**DPI ИЗНУТРИ | Как читают твой трафик и как обмануть читающего — Transcript & Summary | SozAI**
Source: https://sozai.app/transcript/dpi-inside-how-read-traffic-cheat-reader/

Видео раскрывает работу DPI/ТСПУ, методы фильтрации трафика и способы обхода блокировок в России.

## Key Takeaways

- ТСПУ — это физическое оборудование с программным обеспечением, управляющееся Роскомнадзором.
- DPI анализирует трафик на прикладном уровне, читая открытые части TLS-рукопожатия для блокировок.
- ECH не решает проблему обхода блокировок, а скорее вызывает подозрения и дроп соединения.
- TLS-отпечатки JA3/JA4 позволяют DPI распознавать VPN-протоколы независимо от IP-адресов.
- Перегрузка ТСПУ может временно ослаблять фильтрацию, позволяя обходить блокировки.

## What the video covers

- Объяснение сути ТСПУ (технических средств противодействия угрозам) и их роли в фильтрации интернет-трафика.
- История внедрения ТСПУ в России с 2019 года и влияние на доступ к ресурсам.
- Технический разбор работы DPI на прикладном уровне (7 уровень OSI) и анализ TLS ClientHello.
- Проблемы DPI с шифрованием HTTPS и роль поля SNI в идентификации трафика.
- Технология ECH и реакция ТСПУ на её использование — дроп соединения.
- Использование TLS-отпечатков JA3 и JA4 для идентификации VPN и обхода блокировок.
- ASN-таргетинг как современная тактика блокировки VPN и сервисов.
- Различия в конфигурациях ТСПУ у разных операторов и влияние на работоспособность VPN.
- Перегрузка оборудования ТСПУ из-за большого объёма зашифрованного и фрагментированного трафика.
- Феномен временного обхода блокировок при перегрузке систем фильтрации.

Answers

## Questions about this video

Что такое ТСПУ и как оно работает?

ТСПУ — это технические средства противодействия угрозам, представляющие собой физическое оборудование с программным обеспечением, установленное у провайдеров и управляемое Роскомнадзором для фильтрации интернет-трафика в реальном времени.

Почему VPN блокируют, если не заблокирован IP-адрес?

DPI анализирует TLS-рукопожатия и использует TLS-отпечатки JA3/JA4 для идентификации VPN-протоколов, поэтому блокировка происходит по характерным признакам трафика, а не по IP-адресу.

Помогает ли технология ECH обойти блокировки DPI?

Нет, ECH шифрует поле SNI, но ТСПУ реагирует на это дропом соединения, так как не может прочитать трафик, что вызывает подозрения и блокировку.

## Full Transcript — Download SRT & Markdown

00:00

Speaker A

Все говорят о рабочих VPN, подходящих протоколах, но мало кто говорит о том, с чем, собственно, вообще идёт борьба.

00:04

Speaker A

Почему прокси или VPN работает одним, не работает другим, почему порой он вообще не нужен для доступа к запрещённым ресурсам, есть ли у фильтрации свои границы?

00:14

Speaker A

Это фундаментально некорректный подход — действовать от симптомов и не задумываться о корне проблемы. Корнем проблемы является, разумеется, ТСПУ или DPI, и сегодня именно о нём мы и поговорим. Будет много технических деталей, именно за этим вы, скорее всего, здесь и находитесь. Зовут меня Аркедес, тянуть не будем, погнали.

00:30

Speaker A

А перед началом расскажу о своём сервисе. Если тебе нужен рабочий домашний мобильный интернет, а не хобби с ночными логами и борьба со скручивающей доступ DPI-системой, воспользуйся моим сервисом по освобождению интернета с актуальными методами. Ссылка в описании и на экране.

00:45

Speaker A

Издавна нам свойственно думать, что блокировки — это список IP-адресов в реестре. Роскомнадзор добавил запись, сайт стал недоступен. Да, отчасти это так, но принцип изменился. Сейчас у каждого провайдера стоит физическое железо, которое читает твой трафик в реальном времени.

00:59

Speaker A

Называется это ТСПУ.

