深度封包檢測 (DPI) 是一種用來檢查通過網路之數據封包的方法，以便識別流量類型。接著可以使用此資訊來封鎖不必要的流量。
此技術通常用於防火牆、入侵偵測系統和其他網路安全系統。
遺憾的是，用於保護私有網路的相同分析技術，也可能被政府和其他組織用來監控網際網路流量並審查線上的異議言論。
透過使用 DPI，組織可以檢查通過網路的封包以了解其用途。這使他們能夠封鎖或限制對特定網站、應用程式和服務的存取。
使用 VPN 可以防止這類分析，因為封包已加密。但 VPN 協定本身通常可以被 DPI 識別。這使得專制政府（以及偶爾的其他組織，如辦公室和校園）能夠有效地封鎖對 VPN 服務的存取，即使有人試圖隱藏（混淆）正在使用 VPN 的事實。
在本文中，我們將探討深度封包檢測的運作原理，並重點介紹專制政府如何利用它來實施審查限制。我們還將探討 DPI 如何影響旨在克服此類限制的虛擬私有網路 (VPN)，例如 Proton VPN。
- 什麼是數據封包？
- 封包分析的運作原理
- 簡單的封包分析
- 深度封包檢測
- DPI 與政府審查
- VPN 的運作原理
- 簡單的 VPN 封鎖
- 簡單的 VPN 反審查策略
- 如何使用 DPI 偵測 VPN
- VPN 混淆
什麼是數據封包？
當數據透過網路（例如網際網路）傳送時，會被分成多個小部分。這些小部分被稱為數據封包（或簡稱封包）。
The 網際網路協定(新視窗)使用數據封包來協助確保在網頁上傳送的資訊能到達正確的目的地。當構成數據集（例如圖片或電子郵件內容）的所有封包到達目的地時，它們會被重新組合。
封包中包含的實際數據稱為其「負載」。每個封包還有一個標頭，其中包含說明其去向和來源等資訊的中繼資料。
所有透過網際網路傳輸的數據都是以封包形式傳送的。
封包分析的運作原理
執行任何形式封包分析的組織必須首先取得要分析的封包。這可以透過多種方式完成，但連接埠鏡像(新視窗)、實體網路分流器(新視窗)和 WiFi 監聽(新視窗)是常見的策略。一旦組織能夠存取封包，就可以透過各種方式對其進行分析。
簡單的封包分析
組織在網路流量上實施封鎖最簡單（且最便宜）的方法，是檢查封包標頭中包含的資訊。這使這些組織能夠根據封包使用的連接埠或其目的地 IP 位址來封鎖封包。
深度封包檢測
對於希望審查網際網路的組織而言，簡單封包分析的問題在於，只要變更目的地 IP 位址或使用的連接埠號碼，就能輕鬆繞過。這是因為簡單的封包分析不會查看數據（負載）。深度封包檢測則會分析整個封包，包括負載。
深度封包檢測是如何運作的？
DPI 技術包括：
- 特徵式偵測 — 將封包與已知惡意或不必要流量特徵的資料庫進行比對
- 異常式偵測 — 尋找偏離正常網路流量的模式或行為
- 協定分析 — 檢查封包的結構和格式，以識別正在使用哪種協定
- 內容檢查 — 檢查負載中包含的實際數據（例如電子郵件的文字），以識別並封鎖特定的關鍵字或詞組
- 行為分析 — 檢查網路流量隨時間變化的行為，例如與特定伺服器的連線頻率或傳輸的數據量，以識別並封鎖異常的活動模式
DPI 與政府審查
世界各地的專制政府都希望限制其公民存取獨立資訊、與國際社會互動的能力，以及表達批評政權之觀點的能力。
這也是 網際網路中斷事件持續變得更加普遍(新視窗)的部分原因。但對於任何經常依賴網際網路的國家（基本上是除了北韓以外的每個國家）來說，這些網路中斷代價極其高昂。2022 年的網路關閉事件估計使全球經濟損失了約 240 億美元(新視窗)。
在俄羅斯、中國、伊朗和埃及等地，解決這一困境的方法是提供網際網路，但封鎖不希望公民存取的網站和應用程式。在基本層面上，這很容易實現。政府只需指示其國內的網際網路服務供應商 (ISP) 封鎖與特定 IP 位址的連線即可。
