Глубокий анализ пакетов (DPI) — это метод проверки пакетов данных, проходящих через сеть, позволяющий определить тип трафика. Затем эта информация может использоваться для блокировки нежелательного трафика.

Этот метод обычно используется в брандмауэрах, системах обнаружения вторжений и других системах сетевой безопасности.

К сожалению, те же методы анализа, которые используются для защиты конфиденциальных сетей, могут применяться правительствами и другими организациями для мониторинга интернет-трафика и цензуры онлайн-инакомыслия.

С помощью DPI организации могут проверять пакеты при их прохождении через сеть, чтобы понять их назначение. Это позволяет им блокировать или ограничивать доступ к определенным веб-сайтам, приложениям и службам.

Использование VPN предотвращает такой анализ, поскольку пакеты шифруются. Однако сам протокол VPN часто может быть идентифицирован с помощью DPI. Это позволяет репрессивным правительствам (а иногда и другим организациям, таким как офисы и кампусы) эффективно блокировать доступ к сервисам VPN, даже если предпринимаются попытки скрыть (обфусцировать) факт использования VPN.

В этой статье мы рассмотрим, как работает глубокий анализ пакетов, уделив особое внимание тому, как репрессивные правительства используют его для введения цензурных ограничений. Мы также расскажем, как DPI влияет на виртуальные конфиденциальные сети (VPN), такие как Proton VPN, которые разработаны для преодоления таких ограничений.

Что такое пакет данных?

Когда данные отправляются по сети (например, через интернет), они делятся на небольшие части. Эти небольшие части называются пакетами данных (или просто пакетами).

Межсетевой протокол (IP)(новое окно) использует пакеты данных, чтобы гарантировать, что информация, отправленная по Сети, дойдет до нужного адресата. Когда все пакеты, составляющие набор данных (например, изображение или содержимое электронного письма), достигают пункта назначения, они собираются воедино.

Сами данные, содержащиеся в пакете, называются его «полезной нагрузкой». Каждый пакет также имеет заголовок, содержащий метаданные, которые объясняют, например, куда он направляется и откуда прибыл.

Структура IP-пакета

Все данные, передаваемые через интернет, отправляются пакетами.

Как работает анализ пакетов

Организации, выполняющей любой вид анализа пакетов, сначала необходимо получить сами пакеты для анализа. Это можно сделать разными способами, но наиболее распространенными методами являются зеркалирование портов(новое окно), физические сетевые ответвители(новое окно) и перехват трафика WiFi (сниффинг)(новое окно). Как только организация получает доступ к пакетам, она может анализировать их различными способами.

Простой анализ пакетов

Самый простой (и дешевый) способ для организации заблокировать сетевой трафик — это проверить информацию, содержащуюся в заголовках пакетов. Это позволяет организациям блокировать пакеты на основе используемых ими портов или IP-адреса назначения.

Глубокий анализ пакетов

Проблема простого анализа пакетов для организаций, желающих подвергать цензуре интернет, заключается в том, что его легко обойти, просто изменив IP-адрес назначения или номера используемых портов. Это связано с тем, что простой анализ пакетов не проверяет сами данные (полезную нагрузку). Глубокий анализ пакетов анализирует весь пакет целиком, включая полезную нагрузку.

Как работает глубокий анализ пакетов?

Методы DPI включают в себя:

  1. Обнаружение на основе сигнатур — сопоставляет пакеты с базой данных известных шаблонов вредоносного или нежелательного трафика
  2. Обнаружение на основе аномалий — ищет шаблоны или поведение, которые отклоняются от обычного сетевого трафика
  3. Анализ протоколов — исследует структуру и формат пакетов, чтобы определить, какой протокол используется
  4. Анализ содержимого — проверяет фактические данные, содержащиеся в полезной нагрузке, например текст электронного письма, для выявления и блокировки определенных ключевых слов или фраз
  5. Поведенческий анализ — изучает поведение сетевого трафика с течением времени (например, частоту подключений к определенному серверу или объем переданных данных), чтобы выявить и заблокировать необычные модели активности

DPI и государственная цензура

Репрессивные правительства по всему миру стремятся ограничить доступ своих граждан к независимой информации, их возможности взаимодействия с международным сообществом и их способность выражать критические по отношению к режиму взгляды.

Это одна из причин, по которой отключения интернета происходят все чаще(новое окно). Однако такие отключения обходятся невероятно дорого для любой страны, регулярно использующей интернет (то есть практически для всех стран, кроме Северной Кореи). Отключения интернета в 2022 году обошлись мировой экономике примерно в 24 миллиарда долларов(новое окно).

