DPI (глубокая инспекция пакетов): что это

Автор: Екатерина Лебедева, редактор раздела knowledge base
Проверил:: Артём Волков
Проверено:: 28 сентября 2026
Опубликовано:: 27 сентября 2026, обновлено 28 сентября 2026
Версия гайда:: 1.0

Коротко

DPI (Deep Packet Inspection, глубокая инспекция пакетов) — технология анализа сетевого трафика, при которой оборудование изучает не только заголовки пакетов, но и их содержимое или метаданные, чтобы определить протокол, приложение или тип трафика.

Обычная маршрутизация трафика смотрит только на заголовки пакетов — адреса и порты. DPI идёт дальше: анализирует содержимое или характерные метаданные соединения, чтобы классифицировать протокол и приложение точнее. Операторы связи и администраторы сетей используют DPI для управления пропускной способностью, приоритизации разных видов трафика и защиты сети — например, в системах обнаружения атак. Внутри зашифрованного TLS-соединения DPI не видит содержимое после рукопожатия, но может анализировать открытые метаданные вроде SNI, а также размер и время следования пакетов. Happ и Xray-core предлагают ряд параметров TLS-соединения — отпечаток клиента, фрагментация рукопожатия, — которые влияют на то, какие именно данные видит анализирующее оборудование на этапе установки соединения.

DPI (глубокая инспекция пакетов) — технология анализа сетевого трафика, при которой оборудование изучает не только заголовки пакетов, но и содержимое или метаданные, чтобы классифицировать протокол, приложение или тип трафика для управления сетью, приоритизации и защиты.

Как работает DPI

Базовая маршрутизация трафика в сети принимает решения по заголовкам пакетов: откуда, куда, по какому порту и протоколу транспортного уровня. Этого достаточно, чтобы доставить пакет по адресу, но недостаточно, чтобы понять, какое именно приложение или сервис его отправил.

DPI (Deep Packet Inspection, глубокая инспекция пакетов) — технология, которая идёт дальше заголовков: оборудование анализирует содержимое пакета или характерные метаданные соединения, сравнивает их с известными шаблонами протоколов и приложений и на основе этого классифицирует трафик.

Такой анализ используют операторы связи и администраторы сетей для разных практических задач: приоритизации отдельных видов трафика, распределения пропускной способности между сервисами, а также в системах обнаружения сетевых угроз и защиты инфраструктуры.

DPI и TLS-шифрование

TLS ограничивает то, что может увидеть DPI. После завершения TLS-рукопожатия содержимое соединения зашифровано, и анализирующее оборудование не может прочитать переданные данные — только их зашифрованное представление.

Открытыми остаются метаданные самого рукопожатия: в пакете ClientHello в явном виде передаётся SNI — имя сервера, к которому подключается клиент, а также список поддерживаемых версий TLS и шифров. Кроме того, для анализа доступны размер пакетов и интервалы между ними — эти характеристики не шифруются на транспортном уровне.

Поэтому классификация трафика внутри TLS обычно опирается не на содержимое, а на такие метаданные и поведенческие признаки соединения.

Где параметры Happ и Xray связаны с анализом трафика

Xray-core, на котором работает Happ, включает несколько параметров, которые влияют на то, что именно видит анализирующее оборудование на этапе установки TLS-соединения.

Параметр	Что он меняет
`fp` (uTLS-отпечаток)	набор расширений и шифров в пакете ClientHello, похожий на конкретный браузер
`fragment` (TLS-фрагментация)	форму передачи пакета ClientHello — одним куском или несколькими TCP-сегментами
`noises`	дополнительные служебные пакеты рядом с TLS-рукопожатием, работает вместе с fragment

Все три параметра относятся к этапу установки соединения и не влияют на шифрование данных после рукопожатия — за это по-прежнему отвечает сам протокол TLS.