這種方法的問題在於，虛擬私有網路 (VPN) 等技術可以讓更精通技術的公民輕鬆繞過這些封鎖，因此政府部署 DPI 來偵測（並封鎖）VPN 的使用。
VPN 的運作原理
VPN 會在您的裝置與由 VPN 服務（例如 Proton VPN）運作的 VPN 伺服器之間建立已加密連線。接著，VPN 應用程式會透過此「VPN 隧道」路由您裝置的所有連線。這包括 DNS 查詢，這會由您的 VPN 供應商解析，而不是像通常那樣由您的 ISP 解析。
由於透過 VPN 隧道傳送的資料已安全加密，因此您的 ISP（進而也包括您的政府）無法看到您的資料內容或您瀏覽的網站。其所能看到的只有您連線到的 VPN 伺服器的 IP 位址。
ISP 看不到的內容就無法封鎖，這就是為什麼 VPN 是有效的反審查工具。專制政府當然也知道這一點，因此他們通常的反應是試圖封鎖對 VPN 的存取。
簡單的 VPN 封鎖
最簡單的方法是封鎖對 VPN 服務網站的存取。此類封鎖通常很容易規避，例如透過加密即時通訊軟體或社群媒體管道分發 Proton VPN 的 Android APK 檔案。
也可以使用以下方法對封包標頭進行簡單的封包分析：
目的地 IP 位址分析
主管機關可以檢查封包的目的地 IP 位址，並將其與已知 VPN 伺服器 IP 位址清單進行比對。有了這樣的清單，ISP 就能輕鬆封鎖對該 VPN 服務所有伺服器的存取。
利用大多數政府可獲得的資源，他們自己編製這些清單並不困難。但他們其實不需要這樣做，因為許多商業服務透過編製和銷售此類清單來獲得豐厚利潤。
連接埠分析
DPI 可以檢查封包的目的地連接埠號，並與已知 VPN 連接埠號的清單進行比對
例如，在預設情況下，OpenVPN 使用 UDP 連接埠 1194，而 WireGuard® 則使用 UDP 連接埠 51820。
SSL/TLS 憑證分析
藉由檢查封包的 SSL/TLS 憑證(新視窗)，審查機構可以將其與已知 VPN SSL/TLS 憑證的清單進行比對，並偵測使用者是否正在使用 VPN。
簡單的 VPN 反審查策略
簡單的封包分析是一種常見的審查手段，因為其成本低廉且易於實施。對於 VPN 服務來說，要使用以下方法來繞過也相當容易：
透過 TCP 傳輸的 VPN
HTTPS(新視窗) 是保障網頁安全的加密標準，讓我們在網際網路上能進行許多視為理所當然的操作。這包括保障所有線上金融交易的安全，例如線上購物和在線上管理您的銀行帳號。
HTTPS 使用 TCP 連接埠 443，因此 VPN 服務也經常透過 TCP 連接埠 443 運行其 VPN 協定。這使得審查機構很難在不關閉整個網際網路的情況下，單純封鎖此連接埠。
OpenVPN 內建對 TCP 的支援，使其成為使用此策略的 VPN 服務之熱門選擇。WireGuard 通常透過 UDP 運行，但 Proton VPN 也開發出了一種透過 TCP 運行 WireGuard 的方法。
透過 TCP 傳輸的 VPN 可以有效規避簡單的協定分析，但更先進的 DPI 技術可以輕鬆辨別 HTTPS 和 VPN 封包之間的差異。
變更連接埠號
雖然 VPN 協定預設使用預期的連接埠，但大多數協定幾乎可以在任何連接埠上運行（特定功能專用的保留連接埠除外）。因此，一種簡單（但通常有效）的反審查技術，就是透過非標準連接埠運行 VPN 協定。
Proton VPN 的 Smart Protocol 功能可偵測連線何時遭到封鎖，並自動在 VPN 協定和連接埠號之間進行切換，以找出未被封鎖的組合。
替代路由
