Bloquer un site, c'était une liste noire : le réseau voit que vous demandez une adresse interdite et dit "non". L'inspection profonde des paquets (DPI) est la version adulte : elle ne lit pas seulement l'adresse sur l'enveloppe, elle lit la forme de votre trafic. C'est pourquoi un proxy ou un VPN marche un jour et meurt mystérieusement le lendemain.
Qui utilise la DPI — et ce qu'elle voit
- Les gouvernements, pour la censure : ils inspectent le trafic aux frontières réseau du pays pour détecter et brider VPN, proxies et outils de contournement.
- Les administrateurs systèmes et réseaux — FAI, universités, IT d'entreprise — pour façonner, journaliser ou bloquer le trafic sur leurs réseaux.
L'inspection classique ne lit que l'en-tête — où va le paquet. La DPI regarde à l'intérieur : le payload, le handshake TLS, la taille et le timing des paquets, et les signatures de protocole.
L'indice est souvent la signature de protocole. Beaucoup de tunnels se trahissent dès leurs premiers octets. Une fois la signature apprise, la DPI jette tout ce qui correspond — sans liste noire.
Pourquoi OpenVPN et WireGuard se font prendre
Voilà le piège. Le chiffrement d'OpenVPN, WireGuard et IPSec est excellent — mais leur trafic est reconnaissable. La DPI ne casse pas le chiffrement ; elle reconnaît simplement "c'est OpenVPN" ou "c'est WireGuard" et coupe. Prendre un VPN plus gros et plus connu n'aide pas : le problème, c'est justement qu'il est identifiable.
Le vrai geste : changer la signature, pas juste le chiffre
Le but n'a donc jamais été "chiffrer en RC4". Le vrai jeu est de changer la signature de protocole que la DPI voit de l'extérieur — faire ressembler la connexion à du trafic web normal plutôt qu'à un VPN. Cela se passe sur un client local : votre app se connecte à localhost, le client emballe les données dans une couche d'obfuscation, et de l'autre côté un serveur/relais la déballe.
Les outils qui font vraiment ça
Cloak
Cloak se place devant quelque chose comme OpenVPN. Le chiffrement d'OpenVPN reste — le rôle de Cloak est de cacher le trafic caractéristique d'OpenVPN : il réécrit les métadonnées des paquets pour que le flux ressemble à du trafic web normal, et il résiste au sondage actif (quand le censeur sonde votre serveur pour voir si c'est un VPN).
AmneziaWG
Une autre approche. Au lieu de réécrire la cryptographie de WireGuard, AmneziaWG change les caractéristiques de paquet que la DPI utilise pour identifier WireGuard — il modifie les en-têtes des paquets handshake/données, change les tailles et peut injecter des paquets de bourrage. La signature "c'est sûrement WireGuard" est ainsi cassée.
VLESS + REALITY
Utilisé dans les environnements à forte censure comme l'Iran. L'idée : face à une DPI ou à un sondeur actif, votre serveur doit ressembler à un service TLS/web normal, pas à un VPN. REALITY est conçu pour, s'il n'identifie pas un client autorisé, rediriger la connexion vers un vrai site web :
Client │ (ressemble à du TLS normal) ▼ Internet │ ▼ serveur REALITY ├─ client autorisé → tunnel └─ sonde / inconnu → un vrai site web
L'avertissement honnête (2026)
Il n'existe pas de "installe ça et en Iran ça marche à coup sûr". La DPI iranienne continue d'évoluer — des mesures récentes signalent que REALITY, WireGuard et même la fragmentation TLS sont détectés ou bloqués sur certains réseaux iraniens. L'obfuscation est une course à l'armement, pas une solution figée.
Là où une sortie proxy propre entre en jeu
L'obfuscation vous fait sortir sans être vu ; l'IP de sortie décide si la destination vous fait confiance à l'arrivée. Les plages datacenter sont publiques et faciles à noter "pas un vrai utilisateur" — même un tunnel parfaitement obfusqué peut atterrir sur une IP déjà méfiée. C'est là qu'un proxy est extrêmement efficace :
- Les proxies résidentiels sortent par de vrais appareils de particuliers — vous ressemblez à un utilisateur domestique ordinaire, parce qu'au niveau réseau vous l'êtes.
- Les proxies mobiles sortent par des IP d'opérateurs partagées par des milliers de vrais téléphones, très difficiles à bloquer en masse.
Tout mettre ensemble
Vaincre la DPI est une pile, pas une astuce : obfusquez la signature (Cloak / AmneziaWG / REALITY) pour ressembler à du trafic web normal, utilisez des chiffres modernes — jamais RC4 — et sortez par un proxy résidentiel ou mobile propre pour que la destination vous fasse confiance. Oubliez le réflexe "prends un plus gros VPN" ; c'est la reconnaissabilité qui vous fait prendre.
Proxysterr fait bien la moitié "sortie" : des pools résidentiels et mobiles conçus exactement pour ça, paiement en crypto, sans KYC, sans expiration des données. Pointez votre tunnel obfusqué vers un endpoint Proxysterr et obtenez la sortie propre et de confiance qui fait tourner toute la chaîne.