DPI nima — MTProto lugʻati

Bu nima

Oddiy tarmoq filtri IP darajasidagi sarlavhalarga qaraydi: paket qayerdan va qayerga. DPI chuqurroq kiradi — protokol sarlavhalariga va oqimning oʻzi qanday tuzilganiga: paketlar oʻlchami, ularning tartibi, oraliqdagi pauzalar, ulanishning dastlabki baytlari. Bunday tahlilni nafaqat senzura uchun, balki trafikni boshqarish, tarmoqlarni himoyalash va hisobga olish uchun ham ishlatishadi.

Protokol qanday aniqlanadi

Eng oddiy usul — signaturalar: uskuna oqimni maʼlum shablonlar, protokollarning «izlari» bazasi bilan solishtiradi. Ikkinchisi — oqimni butunlay tahlil qilish: qurilma ulanish haqida maʼlumot toʻplaydi va uni bitta paket boʻyicha emas, umuman baholaydi.

Mazmunni shifrlash bundan asramaydi: signatura ulanish shaklida boʻlishi mumkin. Oddiy MTProto ulanishining dastlabki qismi taniladigan va paketlar ritmi xarakterli, shuning uchun DPI uni bitta ham xabarni shifrdan ochmasdan boshqa trafikdan ajrata oladi.

Proksilar nima bilan javob beradi

MTProto proksining har bir rejimi aniqlashning navbatdagi usuliga javob beradi:

obfuscated2 oqimni tasodifiy baytlarga aylantiradi, shunda ulanish boshida protokolning ochiq belgilari boʻlmaydi;
dd paketlarga tasodifiy toʻldirgich qoʻshadi, shunda oʻlchamlar proksini fosh qilmaydi;
ee (FakeTLS) ulanishni haqiqiy sayt bilan oddiy TLS almashinuvi kabi boshlaydi, filtr esa shu saytga kirishni koʻradi.

DPI ulanishda nimani koʻradi

Oddiy HTTPS sayti uchun ham, MTProto proksi uchun ham uskuna bir xil belgilar toʻplamini kuzatadi, farqlar mayda narsalardan yigʻiladi:

manzil va port — HTTPS sayti yaxshi maʼlum manzilda yashaydi, proksi esa ijaraga olingan serverda;
dastlabki baytlar — saytda bu sayt nomi bilan ClientHello, oddiy proksida — 64 ta tasodifiy bayt;
paketlar oʻlchami va ritmi — brauzerda ular sahifaga bogʻliq, niqobsiz proksida — protokolga;
tekshiruvga javob — haqiqiy sayt sayt kabi javob beradi, notoʻgʻri sozlangan proksi jim turadi yoki boshqacha javob beradi.

Chegaralar

DPI joyida turmaydi. telemt hujjatlariga koʻra, FakeTLS ni SNI, ALPN va entropiya boʻyicha aniqlash mumkin, niqoblash chidamliligi esa mijoz versiyasiga, tanlangan domenga va tarmoq yoʻliga bogʻliq. Shuning uchun «ishlaydigan» tushunchasi vaqtinchalik: bir hafta chidagan proksi qoidalar yangilangandan keyin ishlamay qolishi mumkin.