Решение этой дилеммы в таких странах, как Россия, Китай, Иран и Египет, заключается в том, чтобы сделать интернет доступным, но заблокировать веб-сайты и приложения, к которым граждане не должны получать доступ. На базовом уровне добиться этого довольно просто. Все, что нужно сделать правительствам, — это дать указание своим внутренним интернет-провайдерам (ISP) блокировать подключения к определенным IP-адресам.

Проблема этого подхода заключается в том, что такие технологии, как виртуальные конфиденциальные сети (VPN), позволяют более технически подкованным гражданам легко обходить эти блокировки, поэтому правительства внедряют DPI для обнаружения (и блокирования) использования VPN.


Читайте подробнее об интернет-цензуре

Как работают VPN

VPN создает зашифрованное подключение между вашим устройством и VPN-сервером, запущенным такой VPN-службой, как Proton VPN. Затем VPN-приложение направляет все подключения с вашего устройства через этот «VPN-туннель». Это касается и DNS-запросов, которые обрабатываются вашим VPN-провайдером, а не интернет-провайдером (как это обычно происходит).

Поскольку данные, отправляемые через VPN-туннель, надежно зашифрованы, ваш интернет-провайдер (и, как следствие, ваше правительство) не может видеть содержимое ваших данных или веб-сайты, которые вы посещаете. Все, что он может видеть, — это IP-адрес VPN-сервера, к которому вы подключились.

Как работает VPN

Узнайте подробнее о том, как работает VPN

То, чего интернет-провайдер не видит, он не может заблокировать, именно поэтому VPN являются эффективными инструментами обхода цензуры. Репрессивные правительства, конечно, знают об этом, поэтому их обычной реакцией является попытка заблокировать доступ к VPN.

Простые блокировки VPN

Самый простой способ сделать это — заблокировать доступ к веб-сайтам VPN-сервисов. Такие блокировки обычно легко обойти — например, распространяя установочный файл Proton VPN Android APK через зашифрованные мессенджеры или каналы в социальных сетях.

Также возможно выполнить простой анализ пакетов по их заголовкам, используя следующие методы:

Анализ IP-адреса назначения

Власти могут проверять IP-адреса назначения пакетов и сопоставлять их со списком известных IP-адресов VPN-серверов. Имея такой список, интернет-провайдеру не составит труда заблокировать доступ ко всем серверам VPN-сервиса.

Обладая ресурсами, доступными большинству правительств, им несложно составить эти списки самостоятельно. Но в этом нет особой необходимости, поскольку многие коммерческие службы делают хороший бизнес на составлении и продаже таких списков.

Анализ портов

DPI может проверять номера портов назначения пакетов и сопоставлять их со списком известных номеров портов VPN

Например, по умолчанию OpenVPN использует порт UDP 1194, в то время как WireGuard® использует порт UDP 51820.

Анализ SSL/TLS-сертификатов

Изучая SSL/TLS-сертификаты(новое окно) пакетов, контролирующие органы могут сопоставлять их со списком известных SSL/TLS-сертификатов VPN и выявлять случаи использования VPN.

Получить Proton VPN!

Простые методы обхода цензуры в VPN

Простой анализ пакетов — распространенный метод цензуры, поскольку он прост и дешев. К тому же VPN-сервисам довольно легко обойти его следующими способами:

VPN через TCP

HTTPS(новое окно) — это стандарт шифрования, который защищает Сеть и делает возможным многое из того, что мы привыкли делать в интернете. Это включает в себя защиту всех финансовых транзакций онлайн, таких как интернет-покупки и управление вашим банковским счетом онлайн.

HTTPS использует порт TCP 443, поэтому VPN-сервисы часто запускают свои VPN-протоколы через порт TCP 443. Это затрудняет простую блокировку данного порта, так как это фактически привело бы к отключению всего интернета.

OpenVPN имеет встроенную поддержку TCP, что делает его популярным выбором среди VPN-сервисов, использующих эту тактику. WireGuard обычно работает через UDP, но Proton VPN также разработал способ запуска WireGuard через TCP.

Подробнее о разнице между UDP и TCP

VPN через TCP позволяет эффективно обходить простой анализ протоколов, однако более продвинутые методы DPI могут легко обнаружить разницу между пакетами HTTPS и VPN.

Изменение номеров портов

Хотя по умолчанию протоколы VPN используют стандартные порты, большинство из них можно запустить практически через любой порт (за исключением портов, зарезервированных для определенных функций). Поэтому простой (но зачастую эффективный) метод обхода цензуры заключается в запуске протоколов VPN через нестандартные порты.

Функция Smart Protocol в Proton VPN обнаруживает блокировку подключения и автоматически переключается между протоколами VPN и номерами портов, чтобы найти незаблокированные комбинации.

