передаваемые данные.

Однако часть информации остается открытой.

Например, система по-прежнему может определить:

• как часто передаются пакеты;
• какого они размера;
• сколько времени занимает установка соединения;
• каким образом проходит TLS Handshake.

Представьте разговор за звуконепроницаемым стеклом. Слов не слышно, но по поведению собеседников легко понять, сколько человек участвует в разговоре, насколько активно они общаются и когда беседа заканчивается.

С сетевым трафиком ситуация очень похожая. Современные системы DPI анализируют именно такие косвенные признаки.

Если вы хотите подробнее разобраться, что происходит во время установки защищенного соединения, рекомендуем прочитать статью «TLS Handshake: как устанавливается защищенное HTTPS-соединение».

Как DPI обнаруживает VPN

У каждого VPN-протокола есть собственные особенности. Даже если данные полностью зашифрованы, процесс установки соединения и последующий обмен пакетами редко выглядят так же, как обычный HTTPS-трафик.

Например, OpenVPN использует достаточно характерную последовательность сообщений во время Handshake. Добавьте к этому определенные размеры пакетов и стабильную структуру соединения — и получится профиль, который знаком многим системам DPI.

У WireGuard другой подход. Протокол работает поверх UDP, отличается минималистичной архитектурой и создает собственный профиль сетевого трафика. Это не делает его «легко обнаруживаемым», но современные реализации DPI способны учитывать и такие особенности при анализе соединения.

Если интересно, почему UDP ведет себя иначе, рекомендуем также прочитать статью «TCP и UDP: в чем разница?».

Важно понимать, что современные системы редко принимают решение по одному признаку. Обычно оценивается сразу несколько характеристик, каждая из которых увеличивает или уменьшает вероятность того, что перед системой действительно VPN-соединение.

Анализ поведения важнее поиска сигнатур

Ранние реализации DPI в основном искали заранее известные шаблоны сетевого трафика. Такой подход работает и сегодня, но его возможностей уже недостаточно.

Большинство современных систем строят модель поведения соединения.

Во время анализа учитываются десятки параметров: последовательность обмена пакетами, стабильность соединения, временные интервалы, характер передачи данных и другие особенности.

Если профиль заметно отличается от обычного веб-серфинга, вероятность дополнительной проверки возрастает.

Именно поэтому современные VPN все чаще стремятся не просто зашифровать трафик, а сделать его максимально похожим на обычное HTTPS-соединение.

TLS Fingerprint и JA3

Во время установки HTTPS-соединения браузер отправляет сообщение ClientHello. В нем перечисляются поддерживаемые версии TLS, наборы шифров, расширения, параметры ALPN и другие технические характеристики.

Вместе они формируют TLS Fingerprint — своеобразный цифровой профиль TLS-клиента.

Разные браузеры, операционные системы и сетевые библиотеки создают его немного по-разному. Именно поэтому TLS Fingerprint может использоваться как дополнительный источник информации при анализе соединения.

Для быстрого сравнения таких профилей часто применяется метод JA3. Он преобразует параметры ClientHello в компактный хеш, который позволяет сопоставлять соединения с уже известными шаблонами.

Сам по себе JA3 редко становится причиной блокировки. Обычно он используется вместе с другими признаками — особенностями сетевого трафика, Browser Fingerprint, репутацией IP-адреса и поведением пользователя.

Если хотите подробнее разобраться в этой теме, рекомендуем ознакомиться со статьей «TLS Fingerprinting: как сайты определяют ваше соединение».

Почему современные VPN сложнее обнаружить

Разработчики VPN давно поняли, что одного шифрования уже недостаточно. Поэтому новые протоколы стараются сделать соединение максимально похожим на обычный HTTPS-трафик.

Хороший пример — технологии семейства Xray.

Вместо попытки скрыть сам факт использования VPN они изменяют поведение соединения, чтобы оно выглядело естественно.

Например:

• VLESS избавляется от лишних сигнатур;
• Reality помогает сделать соединение похожим на обычную TLS-сессию;
• могут использоваться транспорты WebSocket, HTTP/2 или gRPC, которые широко применяются в современном интернете.

Такой подход не делает VPN полностью незаметным, но значительно усложняет его классификацию.

Подробнее об архитектуре Xray и технологии Reality можно прочитать в статье «Что такое протокол Xray и как он работает».

DPI — лишь часть общей системы анализа

Сегодня крупные онлайн-платформы редко принимают решения только по сетевому трафику.

Чаще всего DPI становится одним из элементов более сложной системы оценки риска.

Дополнительно могут анализироваться:

• Browser Fingerprint;
• User-Agent;
• ASN;
• репутация IP-адреса;
• история соединений;
• поведенческие сигналы пользователя.

Именно поэтому даже хорошо замаскированный VPN не всегда гарантирует успешное подключение. Если остальные параметры выглядят подозрительно, система все равно может запросить CAPTCHA, дополнительную проверку или вовсе ограничить доступ.

О том, какие данные сайты собирают о браузере помимо IP-адреса, мы подробно рассказывали в статье «Browser Fingerprinting: как сайты определяют ваш браузер».

Можно ли полностью обойти DPI

Универсального способа обойти любые реализации DPI не существует. Каждая система использует собственные алгоритмы анализа и постоянно развивается.

На практике задача выглядит иначе — уменьшить количество признаков, по которым соединение можно классифицировать.

Обычно для этого используют:

• современные VPN-протоколы и транспорты;
• согласованность сетевых параметров и Browser Fingerprint;
• стабильные IP-адреса с хорошей репутацией;
• проверку соединения после настройки.

После подключения VPN полезно убедиться, что не возникает DNS-, WebRTC- или других утечек. Сделать это можно с помощью Whoer.net, который показывает, какую информацию о вашем подключении видит сайт.

Итоги

Deep Packet Inspection давно перестал быть технологией, которая просто анализирует содержимое сетевых пакетов. Сегодня основное внимание уделяется поведению соединения, особенностям TLS Handshake и общей структуре сетевого трафика.

По этой причине одного HTTPS уже недостаточно, чтобы сделать соединение полностью незаметным. Даже без доступа к содержимому данных системы DPI способны анализировать десятки косвенных признаков и использовать их для классификации трафика.

Именно поэтому современные VPN все чаще делают ставку не только на шифрование, но и на технологии маскировки, которые помогают приблизить профиль соединения к обычному HTTPS-трафику.

FAQ

Может ли DPI читать содержимое моего трафика?

Если соединение защищено HTTPS и TLS, содержимое пакетов остается зашифрованным. Однако система по-прежнему может анализировать метаданные, структуру соединения и его поведение.

Почему некоторые VPN блокируются?

Чаще всего причина связана не с самим шифрованием, а с узнаваемыми особенностями протокола, TLS Handshake или другими признаками, по которым можно классифицировать трафик.

Можно ли сделать VPN полностью незаметным?

Нет. Абсолютной защиты от всех реализаций DPI не существует. Современные технологии позволяют сделать соединение более естественным и уменьшить вероятность обнаружения, но полностью исключить анализ сетевого трафика невозможно.