Ваш VPN работал год, а сегодня отваливается через пять секунд после подключения. Скорее всего, провайдерский фильтр научился узнавать его в лицо — и здесь в игру входит обфускация.
Оборудование глубокой инспекции пакетов не читает содержимое зашифрованного туннеля — расшифровать его оно не может. Зато оно видит форму: как устроено рукопожатие, какие поля в заголовках, какого размера пакеты и с какой ритмикой они идут. У «голого» VPN-протокола эта форма узнаваемая, как походка в толпе. Обфускация меняет походку.
Что такое обфускация трафика простыми словами
Обфускация — это маскировка. Она не про шифрование содержимого (его и так шифрует VPN), а про то, чтобы сам факт использования VPN стал невидимым для фильтра. Задача — сделать так, чтобы поток данных выглядел как обычный веб-серфинг: заход на сайт по HTTPS, звонок в мессенджере, стриминг видео.
Разберём на примере WireGuard. Протокол быстрый и современный, но у его пакетов характерная сигнатура: определённый формат первого пакета рукопожатия, работа поверх UDP на предсказуемых портах. DPI видит эту сигнатуру и делает вывод: это WireGuard — после чего рвёт соединение либо режет скорость до нуля. Содержимое туннеля при этом никто не вскрывал. Достаточно было распознать оболочку.
Обфускация оборачивает трафик в дополнительный слой, который прячет эти опознавательные признаки. Снаружи остаётся поток, к которому фильтру не придраться: он неотличим от миллионов легитимных TLS-соединений.
Как DPI распознаёт VPN
Чтобы понять, что именно маскирует обфускация, полезно знать, за что цепляется фильтр. Зацепок несколько.
- Сигнатура протокола. Первый пакет рукопожатия у OpenVPN, WireGuard, IKEv2 имеет узнаваемую структуру. Это самый простой способ детекта.
- Порты. Классические VPN-порты (1194 для OpenVPN, 51820 для WireGuard) — красный флаг. Порт легко сменить, но одного этого мало.
- Поведение потока. Размеры пакетов, тайминги, соотношение входящего и исходящего трафика. У видеозвонка один рисунок, у VPN-туннеля — другой.
- Активное зондирование (active probing). Фильтр сам стучится на подозрительный сервер и смотрит на ответ. Честный VPN-сервер отвечает как VPN-сервер — и попадается.
Как это устроено на уровне провайдера в России и что такое ТСПУ — мы разбирали в отдельном материале про ТСПУ и DPI. Здесь важно одно: современный фильтр смотрит не на один признак, а на их комбинацию. Поэтому и маскировка должна закрывать сразу несколько фронтов.
Как работает маскировка: основные подходы
Способов спрятать походку несколько, и различаются они по надёжности и по цене за скорость.
Обёртка в TLS. Самый распространённый приём. Трафик заворачивается так, что рукопожатие выглядит как обычное подключение к HTTPS-сайту. Для DPI это неотличимо от захода на любой магазин или новостной портал — блокировать такое поголовно нельзя, ляжет пол-интернета. На этом стоят протоколы VLESS и Trojan: последний прямо маскируется под веб-сервер и на активное зондирование отвечает как безобидная веб-страница.
Скрэмблинг (перемешивание). Метод накладывает на пакеты слой, который убирает узнаваемую сигнатуру — поток превращается в бесструктурный шум. Так работает Shadowsocks с плагинами и режим scramble у некоторых VPN. Плюс — легковесность, минус — «случайный» трафик сам по себе иногда выглядит подозрительно для умного фильтра.
Обёртка в разрешённые протоколы. Трафик прячут внутрь того, что заведомо не блокируют: веб-сокеты, обычные HTTP-запросы, иногда даже видеозвонки. Сюда же примыкает Encrypted SNI / ECH — он прячет имя сайта, к которому вы обращаетесь, чтобы фильтр не отсёк соединение по этому полю.
| Подход | Под что маскируется | Скорость | Стойкость к DPI |
|---|---|---|---|
| Обёртка в TLS (VLESS, Trojan) | Обычный HTTPS-сайт | Высокая | Высокая |
| Скрэмблинг (Shadowsocks, obfs) | Бесструктурный шум | Высокая | Средняя |
| Обёртка в WebSocket/HTTP | Веб-приложение | Средняя | Высокая |
| VMess с маскировкой | Веб-трафик | Средняя | Средняя |
Цифры условны: реальная стойкость зависит от того, насколько агрессивно настроен конкретный фильтр, а он меняется. То, что уверенно работало весной, к осени может потребовать другого протокола.
