Статья образовательная. Разбираем технологию DPI-фильтрации и объясняем почему протокол VLESS+Reality в Happ обеспечивает стабильное соединение даже при активной фильтрации трафика.

Что такое ТСПУ

ТСПУ — технические средства противодействия угрозам. Это аппаратно-программные комплексы установленные в сетях российских операторов связи на основании закона о «суверенном интернете» (149-ФЗ с поправками 2019 года).

Оборудование ТСПУ устанавливается на узлах связи операторов и позволяет анализировать интернет-трафик в режиме реального времени. Система работает централизованно — управление осуществляется Роскомнадзором.

Технически ТСПУ основаны на технологии DPI — Deep Packet Inspection (глубокая инспекция пакетов).

Как работает DPI-фильтрация

Обычный интернет-трафик можно представить как письма в конвертах. Раньше маршрутизаторы смотрели только на адрес на конверте (IP-заголовки) — содержимое не проверялось. DPI — это технология которая «вскрывает конверт» и анализирует содержимое.

Как пакет проходит через узел с DPI
1
Пакет входит на узел оператораВаш запрос к любому сайту проходит через оборудование провайдера на магистральном уровне.
2
Зеркалирование трафикаТСПУ получает копию пакета для анализа — основной поток не прерывается.
3
Анализ заголовков и содержимогоСистема проверяет IP-адреса назначения, порты, TLS SNI (домен), паттерны трафика, TLS fingerprint.
4
Сверка с реестромIP и домены сверяются с базой Роскомнадзора. Совпадение — применяется действие.
5
Действие: пропустить / замедлить / заблокироватьВ зависимости от настроек — пакет пропускается, замедляется (шейпинг) или блокируется (RST пакет).

Методы анализа трафика в DPI

Современные DPI-системы используют несколько методов обнаружения:

🌐
IP-адреса и диапазоны
Простейший метод — блокировка по IP-адресу сервера. Роскомнадзор ведёт реестр запрещённых IP.
Решение: ротация IP серверов
🔤
SNI — имя домена в TLS
При HTTPS-соединении клиент в открытом виде сообщает к какому домену подключается (Server Name Indication). DPI это видит.
Решение: ECH или маскировка SNI
🔍
TLS Fingerprint (JA3)
Каждый клиент оставляет уникальный «отпечаток» TLS-рукопожатия. VPN-клиенты имеют характерные fingerprint отличные от браузеров.
Решение: имитация fingerprint Chrome
📊
Паттерны трафика
Анализ распределения размеров пакетов, временны́х интервалов, соотношения входящего/исходящего. VPN имеет характерные паттерны.
Решение: имитация HTTPS-паттернов
🏷
Протокольные сигнатуры
OpenVPN, WireGuard, Shadowsocks — у каждого есть узнаваемые байтовые последовательности в начале соединения.
Решение: протоколы без сигнатур (VLESS)
Временно́й анализ
Измерение задержек между пакетами. Туннели часто имеют характерный ритм пакетов отличный от браузерного трафика.
Решение: случайные задержки в XTLS

История развития ТСПУ в России

2019
Закон о «суверенном интернете». Принят 149-ФЗ с поправками об установке ТСПУ. Операторы обязаны установить оборудование за счёт государства.
2021
Первые активные применения. Замедление ряда сервисов. Начало активного внедрения DPI на магистральных узлах.
2022
Расширение применения. Ограничение доступа к ряду зарубежных платформ и сервисов. Рост популярности Xray-протоколов как ответ на DPI.
2023
XTLS-Reality. Команда XTLS выпускает Reality — первый протокол который делает трафик неотличимым от легитимного HTTPS к реальным сайтам. DPI не может его идентифицировать.
2024
Массовое внедрение Reality. Reality становится стандартом для устойчивых к DPI туннелей. Мобильные операторы усиливают фильтрацию в 4G/5G сетях.
2025–2026
Современное состояние. DPI продолжает развиваться, Reality остаётся наиболее устойчивым к обнаружению протоколом. Мобильные сети требуют специализированных решений — Crypt5.

Кто устанавливает оборудование

По закону оборудование ТСПУ устанавливается Роскомнадзором за счёт федерального бюджета — операторы обязаны предоставить доступ к своей инфраструктуре. Оборудование подключается к узлам операторов на точках обмена трафиком.

Оборудование поставляет российская компания ЭККОН (бренд ТСПУ/РКН). Устройства устанавливаются на узлах:

Что может замедлять или ограничивать ТСПУ

ТСПУ применяется для:

Важно понимать: ТСПУ работает на уровне интернет-провайдеров. Зашифрованный трафик (HTTPS) DPI не расшифровывает — видит только метаданные соединения.

VLESS+Reality устойчив к DPI-анализу

Получите ключ через @AnonInetBot — трафик неотличим от обычного HTTPS

Почему VLESS+Reality устойчив к DPI

Reality — это не просто шифрование. Это принципиально другой подход: вместо «скрыть туннель» — «сделать туннель неотличимым от легитимного HTTPS».

Как DPI видит разные протоколы:

ПротоколСигнатураTLS FPDPI видит
OpenVPNДаНетVPN-трафик
WireGuardДаНетVPN-трафик
ShadowsocksЧастичноНетШифрованный поток
VLESS + TLSНетXray FPTLS-туннель
VLESS + RealityНетChrome FPЛегитимный HTTPS

Что делает Reality уникальным с точки зрения DPI:

Единственный способ заблокировать Reality — заблокировать сами сайты которые он имитирует (microsoft.com, apple.com). Это технически невозможно без масштабных последствий для корпоративных пользователей Windows и Office.

Подробнее о технологии: XTLS-Reality — как работает →

Частые вопросы

ТСПУ расшифровывает зашифрованный трафик?

Нет. ТСПУ анализирует метаданные соединения — IP-адреса, порты, SNI в TLS, паттерны трафика — но не содержимое зашифрованных пакетов. Современный HTTPS (TLS 1.3) технически невозможно расшифровать без приватного ключа сервера. DPI видит «кому» вы подключаетесь но не «что» передаёте.

Все провайдеры используют ТСПУ?

По закону все операторы связи с лицензией на передачу данных обязаны установить оборудование ТСПУ. Крупные федеральные операторы установили его ещё в 2019–2021 годах. Небольшие региональные провайдеры — по мере технической готовности.

Почему у разных операторов разное поведение?

ТСПУ управляется централизованно но операторы также имеют собственные системы фильтрации. Кроме того, DPI-оборудование настраивается индивидуально — один оператор может применять более агрессивные настройки чем другой. Поэтому один протокол может работать у МТС но не работать у Билайна.

Влияет ли ТСПУ на скорость интернета?

Само по себе — незначительно. DPI-анализ происходит на специализированном оборудовании параллельно с передачей трафика. Задержка составляет доли миллисекунды. Скорость снижается когда система применяет шейпинг (намеренное замедление) к определённым категориям трафика.

Как Crypt5 от Happ обеспечивает стабильность в мобильных сетях?

Мобильные сети применяют DPI на уровне операторского ядра — агрессивнее чем фиксированный интернет. Crypt5 оптимизирован специально для этого: быстрое переподключение при потере пакетов, адаптивный MTU, специальная обработка нестабильных соединений. Подробнее: Crypt4 и Crypt5 →

VLESS+Reality — устойчив к DPI-анализу

TLS fingerprint Chrome · Реальный сертификат · Неотличим от HTTPS

Читайте также