Почему DPI блокирует VPN и что делать: разбор технологий обхода блокировок

Почему VPN перестает работать: три типичных сценария

Когда VPN внезапно перестает работать, пользователь обычно подозревает сбой сервиса, перегрузку сервера или проблемы с интернет-соединением. Однако в условиях активной сетевой фильтрации причина чаще кроется в другом: провайдер или вышестоящая система распознает VPN-трафик и блокирует его. Важно различать три принципиально разных сценария, каждый из которых требует своего решения.

Первый сценарий — туннель вообще не устанавливается. DPI блокирует handshake еще до того, как соединение будет создано. Симптомы: приложение долго пытается подключиться, перебирает серверы и в итоге выдает ошибку. Второй сценарий — туннель работает, IP-адрес меняется, но DNS-запросы уходят мимо туннеля напрямую к серверам провайдера. В этом случае создается иллюзия защиты, но провайдер видит все запрашиваемые домены. Третий сценарий — туннель и DNS в порядке, но конкретные сайты заблокированы на уровне IP, и ваш VPN-сервер тоже попал в список блокировки.

Понимание этих сценариев помогает не тратить время на переустановку приложения, а сразу перейти к диагностике и выбору правильного решения.

Что такое DPI и как он анализирует трафик

DPI (Deep Packet Inspection) — это технология глубокого анализа пакетов, которая используется для классификации сетевого трафика. В отличие от обычного файрвола, который смотрит только на заголовки пакетов (IP-адреса, порты), DPI анализирует структуру пакетов, их размеры, временные интервалы и другие характеристики.

Важно понимать: DPI не расшифровывает содержимое зашифрованного трафика. Он работает с тем, что видно снаружи: порты, форма handshake, длины пакетов, интервалы между ними, соотношение входящего и исходящего потоков. Эти признаки в совокупности формируют так называемый сетевой отпечаток (fingerprint), по которому соединение можно классифицировать как VPN-трафик.

В России DPI реализован через систему ТСПУ (Технические Средства Противодействия Угрозам), которая установлена на уровне магистральных операторов. Это означает, что смена провайдера не поможет — ТСПУ стоит выше и контролирует трафик независимо от того, к какому оператору вы подключены. К 2026 году ТСПУ покрывает более 95% интернет-трафика страны, а с сентября 2025 года в системе включены ML-классификаторы, которые анализируют поведение трафика в целом, а не отдельные байты.

Методы DPI: от сигнатур до активного зондирования

DPI использует несколько уровней анализа, от простых и дешевых до сложных и дорогих. Самый простой метод — фильтрация по номеру порта. У большинства VPN-протоколов есть порт по умолчанию (например, 1194 для OpenVPN, 51820 для WireGuard), и заблокировать его — дело одного правила. Этот метод отсекает всех, кто не менял настройки.

Второй уровень — сигнатурный анализ. Он основан на том, что начало любого зашифрованного соединения (handshake) идет открытым текстом, поскольку стороны еще не договорились о ключах. У классических VPN-протоколов этот handshake имеет характерные признаки: фиксированная длина первого сообщения, фиксированные значения в первых байтах, предсказуемый порядок обмена. Например, WireGuard handshake initiation всегда имеет размер 148 байт, а первые четыре байта UDP-пакета всегда [0x01, 0x00, 0x00, 0x00]. DPI достаточно увидеть этот паттерн, чтобы заблокировать соединение RST-пакетом еще до завершения рукопожатия.

Третий уровень — поведенческий и статистический анализ. Когда сигнатуры нет, DPI анализирует распределение длин пакетов, временные паттерны, соотношение входящего и исходящего трафика. Туннель выдает себя тем, что в одном соединении с одним адресом упакованы разнородные потоки, сессия живет часами, обмен идет в обе стороны постоянно. Этот метод дороже и ошибается чаще, поэтому вместо полной блокировки часто применяется деградация — сужение полосы или добавление потерь.

Наконец, самый неприятный метод — активное зондирование (active probing). Система запоминает адрес подозрительного сервера и сама подключается к нему, как обычный клиент. Если сервер отвечает не так, как настоящий веб-сервер (например, закрывает соединение или молчит по таймауту), он попадает в список блокировки. Поэтому современные антиблокировочные протоколы должны уметь отвечать на такие проверки, имитируя поведение обычного сайта.

Почему стандартные VPN-протоколы блокируются: WireGuard, OpenVPN, IPSec

Стандартные VPN-протоколы — WireGuard, OpenVPN, IKEv2/IPsec — были разработаны для решения задачи защищенного соединения, но не для маскировки самого факта VPN. В сети без активной фильтрации они работают отлично, но как только появляется DPI, их характерные признаки становятся мишенью.

