Чтобы замедлять и блокировать сайты, Роскомнадзор использует DPI — системы, которые смотрят, куда идет ваш интернет-трафик. Но есть инструменты специально для их обхода. Самый популярный из них и работающий прямо сейчас — zapret. Он распространяется бесплатно, регулярно обновляется и помогает вернуть доступ, например, к ютубу.
«Бумага» объясняет, как такие программы обманывают DPI-системы, чем отличаются друг от друга и могут ли полностью заменить VPN-сервисы.
Что такое DPI-системы?
Чтобы понять, как работают DPI-обходчики, нужно разобраться, что они вообще обходят. DPI — Deep Packet Inspection — это системы глубокого анализа трафика, которые установлены у каждого российского провайдера. С их помощью Роскомнадзор понимает, куда именно подключается пользователь, и решает, что делать с этим трафиком: пропустить, замедлить или заблокировать.
Внедрять текущее поколение DPI начали в 2020 году. После закона о «суверенном интернете» провайдеров обязали ставить специальное оборудование Роскомнадзора. Официально оно называется ТСПУ — технические средства противодействия угрозам. DPI — одна из частей этой системы.
Как именно DPI блокирует соединения?
У DPI есть разные способы блокировок, но в России можно выделить пять основных.
- Блокировка по IP-адресам. Провайдер и ТСПУ получают список адресов, доступ к которым нужно ограничить. И DPI просто не дает им открываться.
- Анализ первых пакетов данных. В этом случае DPI сначала пропускает соединение и смотрит на первые данные — например, имя сайта. И если что-то покажется подозрительным, может его разорвать или «удушить» — страница будет грузиться бесконечно.
- Подмена DNS-ответа. Это старый и грубый метод, но иногда он еще применяется. Вы просите браузер открыть сайт, но провайдер подсовывает ему другой адрес. Вместо настоящего сайта пользователь получает заглушку. Например, страницу с сообщением, что сайт был заблокирован по требованию Роскомнадзора.
- Блокировка по протоколу. Роскомнадзор может заблокировать весь трафик, который идет с помощью определенного протокола. Например, WireGuard — один из самых популярных VPN-протоколов в мире. Но его стандартный трафик легко отличить от обычного веб-трафика, поэтому в России он без дополнительных способов маскировки не работает. Как именно блокируют протоколы, мы подробно рассказывали в отдельном материале.
- Блокировка по паттернам и сигнатурам. Современные DPI-системы смотрят не только на имя сайта. Они пытаются узнать соединение по поведению: как оно начинается, какие пакеты отправляет, как часто и в каком порядке. По этому «почерку» систему можно научить узнавать конкретные приложения или VPN-подключения и блокировать их. Например, трафик ютуба часто выглядит как череда «всплесков»: плеер запрашивает очередной кусок видео, в ответ получает пачку крупных пакетов, потом через короткое время запрашивает следующий кусок. По такому ритму, размерам пакетов и их направлению DPI может отличать просмотр видео от обычного открытия страницы, даже не расшифровывая содержимое.
При этом работа DPI несовершенна. Когда стало понятно, как устроены эти системы, оказалось, что их не так уж и сложно обмануть.
Как обмануть DPI?
Когда говорят про инструменты обхода DPI, чаще всего имеют в виду не VPN, а довольно простые программы, которые умеют по‑другому упаковывать ваши данные. Они вмешиваются в трафик прямо на компьютере, роутере или смартфоне и слегка его «портят», чтобы DPI ошибся.
Первым по‑настоящему массовым инструментом в русском сегменте стала утилита GoodbyeDPI. Его начали активно использовать в 2024 году после замедления ютуба.
GoodbyeDPI работает на Windows и умеет перехватывать исходящие пакеты еще до того, как они покинут компьютер. Дальше он выполняет серию трюков: может разбить первый запрос на два кусочка или написать адрес сайта непривычным способом — например, с другой буквы или без ожидаемого пробела. На практике это выглядит так: браузеру кажется, что он просто открывает сайт, а GoodbyeDPI перехватывает первый запрос и отправляет его в таком виде, в котором DPI-система не видит ничего запрещенного.
У этого инструмента есть очевидные ограничения: он заточен только под Windows, и его логика в основном сфокусирована на первых пакетах соединения.
Но DPI-блокировки усложнялись: появился, например, поиск приложений по паттернам и сигнатурам, а не конкретным элементам соединения. Чтобы их обходить, нужен был более гибкий инструмент.
Что работает прямо сейчас?
