Что такое ТСПУ и как оно определяет VPN в трафике

ТСПУ — технические средства противодействия угрозам, оборудование, которое по закону устанавливается на сетях российских операторов связи. Оно стоит между вами и интернетом и анализирует трафик в реальном времени, решая, что пропустить, что замедлить, а что заблокировать.

Само содержимое зашифрованного трафика ТСПУ прочитать не может — это математически невозможно без ключей шифрования. Вместо этого оборудование смотрит на форму трафика: как выглядит установка соединения, какого размера пакеты, с какой периодичностью они идут и на какой порт. По этим признакам VPN-протоколы часто выдают себя сами.

Что именно анализирует DPI

Оборудование ТСПУ работает по принципу DPI — deep packet inspection, глубокого анализа пакетов. Оно не читает переписку или содержимое сайтов, а строит профиль соединения по внешним признакам, которые остаются видимыми даже в зашифрованном виде.

• Структура первых пакетов при установке соединения — у каждого протокола она своя и узнаваема.
• Размер пакетов и интервалы между ними, включая служебные keepalive-сообщения, которые протокол шлёт для поддержания соединения.
• Используемый порт — у части протоколов он фиксированный или предсказуемый.
• Поле SNI в TLS-соединении — домен, к которому идёт обращение, если оно вообще передаётся в открытом виде.
• Отпечаток TLS-клиента (fingerprint) — то, как именно приложение формирует запрос на установку защищённого соединения.

По отдельности каждый из этих признаков мало что значит. Но в совокупности они складываются в профиль, который статистически сильно отличается от профиля обычного браузера, открывающего сайт.

Почему это работает против одних протоколов и не работает против других

У WireGuard и OpenVPN структура пакетов и хендшейка узнаваема — она не пытается притворяться чем-то другим, потому что эти протоколы создавались не для обхода блокировок, а для быстрой и надёжной передачи данных. ТСПУ достаточно один раз научиться распознавать этот паттерн, и дальше он режет такие соединения по всей сети.

Мы подробно разбирали разницу между Reality и классическими протоколами в отдельной статье — Reality против WireGuard и OpenVPN. Если коротко: Reality выстраивает соединение так, что оно с точки зрения ТСПУ неотличимо от обычного захода на настоящий HTTPS-сайт, включая совпадающий отпечаток TLS. Оборудованию просто не за что зацепиться, чтобы отделить такое соединение от миллионов других к тому же сайту.

Чего ТСПУ не умеет

ТСПУ не расшифровывает трафик и не видит, какие сайты вы открываете внутри VPN-туннеля, какие сообщения отправляете или что смотрите. Весь анализ строится на метаданных и паттернах, а не на содержимом.

Это значит, что распознавание VPN — это всегда вероятностная классификация, а не точное чтение данных. Протокол либо совпадает с известным паттерном и режется, либо не совпадает и проходит как обычный трафик.

Что ТСПУ не заменяет и что VPN не лечит

Важно не путать два разных механизма. ТСПУ анализирует форму трафика и режет по протоколу. Блокировка по IP-адресу — это отдельная история: конкретный сервер вносят в список, и обращения к нему обрываются независимо от того, какой протокол использовался. Лечится это сменой сервера на другой IP, и именно поэтому у VPN-сервиса есть смысл иметь несколько серверов в разных дата-центрах.

А если оператор просто отключает мобильный интернет целиком — как иногда бывает в отдельных регионах — тут не поможет ни один протокол и ни одна маскировка, потому что соединения с сетью нет вообще, и анализировать нечего.

Что это значит на практике

В DexterVPN используется протокол Reality именно потому, что он не даёт ТСПУ узнаваемого паттерна для блокировки — соединение выглядит как обычный HTTPS-трафик к настоящему сайту. Если один из шести серверов всё же попадает под точечную блокировку по IP, переключение на другой сервер в приложении занимает несколько секунд.