WireGuard — самый показательный пример. Это современный, быстрый и криптографически надежный протокол, но его сетевое поведение не имитирует обычный HTTPS-трафик. Он работает строго по UDP, что само по себе является сигналом для DPI, поскольку большинство легитимного трафика ходит по TCP. Фиксированный размер handshake (148 байт) и первые четыре байта [0x01, 0x00, 0x00, 0x00] делают его легкой мишенью. С середины 2025 года обычный WireGuard перестал работать через большинство российских операторов — это подтвержденный факт.

OpenVPN и IPSec давно находятся в черных списках крупных провайдеров. Их сигнатуры хорошо изучены, и DPI распознает их по первым байтам пакетов и структуре handshake. Даже перенос на порт 443 не помогает, если распознавание идет по сигнатуре, а не по порту. Работать через порт 443 и выглядеть как обычный веб-трафик — не одно и то же. Порт — лишь часть сетевого профиля.

Важно понимать: эти протоколы не являются «плохими». Они оптимизированы для других условий — для обеспечения безопасности и производительности в сети без враждебного наблюдателя. Проблема возникает, когда меняется модель угроз: теперь от соединения требуется не только защищать данные, но и не позволять системе фильтрации легко определить тип соединения. Это другая инженерная задача.

Обфускация и современные технологии: VLESS, REALITY, XHTTP

Для противодействия DPI используются технологии обфускации трафика. Если шифрование защищает содержимое соединения, то обфускация изменяет его наблюдаемые характеристики, чтобы усложнить классификацию. Это не один конкретный протокол, а целый стек технологий, каждый уровень которого решает свою задачу.

Один из современных подходов — использование протокола VLESS в сочетании с транспортом XHTTP и механизмом transport security REALITY. Эта архитектура используется в экосистеме Xray и позволяет разделить функции: VLESS отвечает за протокольную часть взаимодействия, XHTTP — за способ передачи данных, а REALITY — за маскировку соединения под обычный HTTPS.

REALITY — это модифицированная форма TLS, которая использует внешний вид и характеристики TLS-handshake целевого сайта для маскировки соединения. Внешне профиль REALITY рассчитан на соответствие обычному веб-трафику. Это не делает соединение невидимым, но надежная классификация такого трафика становится гораздо более сложной задачей, чем распознавание стандартного VPN-протокола.

XHTTP — транспортный метод, который определяет, каким способом данные передаются между клиентом и сервером. Он может работать совместно с REALITY и обеспечивает дальнейшее поведение потока, которое не выделяется на фоне обычного веб-трафика. Такая архитектура позволяет решать проблему не только на уровне handshake, но и на уровне всего соединения.

AmneziaWG 2.0: как обфусцировать WireGuard

AmneziaWG — это форк WireGuard от команды Amnezia VPN, который решает проблему узнаваемой сигнатуры. Криптографическое ядро осталось нетронутым: Curve25519, ChaCha20-Poly1305, BLAKE2s — все то же самое. Изменен только транспортный слой.

Первая версия AmneziaWG 1.x заменяла стандартные заголовки фиксированными кастомными значениями. Это помогло ненадолго — DPI быстро обучился на новых статических значениях. Версия 2.0 (выпущена в конце 2025 года) пошла другим путем: вместо замены фиксированных значений на другие фиксированные используется рандомизация при каждом соединении.

AmneziaWG 2.0 рандомизирует заголовки всех типов пакетов — handshake initiation, handshake response, data packet, under-load packet. Используются динамические диапазоны значений заголовков вместо статических, добавляется случайный паддинг к пакетам, имитируются паттерны трафика популярных UDP-протоколов, а также добавляются junk-пакеты перед handshake (параметры Jc, Jmin, Jmax в конфиге). В результате DPI видит случайный поток UDP-пакетов с непредсказуемыми заголовками — никакой знакомой сигнатуры, нечего блокировать.

Важный момент: параметры Jc, Jmin, Jmax, S1, S2, H1-H4 должны быть одинаковы на сервере и клиенте — это не ключи шифрования, а договоренность о формате пакетов. Но они должны быть уникальными для вашей инсталляции. Если скопировать значения из публичного гайда, DPI просто добавит эту комбинацию в базу сигнатур. Поэтому необходимо генерировать свои значения.

Утечки DNS: скрытая проблема, сводящая на нет защиту

Отдельная проблема, которая встречается примерно у 40% пользователей VPN, — утечка DNS. Сценарий выглядит так: туннель поднят, IP-адрес сменился, но DNS-запросы уходят мимо туннеля напрямую к серверам провайдера. В этом случае провайдер видит все домены, которые вы запрашиваете, даже если сам трафик зашифрован.

Причина утечки обычно в том, что DNS-запросы обрабатываются системными настройками операционной системы, которые не всегда перенаправляются через VPN-туннель. Особенно часто это происходит на мобильных устройствах и при использовании некоторых VPN-клиентов.

