DPI(심층 패킷 검사)란 무엇이며 어떻게 우회하나

사이트 차단은 예전엔 블랙리스트였습니다. 네트워크가 금지된 주소 요청을 보고 "안 돼"라고 하죠. 심층 패킷 검사(DPI)는 성숙한 버전입니다. 봉투의 주소만이 아니라 트래픽의 형태를 읽습니다. 그래서 프록시나 VPN이 오늘 되다가 내일 갑자기 죽는 겁니다.

누가 DPI를 운영하고 — 무엇을 보나

정부, 검열을 위해 — 국가 네트워크 경계에서 트래픽을 검사해 VPN, 프록시, 우회 도구를 탐지하고 조입니다.
시스템·네트워크 관리자 — ISP, 대학, 기업 IT — 자기 네트워크에서 트래픽을 정형화·기록·차단합니다.

일반 검사는 헤더만 읽습니다 — 패킷이 어디로 가는지. DPI는 안쪽을 봅니다: 페이로드, TLS 핸드셰이크, 패킷 크기와 타이밍, 그리고 프로토콜 시그니처.

DPI 대 일반 검사: 일반은 패킷 헤더만 읽고, DPI는 전체 페이로드를 검사한다

단서는 보통 프로토콜 시그니처입니다. 많은 터널이 첫 몇 바이트에서 스스로를 드러냅니다. DPI가 그 시그니처를 학습하면 일치하는 모든 것을 버립니다 — 블랙리스트도 필요 없이.

OpenVPN과 WireGuard가 왜 잡히나

여기 함정이 있습니다. OpenVPN, WireGuard, IPSec의 암호화는 훌륭하지만, 트래픽이 알아보기 쉽습니다. DPI는 암호를 깨지 않습니다. 그저 "이건 OpenVPN" 또는 "이건 WireGuard"라고 알아보고 끊습니다. 더 크고 유명한 VPN을 골라도 소용없습니다 — 문제는 바로 식별 가능성입니다.

진짜 수: 암호가 아니라 시그니처를 바꿔라

그러니 애초에 "RC4로 암호화하자"가 아니었습니다. 진짜 게임은 DPI가 밖에서 보는 프로토콜 시그니처를 바꾸는 것 — 연결을 VPN이 아니라 평범한 웹 트래픽처럼 보이게 하는 겁니다. 이는 로컬 클라이언트에서 일어납니다: 앱이 localhost에 연결하면, 클라이언트가 데이터를 난독화 계층으로 감싸고, 반대편의 서버/릴레이가 이를 풉니다.

난독화는 당신 기기에서 일어나므로, 로컬 클라이언트와 출구 사이의 모든 것이 DPI에게 평범해 보입니다. 서버가 이를 풀고 깨끗한 연결을 맺습니다 — 목적지는 프록시의 IP만 봅니다.

실제로 이걸 하는 도구들

Cloak

Cloak은 OpenVPN 같은 것 앞에 놓입니다. OpenVPN 암호화는 그대로 유지되며 — Cloak의 일은 OpenVPN 특유의 트래픽을 숨기는 것입니다: 패킷 메타데이터를 다시 써서 흐름을 평범한 웹 트래픽처럼 보이게 하고, 능동 프로빙(검열자가 서버를 찔러 VPN인지 확인하는 것)에 대비합니다.

AmneziaWG

다른 접근입니다. WireGuard의 암호를 다시 쓰는 대신, AmneziaWG는 DPI가 WireGuard를 식별하는 데 쓰는 패킷 특성을 바꿉니다 — 핸드셰이크/데이터 패킷의 헤더를 변경하고, 크기를 바꾸며, 정크 패킷을 넣을 수 있습니다. 그래서 "이건 분명 WireGuard"라는 시그니처가 깨집니다.

VLESS + REALITY

이란처럼 검열이 심한 환경에서 씁니다. 아이디어: DPI나 능동 프로버 앞에서 당신 서버는 VPN이 아니라 평범한 TLS/웹 서비스처럼 보여야 합니다. REALITY는 인가된 클라이언트를 식별하지 못하면 연결을 진짜 웹사이트로 넘기도록 설계됐습니다:

Client
  │  (평범한 TLS처럼 보임)
  ▼
Internet
  │
  ▼
REALITY 서버
  ├─ 인가된 클라이언트  →  터널
  └─ 프로브 / 낯선 자   →  진짜 웹사이트

솔직한 경고 (2026)

"이걸 깔면 이란에서 무조건 된다"는 없습니다. 이란의 DPI는 계속 진화합니다 — 최근 측정에서 REALITY, WireGuard, 심지어 TLS 프래그멘테이션까지 일부 이란 네트워크에서 탐지·차단된다는 보고가 있습니다. 난독화는 정해진 해법이 아니라 군비 경쟁입니다.

깨끗한 프록시 출구가 필요한 곳

난독화는 당신을 들키지 않고 밖으로 내보냅니다. 하지만 출구 IP가 도착 시 목적지가 당신을 신뢰할지 결정합니다. 데이터센터 대역은 공개돼 있고 "진짜 사용자 아님"으로 쉽게 채점됩니다 — 완벽히 난독화된 터널조차 사이트가 이미 불신하는 IP에 착지할 수 있습니다. 여기서 프록시가 매우 효과적입니다:

레지덴셜 프록시는 실제 소비자 기기로 나갑니다 — 네트워크 수준에서 실제로 그렇기에 평범한 가정 사용자처럼 보입니다.
모바일 프록시는 수천 대의 실제 휴대폰이 공유하는 통신사 IP로 나가며, 한꺼번에 차단하기가 매우 어렵습니다.

모두 합치면

DPI를 이기는 것은 요령이 아니라 스택입니다: 시그니처를 난독화(Cloak / AmneziaWG / REALITY)해 평범한 웹 트래픽처럼 보이고, 현대 암호를 쓰고 — 절대 RC4 금지 — 깨끗한 레지덴셜/모바일 프록시로 나가 목적지가 신뢰하게 하세요. "더 큰 VPN 써"라는 반사를 버리세요; 잡히는 건 식별 가능성 때문입니다.

Proxysterr는 출구 절반을 제대로 합니다: 바로 이를 위해 만든 레지덴셜·모바일 풀, 암호화폐 결제, KYC 없음, 데이터 만료 없음. 난독화된 터널을 Proxysterr 엔드포인트로 향하게 해, 전체 체인을 굴리는 깨끗하고 신뢰받는 출구를 얻으세요.