简介
深度包检测（DPI）是政府和 ISP 用来检测并屏蔽 VPN 流量的主要武器。OpenVPN 乃至 WireGuard 等传统 VPN 协议都具有可识别的流量特征,DPI 系统能在几毫秒内将其识别出来。V2Ray 正是为解决这一问题而专门打造的。
在本技术指南中,我们将解释 DPI 在数据包层面如何运作、它为何能够捕捉到传统 VPN 协议,以及 V2Ray 的架构如何让其流量显著更难与普通网页浏览区分开来。我们也会坦诚地谈及其局限性,,这是一场持续进行的军备竞赛,没有任何解决方案是完美的。
深度包检测如何运作
要理解 V2Ray 如何击败 DPI,您首先需要了解 DPI 究竟做了什么。
超越简单的数据包过滤
传统防火墙在网络层运作。它们检查数据包报头,,源 IP、目的 IP、端口号,,并根据简单规则做出放行/屏蔽的决定。DPI 则远不止于此。
DPI 系统会检查网络数据包的完整内容,包括报头之外的负载数据。它们同时在网络协议栈的多个层面运作：
- 报头分析,,检查 IP 报头、TCP/UDP 报头和端口号
- 负载检测,,读取数据包的实际数据内容
- 模式匹配,,将流量与已知协议特征进行比对
- 启发式分析,,使用统计模型根据行为对流量进行分类
- 流量分析,,检查数据包随时间变化的序列,而非孤立的单个数据包
DPI 如何识别 VPN 协议
每种 VPN 协议都具有独特的特征,DPI 系统会学习识别这些特征：
OpenVPN 具有一套记录详尽的握手序列。其控制通道数据包以特定的操作码开头（TLS 模式下初始握手为 0x38),数据包结构遵循可预测的格式。即使使用 TLS,OpenVPN 的初始握手在某些方面也与标准 HTTPS 连接不同,这些差异很容易被用来做特征识别。
WireGuard 使用固定大小的握手消息。发起方消息始终为 148 字节,响应方消息始终为 92 字节。WireGuard 也完全使用 UDP,并在第一个字节中包含特定的消息类型标识符,具有独特的数据包格式。这些固定大小对 DPI 系统来说是一个强有力的信号。
IPSec 使用 AH（认证头,协议号 51）或 ESP（封装安全负载,协议号 50）IP 协议,这两者在 IP 层面都极易被识别。基于 UDP 500 端口的 IKE（互联网密钥交换)协商同样是完全可见的。
V2Ray 规避 DPI 的方法
V2Ray 采用了一种与传统 VPN 协议根本不同的方法来绕过审查。它没有创造一种新的、可识别的协议,而是将自身流量封装在现有的、被广泛使用的协议中,而这些协议是审查者无法在不造成大规模连带损害的情况下屏蔽的。
协议栈
V2Ray 的反审查配置通常涉及多个协议层层叠加：
VMess 和 VLESS 是 V2Ray 自有的代理协议。VMess 加密流量并内置身份验证。VLESS 是一种更轻量的替代方案,开销更小,将加密工作交由传输层处理。这两种协议本身都不是为隐蔽性而设计的,,它们依赖传输层来实现混淆。
WebSocket 传输方式将代理协议封装在 WebSocket 帧内。WebSocket 是一种标准的网络协议（RFC 6455),被网络应用广泛用于实时通信,,聊天应用、实时仪表盘、协同编辑器等等。一个 V2Ray 的 WebSocket 连接在结构上与任何其他 WebSocket 会话完全相同。
TLS 加密将整个连接封装在标准 TLS 之中,这与每个 HTTPS 网站使用的加密层完全相同。这个 TLS 握手是真实的,,它使用真实的证书、标准的密码套件,并严格遵循 TLS 规范。
结果就是：使用 WebSocket + TLS 的 V2Ray 流量,看起来就像用户正在访问一个使用 WebSocket 实现实时功能的 HTTPS 网站。 对于 DPI 系统来说,这与有人在使用 Gmail、Slack 或任何现代网络应用没有区别。
传输层选项
V2Ray 支持多种传输协议,各有不同的权衡取舍：
- WebSocket,,用于规避审查最广泛使用的选项。兼容性高,可通过 CDN 工作,开销适中
- gRPC,,使用 HTTP/2 分帧。看起来像标准的 gRPC API 流量,这在现代网络服务中很常见。可以高效地进行多路复用
- HTTP/2（h2),,将流量封装在 HTTP/2 数据流中。受益于 HTTP/2 内置的多路复用和报头压缩
- QUIC,,使用基于 UDP 的 QUIC 协议（HTTP/3 的基础)。延迟更低,但在限制 UDP 流量的网络中可能被屏蔽
