Deep Packet Replay — replay-атаки DPI на VPN-серверы

Определение

Deep Packet Replay (replay-атака DPI) — техника активного зондирования, при которой цензор перехватывает clientHello от подозрительного клиента и повторно отправляет его на VPN-сервер с собственного IP. Если сервер отвечает «как настоящий сайт» — пропускают; если поведение отличается (другой сертификат, другой ALPN, разрыв соединения) — IP уходит в blocklist.

Replay — эволюция простого active-probing. Старые методы (TLS-fingerprint, SNI-блок) обходились маскировкой под легитимный сайт. Replay сложнее: цензор не угадывает шаблон — он буквально проигрывает тот же handshake. Любое отклонение от поведения «настоящего» сервера выдаёт прокси.

Как работает

1. Перехват: DPI на магистрали (ТСПУ, GFW) видит TLS-handshake от клиента X к серверу Y.
2. Слепок: сохраняется raw bytes clientHello — SNI, ALPN, extensions, ciphersuites.
3. Replay через N секунд: с probe-IP цензор шлёт тот же clientHello на тот же Y:443.
4. Анализ ответа:
   • Сервер вернул сертификат на SNI? Какой issuer? Совпадает с настоящим?
   • ALPN negotiated то же значение (h2, http/1.1)?
   • TLS-версия и cipher идентичны?
   • Long-tail behavior — keep-alive, header order, response size — характерны для реального сайта?
5. Решение: если поведение «как у настоящего https://example.com» — IP whitelist. Если расхождение — IP блокируется.

Цензор делает это для тысяч подозрительных IP в день, автоматически.

Применение в России 2026

ТСПУ применяет replay против VLESS Reality, ShadowTLS, NaiveProxy и любых TLS-туннелей с маскировкой:

• VLESS Reality: спасается тем, что переадресует probe-трафик на настоящий target-сайт (microsoft.com, apple.com). Cert и ALPN от probe идут к настоящему серверу — поведение идентично легитимному. На 2026 — лучшая защита от replay.
• ShadowTLS v3: тоже proxies на legit-сайт, но менее тщательно — иногда заметна разница в задержке.
• Trojan-GFW: уязвим — после неудачной аутентификации возвращает fallback-страницу, легко отличимую от настоящего сайта.

GFW в Китае использует replay с 2020 года; ТСПУ догнала к 2024-му и активно применяет на массовых блокировках с весны 2025.

Защита

Единственная надёжная стратегия — заставить VPN-сервер вести себя идентично легитимному сайту при probe:

• Reality-подход: проксирование probe-трафика на настоящий target.
• Использование legitimate certificate (Let’s Encrypt на реальном домене).
• Совпадение ALPN, версии TLS, cipher suites с целевым сайтом.
• Отсутствие fallback-страниц с подозрительным содержимым.

Источники

• GFW Report — replay attacks against Trojan-GFW (2020).
• Reality protocol design notes — XTLS GitHub.

Связанные термины

• Active Probing — общий термин, replay — частный случай.
• Reality — главная защита от replay.
• VLESS Reality — продакшен-применение Reality.
• DPI — общая категория.
• ТСПУ — российский регулятор-цензор.