Глибока інспекція пакетів (DPI)

Глибока інспекція пакетів (DPI) зазирає далі за адресні заголовки пакета й аналізує його вміст та поведінку, щоб зрозуміти, який протокол чи застосунок його породив. Провайдери, фаєрволи та державні цензори користуються цим, щоб розпізнавати, а іноді й блокувати певний трафік — зокрема протоколи VPN і проксі — за характерними сигнатурами. Саме DPI робить можливою цензуру за протоколом, і саме заради боротьби з ним існує обфускація.

Системи DPI тримають сигнатури відомих протоколів і позначають трафік, що під них підпадає, — навіть зашифрований, бо дивляться на візерунок рукостискання, розміри пакетів і тайминги. У стандартного VPN-рукостискання є впізнавані риси, які DPI помічає. Контрзаходи переформовують трафік так, щоб цих ознак не було, — наприклад, маскують тунель під звичайний HTTPS. На DPI спирається і TLS-фінгерпринтинг та подібний аналіз, тож рівний, схожий на браузерний трафік виділити важче, ніж щось із очевидною протокольною сигнатурою.

s4m не може вплинути на те, що саме інспектує мережа оператора, але вибір протоколу впливає на помітність вашого трафіку. OpenVPN поверх TCP на порту 443 робить тунель схожим на HTTPS, і це часом виручає в мережах, які через DPI ріжуть VPN поверх UDP, тоді як WireGuard виграє у швидкості у відкритих мережах. Для щоденної приватності цього досить; долати агресивну державну цензуру на базі DPI — робота спеціалізованих засобів обфускації, а не прозорого VPN від s4m.