Proton VPN 使用的一種獨特反審查策略是替代路由(新視窗)。如果對任何 Proton 服務的存取遭到封鎖（包括 Proton VPN 網站），我們會嘗試透過不太可能被封鎖的第三方伺服器網路（例如 AWS）來路由連線。
VPN 橋接器
目的地 IP 位址分析是一個難以克服的攻擊手法，但某些 VPN 服務透過 VPN 橋接器減輕了這個問題。這使它們能夠藉由提供未公開列出或未被審查機構封鎖的 VPN 網路替代入口點，來規避審查。
VPN 服務可以透過一種稱為「橋接轉發」或「橋接模式」的技術來實現這一點。這是指 VPN 提供商運行一些不公開列出的「橋接轉發器」，且僅提供給需要突破網路審查的人。這些橋接轉發器充當進入 VPN 網路的秘密入口點，可用於規避對 VPN 流量的封鎖。
VPN 使用橋接器的另一種方式是允許使用者透過「橋接 VPN」連線到 VPN 網路，也就是在您的裝置與未被審查機構封鎖的 VPN 伺服器之間建立 VPN 連線。接著，您就可以使用此橋接 VPN 連線到主 VPN 網路並存取被封鎖的內容。
如何使用 DPI 偵測 VPN
自網頁發展初期以來，線上審查機構和網際網路使用者就一直處於軍備競賽中。ISPs 開始封鎖連接埠，因此人們開始使用非標準連接埠。專制政府對此的回應是使用 DPI 來判斷開放連接埠上的流量正在做什麼，這進而促使人們使用 VPN 來突破 DPI。隨後，政府又開發出更複雜的 DPI 技術，以此類推。
DPI 很難繞過，因為它會檢查整個封包，並透過各種方式識別 VPN 流量。其中包括：
協定分析
這會檢查封包的結構 and 格式，以識別正在使用哪種協定，並偵測封包是否正在使用如 OpenVPN、PPTP、L2TP 或 IKEv2 的 VPN 協定。
封包大小分析
異常的封包大小可能表示正在使用 VPN。
行為分析
DPI 可以檢查一段時間內的網路流量行為，以識別可能表示正在使用 VPN 的模式。例如，如果前往特定伺服器的流量出現異常暴增，或是 IP 位址的位置突然改變，則可能表示正在使用 VPN。
VPN 混淆
作為無審查網際網路軍備競賽的下一步，某些 VPN 服務已經開發出能夠抵抗 DPI 技術的自訂 VPN 協定。例如，我們為 Proton VPN 開發了 Stealth 協定。
這項新協定結合了各種開源技術，最著名的是使用透過 TCP 傳輸的混淆 TLS 通道，使其外觀與 HTTPS 相似，相比單純在 TCP 連接埠 443 上運行 VPN，能以更具抗審查能力的方式運作。
Stealth 已協助伊朗和俄羅斯等地數百萬人克服 VPN 封鎖，但我們無法保證它對先進 DPI 技術的有效性。
結語
深度封包檢測可能非常複雜，並對我們為所有人帶來開放網際網路的工作帶來持續的挑戰。但我們創立 Proton VPN 就是為了面對這類挑戰，且我們的工程師也一直在開發新的反審查工具和功能。
我們正與世界上一些最專制的政府進行軍備競賽，其利害關係至關重要。專制政府依賴於嚴格控制其公民可以存取的資訊、他們可以與誰交談，以及他們可以對同胞和世界其他地方說些什麼。
但我們相信每個人都有權存取獨立報導、與我們喜歡的任何人結社，並批評不公和濫用權力的行為。我們正努力確保每個人都能享有這些基本人權。
創立 Proton VPN 的宗旨是為了協助爭取一個沒有審查的世界，這也是為什麼我們提供 100% 免費 VPN 服務的原因。透過 Proton VPN，任何人都可以存取自由且開放的網際網路。我們很自豪在動盪時期，全球的社運人士、記者和普通大眾都會求助於 Proton VPN。
如果您生活在專制國家，我們的服務隨時能為您提供協助。如果不是，您可以透過註冊 Proton VPN Plus 方案，支援我們讓所有人都能使用無審查網際網路的使命。