Альтернативная маршрутизация

Необычным методом обхода цензуры, используемым Proton VPN, является альтернативная маршрутизация(новое окно). Если доступ к любому сервису Proton заблокирован (включая веб-сайт Proton VPN), мы пытаемся направить подключение через сторонние серверные сети, блокировка которых маловероятна (например, AWS).

VPN-мосты

Анализ IP-адресов назначения — сложный для преодоления вектор атаки, но некоторые VPN-сервисы решают эту проблему с помощью VPN-мостов. Они позволяют обходить цензуру, предоставляя альтернативные точки входа в сеть VPN, которые не внесены в публичные списки и не заблокированы цензорами.

VPN-сервисы могут достичь этого с помощью метода, называемого ретрансляцией мостов или «режимом моста». В этом случае VPN-провайдер запускает несколько «мостов-ретрансляторов», которые не публикуются в открытом доступе и предоставляются только тем пользователям, которым необходимо обойти цензуру. Эти мосты-ретрансляторы служат секретной точкой входа в сеть VPN и могут использоваться для обхода блокировок VPN-трафика.

Другой способ использования мостов в VPN заключается в том, что пользователям разрешается подключаться к сети VPN через «мостовой VPN». В этом случае VPN-подключение устанавливается между вашим устройством и VPN-сервером, который не заблокирован цензорами. Затем вы можете использовать этот мостовой VPN для подключения к основной сети VPN и получения доступа к заблокированному контенту.

Как DPI используется для обнаружения VPN

Онлайн-цензоры и интернет-пользователи ведут гонку вооружений с самых первых дней существования Сети. Интернет-провайдеры начали блокировать порты, поэтому люди стали использовать нестандартные порты. Репрессивные правительства ответили использованием DPI для определения того, что делает трафик на открытых портах, что побудило людей использовать VPN для обхода DPI. В свою очередь, правительства разработали более сложные методы DPI и так далее.

DPI сложно обойти, поскольку он проверяет весь пакет целиком для выявления VPN-трафика различными способами. Среди них:

Анализ протокола

В ходе этого процесса анализируются структура и формат пакетов, чтобы определить, какой протокол используется, и обнаружить, используют ли пакеты протокол VPN, например OpenVPN, PPTP, L2TP или IKEv2.

Анализ размера пакетов

Нетипичный размер пакетов может указывать на использование VPN.

Поведенческий анализ

DPI может анализировать поведение сетевого трафика в течение некоторого времени для выявления закономерностей, которые могут указывать на использование VPN. Например, необычный всплеск трафика к конкретному серверу или внезапное изменение местоположения IP-адресов могут свидетельствовать об использовании VPN.

Обфускация VPN

В качестве следующего шага в гонке вооружений за интернет без цензуры некоторые VPN-сервисы разработали собственные протоколы VPN, устойчивые к методам DPI. Например, мы разработали протокол Stealth для Proton VPN.

Этот новый протокол объединяет различные технологии с открытым исходным кодом, в частности используя обфусцированное TLS-туннелирование через TCP, чтобы трафик выглядел как HTTPS, обеспечивая более высокую устойчивость к цензуре, чем простой запуск VPN через TCP-порт 443.

Подробнее о Stealth

Stealth помог миллионам людей обойти блокировки VPN в таких странах, как Иран и Россия, но мы не можем гарантировать его эффективность против передовых методов DPI.

Заключительные мысли

Глубокая проверка пакетов может быть очень сложной и представляет собой постоянную проблему для нашей работы по предоставлению свободного доступа к интернету каждому. Но мы создали Proton VPN именно для решения подобных задач, и наши инженеры постоянно разрабатывают новые инструменты и функции для обхода цензуры.

Мы ведем гонку вооружений с некоторыми из самых репрессивных правительств мира, и ставки в ней высоки как никогда. Репрессивные режимы полагаются на жесткий контроль над информацией, к которой их граждане могут получить доступ, над тем, с кем они могут общаться и что они могут сказать своим согражданам и всему остальному миру.

Но мы верим, что каждый имеет право на доступ к независимым репортажам, на общение с теми, с кем хочет, и на критику несправедливости и злоупотреблений властью. Мы боремся за то, чтобы каждый имел доступ к этим фундаментаным правам человека.

Сервис Proton VPN был создан для борьбы за мир без цензуры, поэтому мы предлагаем 100 % бесплатный VPN. С Proton VPN каждый может получить доступ к свободному и открытому интернету. Мы гордимся тем, что активисты, журналисты и обычные люди по всему миру обращаются к Proton VPN в периоды нестабильности.

Если вы живете в стране с репрессивным режимом, наш сервис готов прийти на помощь. Если нет, вы можете поддержать нашу миссию по предоставлению доступа к свободному интернету для всех, зарегистрировавшись на тариф Proton VPN Plus.

Получить Proton VPN