Решение — использовать DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT) поверх VPN. Это добавляет дополнительный уровень защиты: DNS-запросы шифруются и отправляются через HTTPS, что делает их невидимыми для DPI. Также можно вручную настроить DNS-серверы в конфигурации VPN, указав, например, 1.1.1.1 или 8.8.8.8.

Проверить утечку DNS можно с помощью специальных сервисов, которые показывают, какой DNS-сервер используется для разрешения доменов. Если вы видите DNS-сервер вашего провайдера при включенном VPN — это утечка.

Практические шаги: что делать, если VPN не работает

Когда VPN перестал работать, не спешите переустанавливать приложение. Сначала определите характер проблемы. Если соединение не устанавливается вовсе — скорее всего, DPI блокирует handshake. Если туннель поднялся, но данные не идут — соединение опознали после установки. Если связь работает, но медленно и рывками — это деградация по статистическим признакам.

Первым делом попробуйте сменить локацию. Фильтрация неоднородна: разные операторы включают разные наборы правил, в разное время суток и в разных регионах. Поэтому соседний сервер часто оказывается вне текущей волны блокировок. Переключение локации занимает пару касаний в приложении и не требует нового ключа.

Если смена локации не помогает, переходите к более радикальным мерам. Рассмотрите использование обфусцированных протоколов, таких как AmneziaWG 2.0 или VLESS+REALITY. Убедитесь, что DNS не утекает. Проверьте, не заблокирован ли IP-адрес вашего VPN-сервера — возможно, стоит сменить VPS.

Для диагностики можно использовать tcpdump на клиенте: если вы видите исходящий 148-байтный пакет без ответа — DPI блокирует на входе. Если видите SYN/RST — блокировка по IP. Эти знания помогут выбрать правильное решение.

Выбор VPS и настройка сервера для устойчивого VPN

Если вы решите поднять собственный VPN-сервер, важно правильно выбрать VPS. Сервер должен находиться за пределами зоны блокировок. Обратите внимание на репутацию хостинг-провайдера: некоторые дата-центры известны тем, что их IP-адреса часто попадают в списки блокировки. Лучше выбирать менее известных провайдеров или использовать серверы в странах, где фильтрация менее агрессивна.

Минимальные требования для VPS: Ubuntu 22.04 или 24.04, Debian 11/12, root-доступ, минимум 512 МБ RAM. Для AmneziaWG потребуется установить модуль ядра, сгенерировать ключи и настроить конфигурацию с параметрами обфускации. Важно сгенерировать уникальные значения H1-H4 для своей инсталляции, а не копировать из гайдов.

Также стоит настроить IP-форвардинг и NAT на сервере, чтобы трафик корректно маршрутизировался. После настройки проверьте работу туннеля с помощью curl ifconfig.me — должен отобразиться IP вашего VPS, а не домашний IP.

Часто задаваемые вопросы

Почему один и тот же VPN работает у одного провайдера и не работает у другого?

Наборы правил на оборудовании DPI различаются. Где-то режут только известные порты, где-то разбирают handshake, где-то дополнительно зондируют сервер. Поэтому нормальна ситуация, когда одно и то же подключение работает с мобильного интернета и не работает с домашнего, или работает утром и перестает вечером.

Помогает ли смена порта?

Только против самых простых правил. Если распознавание идет по сигнатуре handshake или по статистике пакетов, порт роли не играет. Перенос на 443 снимает только самый дешевый слой фильтрации.

Что должен уметь протокол, чтобы пережить фильтрацию?

Не иметь узнаваемого handshake, не выделяться статистикой пакетов и корректно отвечать на активное зондирование. Трафик должен идти по порту, который нельзя закрыть целиком, начало соединения должно быть неотличимо от массового HTTPS, а сервер должен вести себя как настоящий сайт для любого, кто не предъявил правильный ключ.

Что такое активное зондирование и как от него защититься?

Активное зондирование — это когда DPI сам подключается к подозрительному серверу и анализирует его реакцию. Если сервер отвечает не так, как веб-сервер, он попадает в список блокировки. Защита — использование технологий типа REALITY, которые маскируют сервер под обычный сайт.

Как проверить, не утекает ли DNS?

Можно использовать онлайн-сервисы проверки утечки DNS. Если при включенном VPN вы видите DNS-сервер вашего провайдера — это утечка. Решение — использовать DNS-over-HTTPS или вручную указать DNS-серверы в конфигурации VPN.

Что делать, если VPN работает, но скорость упала?

Скорее всего, это деградация по статистическим признакам — DPI сужает полосу, не блокируя соединение полностью. Попробуйте сменить локацию или протокол. Также проверьте, не перегружен ли сервер.

Стоит ли использовать бесплатные VPN?

Бесплатные VPN часто не имеют обфускации и легко блокируются DPI. Кроме того, они могут продавать данные пользователей. Для надежной защиты лучше использовать платные сервисы с современными протоколами или собственный VPS.

Вопросы и ответы