Как работает фильтрация VPN-трафика (DPI, ТСПУ) и почему одни протоколы стабильнее других

Три уровня фильтрации

Оператор связи видит каждый пакет, который вы отправляете. Он не может прочитать содержимое зашифрованного туннеля, но может задать три вопроса: куда идёт пакет, как он выглядит и как ведёт себя поток пакетов во времени. Каждому вопросу соответствует свой уровень фильтрации.

Списки IP-адресов и персональный адрес

Самый простой уровень. Операторы и регуляторы собирают адреса серверов известных VPN-сервисов и вносят их в списки блокировки. Найти их несложно: массовый сервис работает с сотен адресов, которые публикуются в приложении и на сайте, и любой может подключиться и записать, куда ушёл трафик.

Персональный сервер живёт иначе. Его адрес известен только вам, он не публикуется и не делится с посторонними. В готовых списках его нет, а попасть туда он может только если заблокируют целую подсеть хостинга. Поэтому персональный VPN-сервер снимает первый уровень почти целиком — но только первый.

Блокировка подсетей случается. В этом случае решение — сменить локацию: сервер разворачивается заново в другом дата-центре, с новым адресом, за несколько минут. Выбор из 30+ локаций нужен в том числе для этого.

Сигнатуры, DPI и ТСПУ

DPI — оборудование, которое разбирает пакеты глубже адресов: смотрит на первые байты соединения, размеры и порядок пакетов, версии и расширения протоколов. У каждого VPN-протокола есть характерное рукопожатие. Классический WireGuard начинается с пакета фиксированного размера и узнаваемой структуры; OpenVPN — со своих служебных заголовков; IKEv2 использует известные порты и формат.

ТСПУ — технические средства противодействия угрозам — это DPI, установленный у российских операторов с централизованным управлением правилами. Ключевое отличие от самодельных фильтров: правило, добавленное в центре, применяется у всех операторов сразу, и оно может не блокировать, а замедлять — так труднее понять, что произошло.

Что именно видит DPI

• Тип и версию TLS-рукопожатия, включая имя сервера в открытом поле SNI.
• Отпечаток клиента: набор шифров, расширений и их порядок, по которому узнаётся библиотека.
• Размеры первых пакетов и паузы между ними.
• Наличие или отсутствие ожидаемых элементов протокола: сертификатов, заголовков HTTP, ответов сервера.

Протокол, который выглядит как «что-то зашифрованное без опознавательных знаков», подозрителен сам по себе: обычный трафик почти всегда узнаваем. Поэтому современный ответ — не спрятать протокол, а сделать его похожим на конкретный легитимный.

Поведенческий анализ

Сигнатуры ловят протокол в первые секунды. Поведенческий анализ работает медленнее, но устойчивее к маскировке: он смотрит на поток целиком. Обычное HTTPS-соединение с сайтом живёт секунды или минуты, передаёт немного и заканчивается. Туннель к одному адресу живёт часами, через него идёт весь трафик устройства, а соотношение входящих и исходящих данных выглядит как «всё сразу».

Модели учитывают, например:

• длительность соединения и объём данных к одному адресу;
• число разных «сайтов», которые устройство перестало посещать напрямую;
• регулярные служебные пакеты одинакового размера (keepalive);
• несоответствие между заявленным доменом в SNI и реальным поведением.

Ответ на поведенческий анализ сложнее, чем на сигнатуры: нужно менять форму потока, а не только заголовки. Это делают распределение трафика по нескольким соединениям и портам, паузы и дополнение пакетов до «обычных» размеров, периодическая смена параметров. Именно здесь проходит граница между протоколами, которые «маскируются», и протоколами, которые адаптируются.

Как отвечают современные протоколы

TLS-маскировка и REALITY

Идея: соединение с VPN-сервером должно быть неотличимо от HTTPS-соединения с крупным сайтом. В REALITY сервер отвечает клиенту настоящим TLS-рукопожатием чужого домена, который он получает от реального сайта. Анализатор, попытавшийся сам подключиться к адресу, увидит настоящий сайт с настоящим сертификатом. Только клиент с правильным ключом получает туннель внутри. Так работает VLESS с REALITY; отпечаток клиента при этом подделывается под распространённые браузеры.

Обфускация

Более старый приём: сделать трафик похожим на случайный шум и убрать узнаваемые элементы рукопожатия. Так устроены Shadowsocks и обфусцированные варианты других протоколов. Против сигнатур это работает, против поведенческого анализа — хуже, потому что «шум без опознавательных знаков» сам по себе нетипичен.

Портовые стратегии

Фильтры чаще смотрят на «известные» порты, а правила для нестандартных применяют осторожнее, чтобы не задеть легитимные сервисы. Отсюда приёмы: работа на порту 443, где живёт весь HTTPS, распределение соединений по нескольким портам, смена порта при обрыве. Отдельные протоколы используют UDP там, где TCP замедляют, и наоборот — например, Hysteria строится поверх QUIC.

