DPI: bu nədir — MTProto lüğəti

Bu nədir

Adi şəbəkə filtri IP səviyyəsinin başlıqlarına baxır: paket haradan və hara gedir. DPI daha dərinə nəzər salır — protokolların başlıqlarına və axının özünün quruluşuna: paketlərin ölçülərinə, ardıcıllığına, aralarındakı fasilələrə, bağlantının ilk baytlarına. Belə təhlildən təkcə senzura üçün yox, həm də trafikin idarə edilməsi, şəbəkələrin müdafiəsi və uçot üçün istifadə edirlər.

Protokolu necə tanıyırlar

Ən sadə yol — imzalardır: avadanlıq axını məlum şablonlar bazası, protokolların «izləri» ilə müqayisə edir. İkincisi — axının bütövlükdə təhlilidir: qurğu bağlantı haqqında məlumat toplayır və onu bir paketə görə yox, ümumilikdə qiymətləndirir.

Məzmunun şifrələnməsi bundan xilas etmir: imza bağlantının formasında ola bilər. Adi MTProto bağlantısının tanınan başlanğıcı və səciyyəvi paket ritmi var, ona görə DPI heç bir mesajı açmadan onu digər trafikdən ayıra bilər.

Proksilər nə ilə cavab verir

MTProto proksinin hər rejimi tanımanın növbəti üsuluna cavab verir:

obfuscated2 axını təsadüfi baytlara çevirir ki, bağlantının başlanğıcında protokolun açıq əlamətləri olmasın;
dd paketlərə təsadüfi əlavə qoşur ki, ölçülər proksini ələ verməsin;
ee (FakeTLS) bağlantını həqiqi saytla adi TLS mübadiləsi kimi başlayır və filtr həmin sayta girişi görür.

DPI bağlantıda nəyi görür

Adi HTTPS saytı və MTProto proksi üçün avadanlıq eyni əlamətlər dəstini müşahidə edir, fərqlər isə xırdalıqlardan yaranır:

ünvan və port — HTTPS saytı yaxşı məlum ünvanda yaşayır, proksi isə icarəyə götürülmüş serverdə;
ilk baytlar — saytda bu, saytın adı ilə ClientHello-dur, adi proksidə — 64 təsadüfi bayt;
paketlərin ölçüləri və ritmi — brauzerdə onlar səhifədən, maskalanmasız proksidə isə protokoldan asılıdır;
yoxlamaya cavab — həqiqi sayt sayt kimi cavab verir, yanlış ayarlanmış proksi susur və ya başqa cür cavab verir.

Hüdudlar

DPI yerində durmur. telemt sənədlərinə görə, FakeTLS-i SNI, ALPN və entropiyaya görə tanımaq olar, maskalanmanın davamlılığı isə klientin versiyasından, seçilmiş domendən və şəbəkə yolundan asılıdır. Ona görə «işləyən» anlayışı müvəqqətidir: bir həftə dayanan proksi qaydaların yenilənməsindən sonra işləməyi dayandıra bilər.