Обфускация в VPN-приложениях: что искать
Большинству пользователей не нужно поднимать сервер вручную — достаточно найти VPN, где маскировка встроена. В интерфейсах её называют по-разному: «обфускация», «Stealth», «obfuscated servers», «NoBorders», иногда это просто отдельный список серверов с пометкой.
На что смотреть при выборе:
- 1Наличие обфусцированного режима. Отдельная галочка в настройках или специальные серверы. Если такого нет вовсе — в условиях жёсткой фильтрации сервис быстро перестанет открываться.
- 2Поддержка нужных протоколов. VLESS, Trojan, Shadowsocks на борту — хороший знак. Сами базовые протоколы мы сравнивали в разборе протоколов VPN.
- 3Устойчивость к active probing. Об этом редко пишут в маркетинге, но именно она отличает сервис, который держится, от того, что отваливается через месяц.
- 4Свежесть. Разработчик должен обновлять серверы и методы. Гонка с фильтром бесконечна, и «поставил и забыл» здесь не работает.
Если VPN у вас уже есть, но он начал отваливаться, не спешите менять сервис — сначала загляните в настройки. Часто проблема решается включением режима маскировки или сменой протокола. Пошагово это разобрано в материале о том, что делать, если провайдер блокирует VPN.
Цена маскировки: за что вы платите
Обфускация не бесплатна с точки зрения производительности. Дополнительный слой упаковки — это лишние операции и лишние байты в каждом пакете. На практике вы теряете часть скорости и получаете небольшую прибавку к задержке. Обёртка в TLS обычно щадящая, тяжёлая упаковка в веб-сокеты бьёт по скорости заметнее.
Поэтому включать маскировку «на всякий случай» смысла нет. Работает обычный VPN — пусть работает. Обфускация нужна там, где без неё соединение не поднимается или его режут. Разумнее держать её в запасе и включать по ситуации.
Границы возможного и закон
Маскировка — это про форму трафика, а не про вседозволенность. Несколько честных оговорок.
Обфускация не делает вас анонимным. Она прячет сам факт VPN-подключения от провайдера, но ваш VPN-сервис по-прежнему видит подключение, а сайты — исходящий IP. Это инструмент доступа, а не плащ-невидимка.
Идеальной и вечной маскировки не бывает. Фильтры совершенствуются, методы устаревают, между ними идёт постоянная гонка. Сегодняшний рабочий протокол завтра может попасть под детект — это нормальное состояние, а не поломка.
Что до закона: использование VPN в России физлицами не запрещено — подробно мы разбирали это в материале законно ли использовать VPN. Технология обфускации нейтральна сама по себе: её применяют и банки, и мессенджеры, и корпоративные сети ради стабильности связи. Ответственность лежит не на инструменте, а на том, для чего его используют.
Если коротко: обфускация чинит связь там, где её ломает фильтрация, — и не более того. Выберите сервис с рабочей маскировкой из нашего рейтинга VPN для России, держите про запас пару протоколов и относитесь к периодическим сбоям спокойно.
Материал информационный, не финансовая или юридическая консультация. Проверяйте актуальные условия перед сделкой.
Материал имеет информационный характер и не является финансовой или юридической консультацией. Перед сделкой проверяйте актуальные условия выбранного обменника.
В индустрии криптовалют с 2014 года. Бывший репортёр Forklog и Bits.media, автор более 200 публикаций про обмен, AML-практики и регуляторные изменения в России. С 2021 года ведёт редакцию TopChange: отвечает за методологию рейтинга, тайные покупки и проверки резервов.