Быстрые и устойчивые: компромисс

Маскировка стоит ресурсов: дополнительные байты, лишние соединения, обработка на устройстве. Поэтому WireGuard остаётся самым быстрым, но самым заметным, а протоколы с маскировкой чуть медленнее, но проходят там, где он замедляется. Разумная стратегия — держать оба варианта на одном сервере и переключаться по ситуации.

Почему сегодня работает, а завтра нет

Самый частый вопрос в поддержку. Ответов несколько, и обычно действует сразу несколько.

1. Новое правило. Правила фильтрации обновляются централизованно и могут появиться за ночь. Протокол, который не попадал ни под одно, попал под новое.
2. Накопленная статистика. Поведенческие модели считают вероятность, а не бинарный признак. Адрес, к которому идёт постоянный поток, со временем набирает «вес» и переходит порог замедления.
3. Разные операторы, разные правила. Дома работает, в LTE нет — потому что у мобильного оператора набор правил другой, а в роуминге между сетями — третий.
4. Точечные эксперименты. Часть замедлений включается на ограниченное время или в отдельных регионах, чтобы оценить эффект. Тогда проблема исчезает так же внезапно, как появилась.
5. Смежные блокировки. Замедление QUIC или отдельных диапазонов хостингов задевает протоколы, которые на них опираются, без намерения блокировать именно их.

Практический вывод: устойчивость даёт не «самый лучший протокол», а возможность быстро сменить протокол, порт и адрес. Как это выглядит для пользователя в России — в разделе о VPN в России.

Что делает MeduzaVPN ULTRA и переключение протоколов

Персональный сервер MeduzaVPN поднимает все протоколы сразу: MeduzaVPN ULTRA, MeduzaVPN, WireGuard, OpenVPN, VLESS, V2Ray, Xray, Shadowsocks, Outline, Hysteria, SOCKS5, IKEv2 и SoftEther. Приложение переключается между ними без переустановки и без нового входа. Это и есть ответ на «сегодня работает, завтра нет»: смена одной настройки вместо поиска нового сервиса.

Что внутри ULTRA

MeduzaVPN ULTRA собран под три уровня фильтрации одновременно. Против списков адресов — персональный IP и смена локации. Против сигнатур — маскировка трафика под обычный, без узнаваемого рукопожатия. Против поведенческого анализа — распределение по портам, адаптивные параметры и форма потока, приближенная к обычным сессиям. При этом скорость остаётся близкой к WireGuard, так что ULTRA можно держать основным протоколом, а не «аварийным».

Порядок действий при проблемах

1. Переключите протокол: WireGuard → ULTRA → VLESS. Каждый следующий устойчивее к фильтрации.
2. Смените локацию: новый адрес в другом дата-центре снимает блокировку подсети.
3. Проверьте в другой сети, чтобы отделить блокировку от локальной проблемы.
4. Напишите в поддержку: там видно состояние сервера и известные на сегодня изменения в правилах.

Kill switch в приложении не даёт трафику уйти напрямую в момент, пока туннель переподключается, а split tunneling позволяет вывести из туннеля сервисы, которым VPN не нужен, и тем самым уменьшить «вес» потока к серверу.

Честные границы

• Гарантий нет. Фильтрация — это гонка, в которой правила меняются. Любое обещание «100 % стабильности» некорректно. Реалистичное обещание: набор протоколов, из которых хотя бы один обычно работает, и быстрое переключение.
• Факт соединения скрыть нельзя. Оператор всегда видит, что вы подключены к какому-то адресу и сколько передали. Задача протокола — не дать классифицировать это соединение как VPN, а не сделать его невидимым.
• Полное ограничение возможно. Если оператор решит пропускать только белый список адресов, никакой протокол не поможет. Такие режимы применялись локально и на короткое время, но исключать их нельзя.
• Маскировка стоит скорости. Устойчивые протоколы чуть медленнее быстрых. Это цена, а не дефект.
• Персональный IP — не броня. Он снимает блокировку по спискам, но не защищает от DPI. Вместе с протоколом — да, по отдельности — нет.

Заключение

Фильтрация работает на трёх уровнях: адреса, сигнатуры, поведение. Персональный IP закрывает первый, TLS-маскировка и обфускация — второй, адаптивные протоколы вроде MeduzaVPN ULTRA — третий. Ни один приём не вечен, поэтому главная ценность — все протоколы на одном сервере и переключение между ними в приложении.

MeduzaVPN даёт персональный сервер с собственным IP в 30+ локациях и полный набор протоколов, включая ULTRA. На подписках действуют 7 дней без оплаты — этого хватает, чтобы проверить, что работает именно в вашей сети. Посмотреть тарифы.

Частые вопросы