Статья образовательная. Разбираем технологию DPI-фильтрации и объясняем почему протокол VLESS+Reality в Happ обеспечивает стабильное соединение даже при активной фильтрации трафика.
Что такое ТСПУ
ТСПУ — технические средства противодействия угрозам. Это аппаратно-программные комплексы установленные в сетях российских операторов связи на основании закона о «суверенном интернете» (149-ФЗ с поправками 2019 года).
Оборудование ТСПУ устанавливается на узлах связи операторов и позволяет анализировать интернет-трафик в режиме реального времени. Система работает централизованно — управление осуществляется Роскомнадзором.
Технически ТСПУ основаны на технологии DPI — Deep Packet Inspection (глубокая инспекция пакетов).
Как работает DPI-фильтрация
Обычный интернет-трафик можно представить как письма в конвертах. Раньше маршрутизаторы смотрели только на адрес на конверте (IP-заголовки) — содержимое не проверялось. DPI — это технология которая «вскрывает конверт» и анализирует содержимое.
Методы анализа трафика в DPI
Современные DPI-системы используют несколько методов обнаружения:
История развития ТСПУ в России
Кто устанавливает оборудование
По закону оборудование ТСПУ устанавливается Роскомнадзором за счёт федерального бюджета — операторы обязаны предоставить доступ к своей инфраструктуре. Оборудование подключается к узлам операторов на точках обмена трафиком.
Оборудование поставляет российская компания ЭККОН (бренд ТСПУ/РКН). Устройства устанавливаются на узлах:
- Магистральных провайдеров — Ростелеком, МТС, Мегафон, Билайн, RETN, Транстелеком
- Региональных провайдеров — через точки обмена трафиком (IXP)
- Мобильных операторов — у всех четырёх федеральных операторов
Что может замедлять или ограничивать ТСПУ
ТСПУ применяется для:
- Ограничения доступа к ресурсам из реестра Роскомнадзора
- Замедления (шейпинга) трафика к определённым сервисам
- Выявления протоколов по сигнатурам — OpenVPN, WireGuard и другие имеют характерные подписи
- Анализа и логирования в рамках СОРМ (система оперативно-розыскных мероприятий)
Важно понимать: ТСПУ работает на уровне интернет-провайдеров. Зашифрованный трафик (HTTPS) DPI не расшифровывает — видит только метаданные соединения.
VLESS+Reality устойчив к DPI-анализу
Получите ключ через @AnonInetBot — трафик неотличим от обычного HTTPS
Почему VLESS+Reality устойчив к DPI
Reality — это не просто шифрование. Это принципиально другой подход: вместо «скрыть туннель» — «сделать туннель неотличимым от легитимного HTTPS».
Как DPI видит разные протоколы:
Что делает Reality уникальным с точки зрения DPI:
- Нет протокольной сигнатуры. VLESS не имеет узнаваемых байтовых последовательностей в начале соединения — в отличие от OpenVPN или WireGuard.
- TLS fingerprint браузера. Reality имитирует TLS-рукопожатие Chrome. DPI видит «браузер Chrome подключается к microsoft.com» — это абсолютно легитимно.
- Реальный TLS-сертификат. Сервер Happ не предъявляет собственный сертификат — он использует параметры реального сайта (microsoft.com, apple.com). DPI не видит подозрительного сертификата.
- Реальный сайт при проверке. Если DPI-система «зондирует» сервер — получает в ответ настоящий сайт Microsoft. Невозможно отличить от реального трафика.
Единственный способ заблокировать Reality — заблокировать сами сайты которые он имитирует (microsoft.com, apple.com). Это технически невозможно без масштабных последствий для корпоративных пользователей Windows и Office.
Подробнее о технологии: XTLS-Reality — как работает →
Частые вопросы
ТСПУ расшифровывает зашифрованный трафик?
Нет. ТСПУ анализирует метаданные соединения — IP-адреса, порты, SNI в TLS, паттерны трафика — но не содержимое зашифрованных пакетов. Современный HTTPS (TLS 1.3) технически невозможно расшифровать без приватного ключа сервера. DPI видит «кому» вы подключаетесь но не «что» передаёте.
Все провайдеры используют ТСПУ?
По закону все операторы связи с лицензией на передачу данных обязаны установить оборудование ТСПУ. Крупные федеральные операторы установили его ещё в 2019–2021 годах. Небольшие региональные провайдеры — по мере технической готовности.
Почему у разных операторов разное поведение?
ТСПУ управляется централизованно но операторы также имеют собственные системы фильтрации. Кроме того, DPI-оборудование настраивается индивидуально — один оператор может применять более агрессивные настройки чем другой. Поэтому один протокол может работать у МТС но не работать у Билайна.
Влияет ли ТСПУ на скорость интернета?
Само по себе — незначительно. DPI-анализ происходит на специализированном оборудовании параллельно с передачей трафика. Задержка составляет доли миллисекунды. Скорость снижается когда система применяет шейпинг (намеренное замедление) к определённым категориям трафика.
Как Crypt5 от Happ обеспечивает стабильность в мобильных сетях?
Мобильные сети применяют DPI на уровне операторского ядра — агрессивнее чем фиксированный интернет. Crypt5 оптимизирован специально для этого: быстрое переподключение при потере пакетов, адаптивный MTU, специальная обработка нестабильных соединений. Подробнее: Crypt4 и Crypt5 →
VLESS+Reality — устойчив к DPI-анализу
TLS fingerprint Chrome · Реальный сертификат · Неотличим от HTTPS