Маскировка от DPI — как VLESS Reality обходит блокировки

Роскомнадзор блокирует VPN не случайным образом. Используется технология DPI — Deep Packet Inspection (глубокая инспекция пакетов). Разберём как она работает и почему VLESS Reality её обходит.

Что такое DPI

DPI — это система анализа сетевого трафика на уровне провайдера. Оборудование ТСПУ (Технические средства противодействия угрозам) установлено у всех крупных провайдеров России по требованию закона «о суверенном интернете».

DPI анализирует каждый пакет данных: заголовки, паттерны соединения, TLS-отпечатки. По этим признакам определяет тип трафика — обычный сайт, YouTube, VPN.

Как DPI обнаруживает обычный VPN

У каждого протокола есть «отпечаток»:

• OpenVPN — характерный handshake, порт 1194
• WireGuard — UDP-трафик с паттерном WireGuard
• L2TP/IPSec — стандартные порты 500/4500
• Shadowsocks — особый паттерн шифрования

DPI видит эти паттерны → блокирует соединение. Именно так были заблокированы 469 VPN-сервисов в 2024 году.

Почему DPI не видит VLESS Reality

VLESS Reality работает иначе: он «притворяется» обычным HTTPS-соединением с реальным сайтом. PassX маскирует трафик под www.microsoft.com.

Что видит DPI:

• Протокол: TLS 1.3 (обычный HTTPS)
• SNI (Server Name Indication): www.microsoft.com
• TLS-отпечаток: идентичен реальному Microsoft
• Порт: 443 (стандартный HTTPS)

Reality vs обычный VLESS

Обычный VLESS без Reality всё равно имеет характерный TLS-отпечаток. Reality добавляет второй слой — копирует TLS-сертификат и отпечаток реального сайта. Именно поэтому Reality значительно устойчивее.

А что насчёт VK.ru и других российских сайтов?

PassX с умной маршрутизацией (routing.help) отправляет российские сайты (ВКонтакте, Яндекс, Сбер) напрямую — без VPN. Международные сайты идут через туннель. DPI видит только российский трафик — там нет ничего подозрительного.