Chặn một trang web từng chỉ là danh sách đen: mạng thấy bạn yêu cầu địa chỉ bị cấm và nói "không". Kiểm tra gói tin chuyên sâu (DPI) là phiên bản trưởng thành của nó — nó đọc hình dạng lưu lượng của bạn, không chỉ địa chỉ. Đó là lý do một proxy hay VPN chạy hôm nay lại chết bí ẩn ngày mai.
Ai chạy DPI — và nó thấy gì
- Chính phủ, vì kiểm duyệt — soi lưu lượng ở biên giới mạng của quốc gia để phát hiện và bóp VPN, proxy và công cụ vượt tường lửa.
- Quản trị hệ thống & mạng — ISP, trường đại học, IT doanh nghiệp — để định hình, ghi log hoặc chặn lưu lượng trên mạng của họ.
Kiểm tra thông thường chỉ đọc header — gói tin đi đâu. DPI nhìn vào bên trong: payload, bắt tay TLS, kích thước và thời điểm gói, và chữ ký giao thức.
Manh mối thường là chữ ký giao thức. Nhiều tunnel tự lộ ngay ở vài byte đầu. Khi DPI học được chữ ký đó, nó loại bỏ mọi thứ khớp — không cần danh sách đen.
Vì sao OpenVPN và WireGuard bị bắt
Đây là cái bẫy. Mã hóa của OpenVPN, WireGuard và IPSec thì tốt — nhưng lưu lượng dễ nhận ra. DPI không bẻ mã; nó chỉ nhận ra "đây là OpenVPN" hoặc "đây là WireGuard" và cắt. Dùng VPN to hơn, nổi tiếng hơn cũng vô ích, vì vấn đề chính là nó dễ nhận diện.
Nước đi thật: đổi chữ ký, không chỉ mã
Nên mục tiêu chưa bao giờ là "mã hóa bằng RC4". Trò chơi thật là đổi chữ ký giao thức mà DPI thấy từ bên ngoài — làm kết nối trông như lưu lượng web bình thường thay vì VPN. Việc này diễn ra trên một client cục bộ: ứng dụng của bạn kết nối tới localhost, client bọc dữ liệu trong một lớp che giấu (obfuscation), và phía bên kia có server/relay mở nó ra.
Những công cụ thật sự làm điều này
Cloak
Cloak đứng trước một thứ như OpenVPN. Mã hóa OpenVPN vẫn giữ nguyên — việc của Cloak là giấu lưu lượng đặc trưng của OpenVPN: nó viết lại metadata gói để dòng trông như web bình thường, và chống lại active probing (khi kiểm duyệt viên chọc server bạn để thử xem có phải VPN không).
AmneziaWG
Một cách khác. Thay vì viết lại mật mã của WireGuard, AmneziaWG đổi các đặc điểm gói mà DPI dùng để nhận diện WireGuard — sửa header gói handshake/dữ liệu, đổi kích thước gói và có thể chèn gói rác. Nhờ đó chữ ký "chắc chắn là WireGuard" bị phá.
VLESS + REALITY
Dùng ở môi trường kiểm duyệt nặng như Iran. Ý tưởng: trước DPI hay một prober chủ động, server của bạn nên trông như một dịch vụ TLS/web bình thường, không phải VPN. REALITY được thiết kế để nếu không nhận ra client hợp lệ, nó chuyển kết nối sang một trang web thật:
Client │ (trông như TLS bình thường) ▼ Internet │ ▼ REALITY server ├─ client hợp lệ → tunnel └─ prober / lạ → một trang web thật
Lưu ý thành thật (2026)
Không có kiểu "cài cái này, ở Iran chắc chắn chạy". DPI của Iran liên tục tiến hóa — các đo đạc gần đây báo cáo REALITY, WireGuard và cả TLS fragmentation bị phát hiện hoặc chặn trên một số mạng Iran. Che giấu là cuộc chạy đua, không phải giải pháp cố định.
Điểm ra proxy sạch vào cuộc ở đâu
Che giấu đưa bạn ra mà không bị thấy; còn IP điểm ra quyết định đích có tin bạn khi tới không. Dải datacenter là công khai và dễ bị chấm "không phải người thật" — nên ngay cả tunnel che giấu hoàn hảo cũng có thể rơi vào IP mà các site vốn không tin. Đây là lúc proxy cực kỳ hiệu quả:
- Proxy dân cư (residential) ra qua thiết bị người dùng thật — bạn trông như người dùng gia đình bình thường, vì ở mức mạng đúng là vậy.
- Proxy di động ra qua IP nhà mạng mà hàng nghìn điện thoại thật dùng chung, rất khó chặn hàng loạt.
Ghép tất cả lại
Vượt DPI là một stack, không phải mẹo: che giấu chữ ký (Cloak / AmneziaWG / REALITY) để trông như web bình thường, dùng mã hiện đại — không bao giờ RC4 — và ra qua proxy dân cư hoặc di động sạch để đích tin bạn. Bỏ phản xạ "cứ lấy VPN to hơn"; chính sự dễ nhận diện làm bạn bị bắt.
Proxysterr làm đúng nửa điểm ra: pool dân cư và di động dựng cho đúng việc này, trả bằng crypto, không KYC, dữ liệu không hết hạn. Trỏ tunnel che giấu của bạn tới một endpoint Proxysterr để có điểm ra sạch, đáng tin làm cả chuỗi hoạt động.