01:01

Speaker A

Окей, для начала.

01:03

Speaker A

Что это вообще такое?

01:04

Speaker A

ТСПУ расшифровывается как технические средства противодействия угрозам.

01:10

Speaker A

Красивое название для коробки, которая стоит в стойке у провайдера и фильтрует трафик по команде.

01:17

Speaker A

Это и есть ТСПУ.

01:19

Speaker A

В 2019 приняли закон о суверенном интернете.

01:25

Speaker A

Операторов и провайдеров обязали установить это железо за счёт государства.

01:29

Speaker A

Не попросили, а именно обязали.

01:32

Speaker A

Далее 2 года массово устанавливали у всех операторов.

01:36

Speaker A

В 21 году случился первый публичный тест.

01:40

Speaker A

Twitter замедлили до 40% скорости.

01:44

Speaker A

Тогда многие ещё думали, что это случайность.

01:47

Speaker A

А с 23 по 26 год прицельная охота на VPN-протоколы и увеличение числа заблокированных сервисов.

01:53

Speaker A

Важно, что ТСПУ — это не просто программа, это и физическое оборудование.

01:57

Speaker A

Очень мощные серверные стойки, способные пропускать и обрабатывать терабайты трафика ежесекундно.

02:02

Speaker A

А также набор программ, способных анализировать трафик по различным признакам.

02:07

Speaker A

У железа отечественные производители: ЭкоФильтр, Норси-Транс и Эшелон.

02:12

Speaker A

Стоят на узле у каждого лицензированного оператора.

02:15

Speaker A

И самое главное, провайдеры сами не имеют доступа к конфигурации.

02:20

Speaker A

Только Роскомнадзор.

02:22

Speaker A

Операторы буквально не знают, что там настроено, только догадываются.

02:26

Speaker A

И настройкой, и управлением занимаются специалисты Роскомнадзора.

02:30

Speaker A

Могут выборочно менять её и переключать в различных регионах у разных операторов.

02:35

Speaker A

Классическая модель OSI или ОSИ — семь уровней.

02:38

Speaker A

Обычные маршрутизаторы работают на третьем и четвёртом уровнях.

02:43

Speaker A

Смотрят IP-адрес назначения и порт.

02:46

Speaker A

Пересылает пакет дальше.

02:47

Speaker A

Это быстро, дёшево и легко масштабируется.

02:50

Speaker A

DPI, Deep Packet Inspection, лезет выше.

02:53

Speaker A

Седьмой уровень.

02:54

Speaker A

Это уже прикладной уровень, там живёт HTTP, DNS, TLS.

02:57

Speaker A

DPI не просто смотрит, куда идёт пакет, он залезает внутрь, читает содержимое.

03:01

Speaker A

Но у DPI есть фундаментальная проблема.

03:04

Speaker A

Весь интернет сейчас зашифрован с помощью HTTPS и TLS 1.3.

03:08

Speaker A

ClientHello.

03:10

Speaker A

Это первый пакет TLS-рукопожатия.

03:13

Speaker A

Он отправляется до шифрования.

03:16

Speaker A

DPI читает его свободно.

03:18

Speaker A

И внутри него в открытом виде есть поле SNI, Server Name Indication.

03:24

Speaker A

Имя домена.

03:25

Speaker A

Открытым текстом.

03:26

Speaker A

Вот тут DPI читает, куда ты идёшь.

03:29

Speaker A

Давай разберём структуру этого пакета.

03:31

Speaker A

TCP-заголовок.

03:33

Speaker A

TLS Record Header.

03:34

Speaker A

Потом ClientHello.

03:36

Speaker A

Затем тип сообщения.

03:38

Speaker A

Версия TLS-шифрования.

03:40

Speaker A

Далее случайные данные.

03:42

Speaker A

Дальше Cipher Suites.

03:44

Speaker A

Или список алгоритмов шифрования.

03:46

Speaker A

И расширения.

03:48

Speaker A

В расширениях SNI с именем сайта в открытом виде.

03:51

Speaker A

ALPN с поддерживаемыми протоколами.