- TCP,,直接的 TCP 连接,附带可选的报头混淆。最简单,但抗 DPI 能力最弱
为何这种方法有效
这种方法的有效性归根结底在于连带损害。审查者可以屏蔽 OpenVPN 协议而不会带来重大后果,,几乎没有合法服务依赖于它。但屏蔽通过 TLS 传输的所有 WebSocket 连接,将破坏现代网络的一大部分。银行应用中的实时功能、协同文档编辑、体育赛事实时比分、股票交易平台,,所有这些都将无法使用。
这迫使审查者陷入两难境地：要么允许 V2Ray 所模仿的流量模式通过,要么接受合法服务大范围瘫痪的后果。
局限性与坦诚评估
V2Ray 大幅提高了审查的门槛,但它并非完美的解决方案。仍有几种技术可用于检测或干扰 V2Ray 连接：
主动探测
审查者可以不再被动地分析流量,而是主动连接到可疑的 V2Ray 服务器。如果该服务器的响应方式像是代理而非合法的网络服务器,就会被识别并屏蔽。这是一种在实践中已被充分记录的技术。
**应对措施：**将 V2Ray 服务器配置为提供一个真实网站作为后备。当未经授权的连接到达时,服务器的表现与普通网络服务器完全相同。配置得当的情况下,这能显著降低主动探测的有效性,尽管精密的探测程序仍可能检测到细微的行为差异。
服务器 IP 屏蔽
即使审查者无法识别协议,他们仍可以屏蔽已知 V2Ray 服务器的 IP 地址。如果该服务器 IP 出现在黑名单上,,通过发现、用户举报或网络扫描,,那么无论协议混淆做得多好,连接都会失败。
**应对措施：**使用基于 CDN 的代理、频繁轮换服务器 IP,并使用与许多合法服务共享的 IP 地址。
流量分析
对流量模式进行统计分析,,数据包时序、会话持续时间、数据量模式,,有时即使协议本身被妥善伪装,也能将代理流量与真实网页浏览区分开来。一个长时间维持单一 WebSocket 连接并传输大量数据的用户,可能与典型的网络应用使用模式有所不同。
TLS 指纹识别
TLS 客户端问候消息中包含一些字段,,密码套件顺序、支持的扩展项、椭圆曲线偏好,,这些可以对所使用的特定 TLS 库进行指纹识别。如果 V2Ray 客户端产生了独特的 TLS 指纹,审查者就可以将其作为检测信号。
应对措施： V2Ray 客户端可以使用 uTLS 来模拟 Chrome 或 Firefox 等主流浏览器的 TLS 指纹,让基于指纹的检测变得困难得多。
EdgeVPN 如何实现 V2Ray
EdgeVPN 集成了 V2Ray,并采用兼顾安全性与易用性的合理默认配置：
- 预先配置的混淆,,V2Ray 连接默认使用 WebSocket + TLS,无需手动配置即可提供强大的抗 DPI 能力
- 优化的服务器基础设施,,V2Ray 服务器配置了后备网站和正确的 TLS 证书,以抵御主动探测
- 便捷的协议切换,,用户只需轻点一下,即可在 WireGuard（在不受限网络上追求速度)和 V2Ray（用于规避审查)之间切换
- 定期更新的基础设施,,服务器配置会持续更新,以应对不断演变的检测技术
猫鼠游戏的现实
需要理解的是,规避 DPI 是一场持续进行的军备竞赛。审查者会开发新的检测技术,而 V2Ray 这样的工具也会随之做出调整。今天可靠有效的方法,明天可能就需要调整。
多年来,V2Ray 已经证明了其非凡的韧性,这是因为其核心方法,,模拟合法且被广泛使用的网络流量,,创造了一种根本性的不对称局面。检测它的成本很高（需要精密的分析,且存在误判风险),而屏蔽它所模仿的流量模式所带来的成本则更高（破坏合法的网络服务)。
这并不意味着 V2Ray 在任何情况下都总能奏效。在管控极其严格的环境中,可能需要采取额外措施,并且在审查者部署新技术期间,可能会出现一段连接中断的时期。
结论
V2Ray 绕过 DPI 的方法在架构上是合理的：它不是试图隐藏流量的存在,而是让这些流量看起来像是审查者无法承受屏蔽后果的东西。标准代理协议（VMess/VLESS)与无处不在的传输层（WebSocket + TLS)相结合,创造出了真正难以与普通 HTTPS 网络使用区分开来的流量。
然而,没有任何工具是万能的。主动探测、IP 屏蔽、流量分析和 TLS 指纹识别,都仍然是潜在的检测途径。V2Ray 的优势在于其适应能力,,其模块化架构使其能够随着审查技术的进步而不断演变。
对于面临互联网审查的用户而言,V2Ray 仍然是目前最有效的工具之一。EdgeVPN 让这项技术无需深厚的技术知识即可使用,同时保留了高级用户所需的可配置性。