Blokowanie strony było kiedyś czarną listą: sieć widzi, że prosisz o zakazany adres, i mówi "nie". Deep packet inspection (DPI) to wersja dorosła: nie czyta tylko adresu na kopercie, lecz kształt twojego ruchu. Dlatego proxy albo VPN działa dziś, a jutro tajemniczo umiera.

Kto stosuje DPI — i co widzi

  • Rządy, dla cenzury: inspekcjonują ruch na granicach sieci kraju, by wykrywać i dławić VPN-y, proxy i narzędzia omijające.
  • Administratorzy systemów i sieci — ISP, uczelnie, IT firmowe — by kształtować, logować lub blokować ruch w swoich sieciach.

Zwykła inspekcja czyta tylko nagłówek — dokąd idzie pakiet. DPI zagląda do środka: payload, handshake TLS, rozmiary i timing pakietów oraz sygnatury protokołów.

DPI kontra zwykła inspekcja: zwykła czyta tylko nagłówek pakietu, a DPI bada cały payload

Zdradza zwykle sygnatura protokołu. Wiele tuneli zdradza się już w pierwszych bajtach. Gdy DPI nauczy się tej sygnatury, odrzuca wszystko, co pasuje — bez czarnej listy.

Dlaczego OpenVPN i WireGuard wpadają

Oto pułapka. Szyfrowanie OpenVPN, WireGuard i IPSec jest dobre — ale ich ruch jest rozpoznawalny. DPI nie łamie kryptografii; po prostu rozpoznaje "to OpenVPN" lub "to WireGuard" i tnie. Sięganie po większy, słynniejszy VPN nie pomaga — problemem jest właśnie rozpoznawalność.

Prawdziwy ruch: zmień sygnaturę, nie tylko szyfr

Nigdy nie chodziło więc o "szyfrujmy RC4". Prawdziwa gra to zmienić sygnaturę protokołu, którą DPI widzi z zewnątrz — sprawić, by połączenie wyglądało jak zwykły ruch web zamiast VPN. Dzieje się to na kliencie lokalnym: twoja aplikacja łączy się z localhost, klient owija dane w warstwę obfuskacji, a po drugiej stronie serwer/relay je rozpakowuje.

zobfuskowane — DPI widzi tylko zwykły ruch Browser Local client localhost ISP / DPI Server / relay proxy exit Google
Obfuskacja dzieje się na twojej maszynie, więc wszystko między klientem lokalnym a wyjściem wygląda dla DPI zwyczajnie. Serwer to rozpakowuje i tworzy czyste połączenie — cel widzi tylko IP proxy.

Narzędzia, które naprawdę to robią

Cloak

Cloak staje przed czymś takim jak OpenVPN. Szyfrowanie OpenVPN zostaje — zadaniem Cloaka jest ukryć charakterystyczny ruch OpenVPN: przepisuje metadane pakietów, by strumień wyglądał jak zwykły ruch web, i broni się przed aktywnym sondowaniem (gdy cenzor szturcha twój serwer, by sprawdzić, czy to VPN).

AmneziaWG

Inne podejście. Zamiast przepisywać kryptografię WireGuarda, AmneziaWG zmienia cechy pakietów, po których DPI rozpoznaje WireGuarda — modyfikuje nagłówki pakietów handshake/danych, zmienia rozmiary i może wstrzykiwać pakiety śmieciowe. Tak łamie sygnaturę "to na pewno WireGuard".

VLESS + REALITY

Używane w środowiskach silnej cenzury jak Iran. Idea: wobec DPI lub aktywnego sondera twój serwer ma wyglądać jak zwykła usługa TLS/web, nie VPN. REALITY jest zbudowany tak, że jeśli nie rozpozna autoryzowanego klienta, przekazuje połączenie do prawdziwej strony:

Client
  │  (wygląda jak zwykły TLS)
  ▼
Internet
  │
  ▼
serwer REALITY
  ├─ autoryzowany klient  →  tunel
  └─ sonda / obcy         →  prawdziwa strona

Uczciwe zastrzeżenie (2026)

Nie ma "zainstaluj to i w Iranie na pewno zadziała". DPI Iranu wciąż ewoluuje — najnowsze pomiary donoszą, że REALITY, WireGuard, a nawet fragmentacja TLS bywają wykrywane lub blokowane w niektórych irańskich sieciach. Obfuskacja to wyścig zbrojeń, nie zamknięte rozwiązanie.

Gdzie wchodzi czyste wyjście proxy

Obfuskacja wyprowadza cię na zewnątrz niezauważenie; to IP wyjściowe decyduje, czy cel ci ufa po przybyciu. Zakresy datacenter są publiczne i łatwo dostają ocenę "to nie prawdziwy użytkownik" — nawet idealnie zobfuskowany tunel może wylądować na IP, któremu strony już nie ufają. Tu proxy jest niezwykle skuteczne:

  • Proxy rezydencjalne wychodzą przez prawdziwe urządzenia użytkowników — wyglądasz jak zwykły domowy użytkownik, bo na poziomie sieci nim jesteś.
  • Proxy mobilne wychodzą przez IP operatorów dzielone przez tysiące prawdziwych telefonów, bardzo trudne do zbiorczego zablokowania.

Wszystko razem

Pokonanie DPI to stos, nie sztuczka: zobfuskuj sygnaturę (Cloak / AmneziaWG / REALITY), by wyglądać jak zwykły ruch web, używaj nowoczesnych szyfrów — nigdy RC4 — i wychodź przez czyste proxy rezydencjalne lub mobilne, by cel ci ufał. Porzuć odruch "weź większy VPN"; łapie cię rozpoznawalność.

Proxysterr robi połowę wyjściową jak trzeba: pule rezydencjalne i mobilne stworzone dokładnie do tego, płatność kryptą, bez KYC, bez wygasania danych. Skieruj zobfuskowany tunel na endpoint Proxysterr i zyskaj czyste, zaufane wyjście, które napędza cały łańcuch.