03:54

Speaker A

Список эллиптических кривых.

03:57

Speaker A

И всё это до шифрования.

03:59

Speaker A

Это DPI читает свободно.

04:01

Speaker A

Есть технология ECH.

04:03

Speaker A

Encrypted ClientHello.

04:05

Speaker A

Cloudflare её поддерживает.

04:07

Speaker A

Она шифрует SNI.

04:09

Speaker A

Казалось бы, решение.

04:11

Speaker A

Но реакция ТСПУ на ECH — это просто дроп соединения.

04:15

Speaker A

Не могу прочитать, значит, подозрительно.

04:18

Speaker A

Превентивный дроп.

04:20

Speaker A

ECH не обходит блокировку, а скорее помечает тебя как подозрительного.

04:25

Speaker A

У него есть два режима работы.

04:27

Speaker A

Пассивный: стоит сбоку, подключён к коммутатору.

04:30

Speaker A

Копирует трафик и анализирует.

04:32

Speaker A

Если видит запрещённую сигнатуру, отправляет тебе фальшивые TCP-ресеты от имени сервера.

04:38

Speaker A

Ты думаешь, что сервер тебя отключил, но на самом деле это DPI подделал ответ.

04:43

Speaker A

Активный DPI стоит в разрыве канала.

04:45

Speaker A

Физически между тобой и интернетом.

04:47

Speaker A

Он может реально дропать пакеты без всяких подделок.

04:50

Speaker A

DPI видит шифрованный поток и не может прочитать, что внутри.

04:54

Speaker A

Идём дальше.

04:56

Speaker A

Допустим, ты скрыл SNI.

04:57

Speaker A

Подменил на что-то невинное.

04:58

Speaker A

DPI всё равно может тебя идентифицировать, потому что существуют TLS-отпечатки.

05:04

Speaker A

JA3 — это алгоритм из 2017 года.

05:07

Speaker A

Берёт из ClientHello несколько конкретных полей.

05:10

Speaker A

Версию TLS, список Cipher Suites, список расширений, набор эллиптических кривых и EC Point Formats.

05:17

Speaker A

Конкатенирует всё через запятую, прогоняет через MD5, получается 32-символьный страшный хэш.

05:22

Speaker A

Он уникальный для каждого TLS-клиента.

05:25

Speaker A

Chrome выдаёт один хэш.

05:27

Speaker A

Firefox — другой.

05:29

Speaker A

OpenVPN — третий.

05:30

Speaker A

WireGuard вообще не использует TLS, но его UDP-паттерн узнаётся по другим признакам.

05:35

Speaker A

А у Xray ванильного свой хэш, который давно внесён в базы DPI-систем.

05:40

Speaker A

Вот почему старые VPN умирают не потому, что их IP заблокирован, а потому, что DPI читает рукопожатие, видит хэш OpenVPN и дропает соединение.

05:47

Speaker A

IP вообще не при делах.

05:49

Speaker A

В 2023 году компания FoxIO выпустила JA4.

05:53

Speaker A

Это эволюция, человекочитаемый формат, SHA-256 вместо MD5.

05:58

Speaker A

Первый символ — транспорт TCP.

06:00

Speaker A

Следующие два — версия TLS.

06:03

Speaker A

Потом количество шифров.

06:04

Speaker A

Количество расширений.

06:05

Speaker A

Первый и последний символы ALPN.

06:09

Speaker A

Потом два хэша.

06:10

Speaker A

От Cipher Suites и от расширений с алгоритмами сигнатуры.

06:15

Speaker A

Это не просто хэш, это структурированный идентификатор, по которому можно делать точечные фингерпринты.

06:20

Speaker A

Инструмент uTLS позволяет клиенту притвориться Chrome или Firefox.

06:24

Speaker A

Заимствовать их настоящий отпечаток.

06:27

Speaker A

Именно это и делает Xray.

06:29

Speaker A

Теперь к тому, как ТСПУ реально работает сейчас.

06:32

Speaker A

Одна из основных тактик на текущий момент — ASN-таргетинг.