Таким инструментом стал zapret — отдельный проект, который задумали как автономный, универсальный комбайн против DPI. В отличие от GoodbyeDPI, zapret изначально рассчитан на работу не только на ПК, но и на Android‑устройствах, роутерах, серверах, и многом другом. Его движок адаптируют почти под любую платформу. К сожалению, из-за технических ограничений Apple zapret не работает на их устройствах, в том числе на macOS. Но мы еще расскажем об альтернативном DPI-обходчике, который можно установить на ваш MacBook.
В основе у zapret такая же идея, как и у GoodByeDPI. Он меняет пакеты так, чтобы сайт их понял, а DPI — нет. Но делает это изощреннее. Например, может нарезать первый запрос на куски, отправить их в непривычном порядке или добавить ложный пакет, который заметит DPI, но проигнорирует настоящий сервер.
Главное преимущество zapret — это живой проект с большим сообществом. Когда Роскомнадзор или провайдеры меняют способы блокировки, пользователи быстро проверяют, какие настройки продолжают работать, делятся готовыми конфигурациями и помогают адаптировать проект к новым условиям. Благодаря открытому исходному коду такие изменения может предложить любой желающий.
Установить zapret или другие похожие инструменты можно бесплатно через GitHub. На странице проекта есть подробные пошаговые инструкции для разных операционных систем.
Обычно установка занимает от нескольких минут до получаса: нужно скачать программу, открыть командную строку, выполнить несколько готовых команд из инструкции, а затем проверить, какой вариант обхода лучше работает у вашего провайдера. Самостоятельно разбираться в коде или придумывать команды не нужно — всё необходимое уже описано разработчиками.
Это абсолютно безопасно и не несет никаких рисков, если скачивать zapret с официальной страницы проекта. Главное — не использовать сборки с посторонних сайтов, где под видом оригинальной программы могут распространять вредоносное ПО.
Какие еще есть DPI-обходчики?
GoodbyeDPI и zapret — это не уникальные программы. Вокруг них уже вырос целый класс похожих инструментов. Есть проекты вроде NoDPI. Кроме Windows, Linux и Android, он работает на macOS. Это более простое решение, чем zapret. NoDPI легче установить и настроить, но он поддерживает меньше способов обхода и подходит не для всех типов блокировок. Сам разработчик рекомендует использовать его в первую очередь для обхода блокировок ютуба, а для более сложных случаев пользоваться zapret.
Еще есть GreenTunnel, PowerTunnel, SpoofDPI и другие кросс‑платформенные утилиты и прокси, которые либо портят HTTP‑заголовки, либо дробят первые данные соединений, либо подсовывают Роскомнадзору специально искаженную картинку, а дальше дают браузеру работать как обычно. Снаружи они выглядят как маленькие программы или расширения для браузера.
Чем это отличается от VPN?
VPN устроен гораздо сложнее. Он строит зашифрованный туннель до удаленного сервера, полностью прячет содержимое трафика от провайдера и подменяет ваш внешний IP‑адрес. То есть с точки зрения сайтов вы находитесь не в России, а, например, в Нидерландах.
DPI-обходчики не дают пользователю анонимности. Они не скрывают ваш IP-адрес и не шифруют трафик дополнительно. Их задача — помочь соединению пройти через систему блокировок. Если вам нужен именно приватный доступ к сети, для этого по-прежнему стоит использовать VPN.
К тому же, программам по обходу DPI сложно бороться с самыми жесткими российскими блокировками. Если работают «белые списки» или если заблокирован IP‑адрес сайта, никакая хитрая фрагментация не поможет: пакеты просто не дойдут до сервера.
Но есть сценарии, в которых DPI-обходчики могут быть эффективнее и стабильнее VPN. Например, если вам нужно обойти блокировки только, чтобы посмотреть видео на ютубе или поболтать с друзьями в дискорде. DPI-обходчик меняет только нужный трафик, а не создает VPN-туннель для всех подключений. Из-за этого его сложнее отличить от обычного веб‑трафика, а интернет продолжает работать как обычно: не появляется задержка при подключении и маркетплейсы открываются без проблем.
Роскомнадзор постоянно дорабатывает DPI и учится блокировать новые способы обхода, поэтому одного волшебного инструмента нет. Лучшим решением будет иметь в запасе все доступные средства — и хороший VPN, а лучше несколько, и DPI-обходчики.
Что еще почитать:
- Роскомнадзор постоянно блокирует VPN-протоколы. Разбираемся, что это такое и какие из них всё еще работают.
- «Злость разлита вокруг». Как интернет-блокировки, атаки дронов и рост цен отразились на петербуржцах — исследование «Бумаги».
