DPI、TSPU 和绕过封锁：互联网审查技术

深度包检测：互联网审查机制与技术专业人士的规避策略

在当今世界，互联网审查日益复杂，其技术手段也愈发先进。各国政府正积极部署深度包检测（DPI）系统及其他基础设施解决方案，以控制流量、限制速度或彻底封锁不良资源。本文将深入探讨这些系统的架构、它们从原始的IP封锁演变为智能的L7分析过程，以及用户和开发者为规避这些限制所采用的技术工具，为专业人士提供一次深度解析。

国家互联网审查的演变

从历史上看，互联网封锁最初采用相对简单的方法。早期国家流量控制的尝试仅限于通过IP地址或DNS记录进行封锁。当俄罗斯联邦通信、信息技术和大众传媒监督局（RKN）将其注册表中的某个IP地址列入黑名单时，互联网服务提供商（ISP）就有义务丢弃所有指向该地址的流量。这种在L3网络层操作的方法，实施成本低廉且速度快，但其弊端在于极度不精确。封锁整个子网，例如CIDR范围，导致了所谓的附带性封锁：成千上万，甚至数百万个与目标对象托管在相同IP地址或相同云基础设施上的合法资源，都无意中被封锁。一个显著的例子是2018年为封锁Telegram而对亚马逊AWS的封锁，这导致了众多第三方服务的广泛中断。

随着技术进步和对更精确封锁需求的增加，政府机构转向了更复杂的工具。一个关键阶段是威胁对抗技术手段（TMTAC）的实施——这是一种配备深度包检测（DPI）模块的专用设备。这些安装在所有ISP网络上的“硬件盒子”，不仅能够根据地址丢弃数据包，还能检查和分析其内容。以前，ISP只能看到“信封”（IP地址），而DPI现在使他们能够“阅读信件”——分析协议、应用程序签名，甚至是隐藏在加密背后的特定域名。这赋予了RKN前所未有的流量控制能力，允许在没有ISP直接参与的情况下，实时封锁或限制资源。

深度包检测（DPI）技术及其应用

DPI系统在OSI网络模型的第七层——应用层（L7）运行，与L3封锁相比，其能力得到了显著扩展。它们不仅可以分析IP地址，还可以分析协议头、特定的应用程序签名和流量模式。例如，当建立加密的HTTPS连接时，您的浏览器会发送第一个数据包——TLS客户端Hello。这个数据包包含服务器名称指示（SNI）——您正在连接的域名。尽管此后流量内容本身是加密的，但ClientHello数据包中的SNI是以明文传输的，这使得DPI系统能够拦截它并决定是阻止还是允许连接。ESNI（加密SNI）和ECH（加密客户端Hello）等技术正是为了加密这一指示符，从而剥夺DPI读取它的能力而开发的。

除了封锁，DPI还可用于流量限速——人为地降低特定资源的流量速度。这对于YouTube这样的大型平台尤为重要，因为彻底封锁可能不合时宜，但限制内容可用性却是其目的。DPI系统经过训练，能够识别OpenVPN和WireGuard等流行VPN协议的特征，使其容易被检测和封锁。这反过来又刺激了更复杂、更隐蔽的审查规避方法的发展。

重要的是要理解，DPI并非国家控制的唯一工具。与此同时，运营侦查活动系统（SORM）也已就位，ISP有义务将其安装在自己的网络上。与配备DPI的TMTAC不同，SORM不阻断流量，而是将其复制并传输给特殊服务部门进行分析。SORM-3作为最先进的一代，能够深度分析所有流量，包括即时通讯工具和社交网络中的消息，前提是这些服务不使用端到端加密（E2E加密）。

规避封锁的方法及其发展

面对日益收紧的审查和DPI系统的演变，用户和开发者不断完善规避封锁的方法。传统的VPN服务，通过在用户设备和远程服务器之间创建加密隧道，仍然是最常见的工具之一。然而，如前所述，DPI系统已学会识别标准VPN协议的特征，导致它们被封锁。

这导致了更先进和混淆协议及工具的出现和普及：

Shadowsocks, VLESS, XRay： 这些协议旨在将流量伪装成常规的HTTPS连接。它们缺乏易于识别的特征，对于DPI而言，加密流量看起来就像普通的网页浏览。例如，VLESS结合XTLS-Reality可以非常逼真地模仿与真实合法网站的连接，以至于很难将其与正常的HTTPS流量区分开来。在TMTAC开始有效封锁OpenVPN和WireGuard之后，这些工具成为了规避封锁的主要手段。
Tor（洋葱路由器）： Tor网络通过将流量路由到全球多个中间节点来提供匿名性。这使得用户追踪几乎不可能。然而，使用Tor对出口节点运营商存在一定的风险，因为源自其IP地址的流量可能导致法律责任。
代理/匿名器： 简单的中间服务器，代表用户下载内容。它们不如VPN或Tor安全，但对于访问简单的被封锁网站可能有效。
域名伪装（Domain Fronting）： 2018年Telegram曾使用此方法。这种方法将目标服务的流量伪装成对大型合法CDN提供商（例如Google、Amazon）的请求。从外部看，流量显示为对允许服务的正常请求，但内部却被重定向到被封锁的资源。由于主要的CDN提供商积极打击其使用，这种方法的有效性已有所下降。
goodbyedpi / zapret： 这些是在用户设备本地运行的开源工具。它们不加密流量，也不需要外部服务器，但它们通过操纵TCP数据包来欺骗DPI。例如，它们可以有意地将TLS客户端Hello拆分成多个TCP分段，从而阻止DPI组装完整的特征并做出封锁决定。当TMTAC开始限制YouTube访问时，这些工具变得非常流行。

审查者与规避工具开发者之间的这场军备竞赛，展现了双方持续不断的技术进步。

管控的法律与基础设施层面

除了纯粹的技术手段，俄罗斯的互联网控制系统还依赖于复杂的法律和基础设施框架。所谓的“亚罗瓦亚法案”（联邦法律374-FZ和375-FZ）强制电信运营商存储大量用户数据，并向特殊服务部门提供加密密钥，这成为2018年封锁Telegram的正式借口。“卢戈沃伊法案”（联邦法律398-FZ）则赋予了总检察长办公室在法外封锁网站的权利。

在基础设施方面，2019年一项法律确立的“主权互联网”概念，规定建立国家域名系统（NDNS）——一个与全球DNS对应的俄罗斯版本。这使得国家能够在俄罗斯可见范围内自主控制域名，而无需依赖国际根服务器。结合TMTAC，NDNS能够有效地“断开”俄罗斯用户的互联网部分或单个资源。自动化监控系统，例如软硬件综合体“Revisor”，也增强了控制的有效性。这个安装在ISP处的探针，持续模拟用户行为，检查被封锁资源的可用性并自动记录违规行为，从而消除了人为因素，提高了封锁的执行纪律。

在全面控制的条件下，国家还会形成“白名单”——即使在全球性中断或封锁收紧的情况下，也能保证正常运行的网站和服务列表。被列入此类白名单通常要求服务器位于俄罗斯境内，并完全遵守当地法律，这实际上意味着同意接受国家监管和数据访问。

主要结论