06:35

Speaker A

ТСПУ бьёт не по конкретным IP, а по целым автономным системам хостинг-провайдеров.

06:41

Speaker A

AEZ, OVHcloud, Yufuhosting, DigitalOcean, Hetzner, Vultr, Contabo, OVH, LanCent и другие.

06:48

Speaker A

Если VPS находится в одном из засвеченных ASN и TLS-рукопожатие к нему не выглядит как обычный браузер, соединение рвётся.

06:56

Speaker A

При этом поток трафика большой.

06:58

Speaker A

Соединение временно рвётся, примерно на 10-30 минут.

07:02

Speaker A

Даже если IP ещё не заблокирован отдельно.

07:07

Speaker A

В ноябре 2025 были слухи про блокировку TLS 1.3 у части провайдеров, но воспроизвести это удалось не всем.

07:13

Speaker A

У многих конфиги продолжали работать без изменений.

07:17

Speaker A

Вообще, нет никакой единой конфигурации ТСПУ на всю страну.

07:21

Speaker A

Разные операторы, разные настройки, разные версии прошивок, разные сроки обновлений.

07:27

Speaker A

Поэтому у кого-то WireGuard до сих пор работает в домашней сети.

07:31

Speaker A

А у другого человека он умер ещё в 2023.

07:36

Speaker A

Это не баг, это особенность децентрализованного развёртывания.

07:39

Speaker A

Как мы уже говорили ранее, ТСПУ — это то же железо.

07:43

Speaker A

И у него есть свои лимиты, и ресурсы не безграничны.

07:47

Speaker A

На примере.

07:48

Speaker A

Вот у тебя есть компьютер, у него, скажем, 4 ГБ оперативки, процессор Ryzen 5 3500 и видяха RX 580.

07:55

Speaker A

Ты запускаешь обычный Minecraft, и всё летает.

07:57

Speaker A

А когда запускаешь Minecraft с крутыми шейдерами, компьютер едва ли вывозит 10 FPS.

08:01

Speaker A

То же самое с ТСПУ.

08:04

Speaker A

Сейчас, в марте 2026 года, оборудование предельно перегружено бесконечными попытками фильтрации трафика, в особенности зашифрованного и туннельного через Xray, VLESS, MTProto Telegram, Hysteria2, Trojan и кучу других обёрток.

08:12

Speaker A

Сильно грузит и наличие мусорного или фрагментированного трафика.

08:16

Speaker A

Фрагментированные пакеты нужно задержать, собрать и попытаться прочитать.

08:20

Speaker A

А собирать каждое такое подключение очень тяжело для оборудования.

08:24

Speaker A

Об этом поговорим дальше.

08:26

Speaker A

Порой, даже не подключаясь к VPN, заблокированные ресурсы чудным образом начинают работать.

08:31

Speaker A

Это как раз оверлоад, когда системе приходится сбавлять темпы фильтрации или обрубать их полностью.

08:37

Speaker A

Поскольку нагрузка слишком высока.

08:39

Speaker A

Иначе ляжет полный интернет.

08:42

Speaker A

Конечно, масштабирование ресурсов — скорее вопрос времени, но и вопрос возможности тоже встаёт на кону, потому что клипать без конца и края оперативку, процессор и диски под такие требовательные задачи очень дорого.

08:51

Speaker A

Оборудование нужно грейдить и устанавливать у каждого оператора.

08:55

Speaker A

Теперь главная часть — инструменты обхода.

08:58

Speaker A

Важно понять, это не VPN-замена, это инструменты для того, чтобы установить соединение с сервером, к которому ТСПУ мешает подключиться.

09:03

Speaker A

Дальше уже твой VPN-протокол.

09:05

Speaker A

Про них известно давно, но принципы работы в деталях редко обсуждали.

09:09

Speaker A

Byedpi перехватывает TCP-пакеты на уровне ниже браузера.

09:13

Speaker A

Ещё до того, как они ушли в сеть, и модифицирует их.

09:17

Speaker A

Всего есть несколько стратегий, каждая из них основана на манипуляции с пакетом ClientHello.