Отличия от похожих терминов

Термин	Что это	Отличие от DPI
Межсетевой экран	фильтрация по заголовкам пакета	не анализирует содержимое или метаданные протокола внутри пакета
TLS-рукопожатие	процесс согласования защищённого соединения	это сам процесс, а DPI — способ его проанализировать со стороны
uTLS-отпечаток	набор параметров ClientHello конкретного клиента	одна из характеристик, которую может учитывать DPI при классификации
TLS-фрагментация	разбиение пакета рукопожатия на части	один из параметров, который меняет данные, доступные для анализа DPI

DPI — общий термин для целого класса технологий анализа трафика, а не конкретная функция одного протокола или приложения: конкретная реализация и цели такого анализа зависят от того, кто и с какой задачей его использует.

Главное

DPI анализирует содержимое или метаданные пакетов, а не только заголовки с адресами и портами, как обычная маршрутизация.
Операторы связи и администраторы сетей применяют DPI для приоритизации трафика, управления пропускной способностью и защиты сети.
Внутри TLS-соединения после рукопожатия DPI не видит содержимое, но может анализировать открытые метаданные вроде SNI, размер и время пакетов.
Параметр fp (отпечаток TLS-клиента) в Xray-core влияет на то, какой набор признаков видит анализирующее оборудование в пакете ClientHello.
TLS-фрагментация и шумы в Happ меняют форму передачи первого пакета TLS-рукопожатия — того самого, который чаще всего анализируют системы DPI.

Частые вопросы

Что именно проверяет DPI в сетевом пакете?

DPI смотрит дальше обычных заголовков IP и TCP: он анализирует содержимое или характерные метаданные пакета, чтобы определить протокол и тип приложения. Для нешифрованного трафика это может быть прямой разбор данных; для TLS-соединений — открытые поля вроде SNI в пакете ClientHello, набор используемых шифров, а также размер и порядок следования пакетов.

Может ли DPI прочитать содержимое HTTPS-сайта?

Нет, после завершения TLS-рукопожатия содержимое соединения зашифровано, и DPI не видит переданные данные — только их зашифрованный вид. Доступны для анализа лишь метаданные, которые передаются в открытом виде на этапе установки соединения, например SNI в пакете ClientHello, а также параметры вроде размера пакетов и интервалов между ними.

Зачем операторам связи и корпоративным сетям DPI, если данные всё равно зашифрованы?

Даже без доступа к содержимому DPI помогает классифицировать типы трафика по открытым метаданным и особенностям поведения соединений — это используют для приоритизации трафика, распределения пропускной способности между сервисами и для систем защиты сети, которые ищут аномальные паттерны, например при атаках на инфраструктуру.

Что такое отпечаток TLS-клиента (fp) и как он связан с DPI?

Параметр fp в конфигурациях Xray-core задаёт набор расширений и шифров, с которым формируется пакет ClientHello — так, чтобы он выглядел как у конкретного браузера, например Chrome или Firefox. Это влияет на то, какой набор признаков увидит в этом пакете любое анализирующее сетевое оборудование, включая системы DPI, поскольку сравнение идёт именно по таким характерным наборам параметров.

Как TLS-фрагментация связана с анализом трафика системами DPI?

Системы DPI, которые ищут признаки протокола в цельном пакете ClientHello, получают данные в другом виде, если этот пакет разбит на несколько TCP-сегментов с паузами — так работает параметр fragment в Happ. Подробно устройство этого параметра, его синтаксис и влияние на скорость соединения разобраны на странице [TLS-фрагментация](/glossary/tls-fragmentation).

Чем DPI отличается от обычного межсетевого экрана?

Простой межсетевой экран принимает решения по заголовкам пакета — адресу, порту, протоколу транспортного уровня. DPI анализирует более глубокий уровень: содержимое или метаданные, специфичные для конкретного протокола или приложения. На практике оборудование DPI часто совмещает обе функции, сначала фильтруя по заголовкам, а затем уточняя решение более глубоким анализом.

Упомянутые темы

Разделы по теме

Источники

Документация Happ: примеры ссылок и параметры — обращение 28 сентября 2026
Документация Xray: исходящее подключение VLESS — обращение 28 сентября 2026