Een site blokkeren was ooit een zwarte lijst: het netwerk ziet dat je een verboden adres opvraagt en zegt "nee". Deep packet inspection (DPI) is de volwassen versie: het leest niet alleen het adres op de envelop, maar de vorm van je verkeer. Daarom werkt een proxy of VPN vandaag en sterft hij morgen mysterieus.

Wie DPI draait — en wat het ziet

  • Overheden, voor censuur: ze inspecteren verkeer aan de netwerkgrenzen van het land om VPN's, proxies en omzeiltools te detecteren en te knijpen.
  • Systeem- en netwerkbeheerders — ISP's, universiteiten, bedrijfs-IT — om verkeer op hun netwerk te vormen, te loggen of te blokkeren.

Conventionele inspectie leest alleen de header — waar een pakket heen gaat. DPI kijkt erin: de payload, de TLS-handshake, pakketgroottes en timing, en protocolsignaturen.

DPI versus conventionele inspectie: de conventionele leest alleen de pakketheader, terwijl DPI de volledige payload onderzoekt

De verklikker is meestal de protocolsignatuur. Veel tunnels verraden zich al in hun eerste bytes. Zodra DPI die signatuur kent, gooit het alles weg wat matcht — zonder zwarte lijst.

Waarom OpenVPN en WireGuard worden gepakt

Hier is de valkuil. De versleuteling van OpenVPN, WireGuard en IPSec is prima — maar hun verkeer is herkenbaar. DPI kraakt de crypto niet; het herkent simpelweg "dit is OpenVPN" of "dit is WireGuard" en snijdt af. Een grotere, bekendere VPN helpt niet: het probleem is juist de herkenbaarheid.

De echte zet: verander de signatuur, niet alleen de cipher

Het ging dus nooit om "versleutel met RC4". Het echte spel is de protocolsignatuur veranderen die DPI van buiten ziet — de verbinding op normaal webverkeer laten lijken in plaats van een VPN. Dit gebeurt op een lokale client: je app verbindt met localhost, de client verpakt de data in een obfuscatielaag, en aan de andere kant pakt een server/relay die uit.

geobfusceerd — DPI ziet alleen normaal verkeer Browser Local client localhost ISP / DPI Server / relay proxy exit Google
De obfuscatie gebeurt op je eigen machine, dus alles tussen de lokale client en de exit lijkt normaal voor DPI. De server pakt het uit en maakt een schone verbinding — de bestemming ziet alleen het proxy-IP.

Tools die dit echt doen

Cloak

Cloak staat voor iets als OpenVPN. De OpenVPN-versleuteling blijft — Cloaks taak is het karakteristieke OpenVPN-verkeer verbergen: het herschrijft pakket-metadata zodat de stroom op normaal webverkeer lijkt, en het weert actieve probing af (waarbij de censor je server port om te zien of het een VPN is).

AmneziaWG

Een andere aanpak. In plaats van WireGuards cryptografie te herschrijven, verandert AmneziaWG de pakketkenmerken die DPI gebruikt om WireGuard te herkennen — het wijzigt headers van handshake-/datapakketten, verandert pakketgroottes en kan junk-pakketten injecteren. Zo breekt de signatuur "dit is zeker WireGuard".

VLESS + REALITY

Gebruikt in zwaar gecensureerde omgevingen zoals Iran. Het idee: voor een DPI of een actieve prober moet je server op een normale TLS-/webdienst lijken, niet op een VPN. REALITY is zo gebouwd dat het de verbinding aan een echte website doorgeeft als het geen geautoriseerde client herkent:

Client
  │  (lijkt op normaal TLS)
  ▼
Internet
  │
  ▼
REALITY-server
  ├─ geautoriseerde client  →  tunnel
  └─ probe / vreemde        →  een echte website

De eerlijke kanttekening (2026)

Er is geen "installeer dit en in Iran werkt het zeker". Irans DPI blijft evolueren — recente metingen melden dat REALITY, WireGuard en zelfs TLS-fragmentatie op sommige Iraanse netwerken worden gedetecteerd of geblokkeerd. Obfuscatie is een wapenwedloop, geen afgeronde oplossing.

Waar een schone proxy-exit binnenkomt

Obfuscatie brengt je ongezien naar buiten; het exit-IP bepaalt of de bestemming je vertrouwt bij aankomst. Datacenter-ranges zijn publiek en makkelijk als "geen echte gebruiker" te scoren — zelfs een perfect geobfusceerde tunnel kan op een IP landen dat sites al wantrouwen. Hier is een proxy uiterst effectief:

  • Residentiële proxies gaan naar buiten via echte consumentenapparaten — je lijkt een gewone thuisgebruiker, want op netwerkniveau ben je dat.
  • Mobiele proxies gaan naar buiten via provider-IP's die duizenden echte telefoons delen, heel moeilijk in bulk te blokkeren.

Alles samen

DPI verslaan is een stack, geen truc: obfusceer de signatuur (Cloak / AmneziaWG / REALITY) om op normaal webverkeer te lijken, gebruik moderne ciphers — nooit RC4 — en ga naar buiten via een schone residentiële of mobiele proxy zodat de bestemming je vertrouwt. Vergeet de reflex "pak een grotere VPN"; het is herkenbaarheid die je pakt.

Proxysterr doet de exit-helft goed: residentiële en mobiele pools hiervoor gebouwd, betalen met crypto, geen KYC, geen vervaldatum op je data. Richt je geobfusceerde tunnel op een Proxysterr-endpoint en krijg de schone, vertrouwde exit die de hele keten laat werken.