09:22

Speaker A

Утилита либо дробит его определённым образом, либо посылает фиктивные пакеты, скрывающие настоящие, либо смещает порядок.

09:28

Speaker A

В любом случае, суть заключается в том, чтобы изменить дефолтное поведение.

09:33

Speaker A

И не дать системам анализа трафика действовать по одному шаблону для каждого подключения.

09:38

Speaker A

А вот если IP или ASN заблокирован полностью на уровне L3.

09:43

Speaker A

Всё это не поможет.

09:44

Speaker A

TCP-соединение вообще не установится.

09:47

Speaker A

Byedpi работает только тогда, когда блокировка происходит на уровне анализа содержимого.

09:51

Speaker A

То есть DPI режет соединение по паттернам в TLS, а не по IP.

09:55

Speaker A

Zapret — это то же самое, но для Linux-роутеров.

09:59

Speaker A

Здесь будет очень много непонятных терминов даже для пользователей Linux, но, короче, вот.

10:04

Speaker A

Работает он на уровне ядра через netfilter и механизм очереди фильтра сетей NFQUEUE.

10:09

Speaker A

Ключевой компонент — NFQWS.

10:12

Speaker A

Собственная настройка от Zapret для NFQ.

10:15

Speaker A

Правила iptables и nftables перенаправляют первые несколько TCP-сессий в очередь NFQUEUE.

10:20

Speaker A

NFQWS получает эти пакеты, анализирует, применяет стратегию и отправляет обратно.

10:24

Speaker A

Весь остальной трафик, тяжёлый поток, видеоданные летят напрямую через ядро без единой задержки.

10:29

Speaker A

Zapret 2 отличается архитектурой.

10:31

Speaker A

Он способен гибко и автоматизированно подбирать стратегии при помощи Lua-скриптов без хардкода, а код на C занимается лишь самым необходимым.

10:39

Speaker A

Цель прежняя — путать DPI.

10:41

Speaker A

Cloudflare WARP — это VPN-сервис от Cloudflare.

10:44

Speaker A

Приложение 1.1.1.1.

10:46

Speaker A

Под капотом стандартный WireGuard.

10:48

Speaker A

Проблема в том, что WireGuard как протокол давно известен ТСПУ.

10:52

Speaker A

Его паттерн дропается с первого пакета.

10:55

Speaker A

AmneziaVPN решает это через AWG.

10:57

Speaker A

Модифицированный WireGuard.

10:59

Speaker A

Добавляет случайные байты в начало пакетов, паддинг до случайного размера.

11:04

Speaker A

Рандомизирует заголовки рукопожатия.

11:07

Speaker A

В итоге DPI видит UDP-поток, не похожий на WireGuard и пропускает.

11:11

Speaker A

Плюс серверная инфраструктура Cloudflare — это миллионы IP по всему миру.

11:17

Speaker A

Заблокировать её целиком означает отрезать половину рунета от легитимных сервисов.

11:22

Speaker A

Она помогает не только ускорить YouTube, Discord и прочие штуки, но и может помочь возродить подключение к VLESS-серверу, если его вдруг настигли свои роды репрессий.

11:30

Speaker A

Поскольку Amnezia будет туннелировать трафик, точка анализа трафика сменится.

11:35

Speaker A

И доступ к заблокированному ресурсу или VPS вполне может появиться.

11:39

Speaker A

А уже после подключения к Amnezia, затем к своему VLESS — открыты все окна.

11:43

Speaker A

Тоже своего рода каскад.

11:45

Speaker A

Отдельно хочу остановиться на фрагментации.

11:48

Speaker A

Принцип простой: ТСПУ ищет паттерн в первом TCP-сегменте, который содержит ClientHello.

11:53

Speaker A

Если мы разобьём ClientHello на несколько TCP-сегментов, первый сегмент не содержит полной сигнатуры.

11:58

Speaker A

DPI смотрит на него, ничего запрещённого не находит, пропускает.

12:01

Speaker A

Второй сегмент без начала тоже безопасен.

12:03

Speaker A

Сервер на той стороне получает все куски, склеивает.

12:06

Speaker A

И видит нормальный ClientHello.

12:09

Speaker A

Но есть нюанс.

12:11

Speaker A

Современные DPI умеют пересобирать TCP-поток.

12:13

Speaker A

Если DPI делает это для каждого соединения, фрагментация не работает.

12:17

Speaker A

Именно поэтому параллельно применяют манипуляцию размером TCP-окна.

12:21

Speaker A

В заголовке TCP есть поле Window Size.

12:25

Speaker A

Это сколько байт получатель готов принять за раз.

12:28

Speaker A

Если мы скажем серверу: «Я принимаю только 2 байта», сервер начнёт дробить свои ответы на крошечные фрагменты.

12:33

Speaker A

DPI, чтобы пересобрать ClientHello из таких микрокусков, нужно держать состояние соединения в памяти.

12:38

Speaker A

При нагрузке в гигабиты это дорого.

12:41

Speaker A

Память не резиновая, и DPI сдаётся и пропускает трафик.

12:44

Speaker A

Это не баг, это физическое ограничение железа.

12:47

Speaker A

Byedpi, Zapret эксплуатируют не уязвимость конкретной прошивки, а фундаментальное противоречие между скоростью интернета и вычислительными ресурсами.

12:54

Speaker A

ТСПУ должен обрабатывать весь трафик страны.

12:58

Speaker A

Делать дорогую пересборку для каждого соединения невозможно.

13:01

Speaker A

Плюс Zapret 2.0 даёт возможность адаптироваться быстрее, чем провайдеры обновляют конфигурацию ТСПУ.

13:07

Speaker A

Сообщество обнаружило новую сигнатуру, скрипт обновился.

13:10

Speaker A

Никакой перекомпиляции.

13:12

Speaker A

Лишь одна оговорка.

13:15

Speaker A

Фрагментация и эти инструменты — не замена шифрованию, они помогают установить соединение.

13:22

Speaker A

Данные внутри этого соединения всё равно нужно шифровать VPN-протоколом.

13:26

Speaker A

Что в итоге?

13:28

Speaker A

ТСПУ видит твои пакеты.

13:30

Speaker A

Читает ClientHello, JA3-хэши.

13:33

Speaker A

Бьёт по целым системам хостингов.

13:36

Speaker A

Но всё это код и железо с ограниченной памятью и конечным числом ядер.

13:40

Speaker A

Программы byedpi, Zapret и Cloudflare WARP — это не хакерский софт, они не ломают ничего.

13:46

Speaker A

Они используют то, как протокол в принципе работает.

13:50

Speaker A

Вся магия блокировок строится на предположении, что ты будешь вести себя стандартно.

13:54

Speaker A

Как только поведение выходит за паттерн, фильтр теряет ориентацию.

13:58

Speaker A

Если видео было полезным, поставь лайк и подпишись, это помогает алгоритму показать его ещё 50 000 людям.

14:03

Speaker A

И рассказать всем о возможностях сохранения цифровой свободы.

14:07

Speaker A

Пиши в комментариях, про что сделать следующий ролик.

14:10

Speaker A

Ссылка на мой сервис, так называемого восстановления работоспособности интернета, в описании.

14:16

Speaker A

Там уже всё настроено под актуальные реалии.

Topics: DPI ТСПУ фильтрация трафика VPN блокировка интернета TLS SNI JA3 обход блокировок Роскомнадзор

Учить по этому видео

- [Карточки по этому видео](https://sozai.app/ru/tools/ai-flashcard-generator/?from=transcript&id=18044)
- [Тест по этому видео](https://sozai.app/ru/tools/quiz-generator/?from=transcript&id=18044)

Бесплатно, составлено ИИ по этой расшифровке. Без регистрации.


---
This is the markdown twin of https://sozai.app/transcript/dpi-inside-how-read-traffic-cheat-reader/ — the same content, without the markup.
Published by SozAI (https://sozai.app). Reuse and quotation are allowed with attribution and a link back.
Machine-readable index: https://sozai.app/llms.txt · data API: https://sozai.app/api/