深度包检测（DPI）：它是什么，为何 VPN 用户应当关注
什么是 DPI
数据在互联网上传输时，会被分割成称为"数据包"的小块。每个数据包由两部分组成：包头（包含来源和目标等基本路由信息）和载荷（即实际内容）。传统防火墙只检查包头——就像只看信封上的地址，而不拆开信封。
深度包检测更进一步。它会拆开信封，读取里面的内容。DPI 技术在数据包经过网络检查点时，以高速、实时的方式分析每个数据包的完整内容。这使得控制该检查点的一方——无论是 ISP、政府还是企业 IT 部门——都能对用户的上网行为拥有极高的可见度。
DPI 的工作原理
DPI 通常部署在网络关键节点：ISP 基础设施、国家互联网网关或企业防火墙。其基本流程如下：
- 数据包捕获 —— 流量通过 DPI 设备（硬件或软件）。
- 协议识别 —— 系统识别流量类型：HTTP、DNS、BitTorrent、VoIP、视频流等。
- 特征匹配 —— DPI 将数据包模式与已知应用程序和协议的"特征"数据库进行比对。
- 执行策略 —— 根据策略配置，系统可以放行、封锁、记录、重定向或限速流量。
现代 DPI 引擎能够以线速处理流量，即处理速度足够快，不会造成明显延迟。一些高级系统还采用机器学习技术，即使内容本身已加密，也能通过分析时序、数据包大小分布和连接行为来识别流量模式。
最后这一点至关重要：单靠加密并不总能规避 DPI。 即使 ISP 无法读取你的 VPN 流量内容，仍可能识别出你正在使用 VPN，并据此对该连接进行封锁或限速。
DPI 对 VPN 用户意味着什么
DPI 是 VPN 用户日常遇到的多种问题的核心所在。
VPN 封锁。 中国、俄罗斯和伊朗等国在国家层面使用 DPI 来检测并封锁 VPN 协议。标准的 OpenVPN 或 WireGuard 连接具有可识别的流量特征，因此相对容易被识别和封锁。
带宽限速。 ISP 使用 DPI 识别视频流、BT 下载等高带宽活动，并刻意降低这些流量的速度。这也是人们使用 VPN 的主要原因之一——防止 ISP 根据上网行为来限制连接速度。
企业监控。 雇主和机构在内部网络中部署 DPI，用于监控员工活动、封锁特定应用程序，以及执行可接受使用政策。
网络审查。 政府级别的 DPI 为国家防火墙提供支撑，过滤政治敏感内容、受限服务和境外新闻网站。
VPN 如何应对 DPI
由于 DPI 可通过流量特征识别 VPN 流量，许多 VPN 服务商已开发出混淆技术——将 VPN 流量伪装成普通 HTTPS 网页浏览流量的方法。Shadowsocks、V2Ray 以及各服务商专有的混淆层（如 NordVPN 和 ExpressVPN 所使用的方案）正是专门为突破基于 DPI 的封锁而设计的。
如果你需要在审查严格的地区使用 VPN，或只是想防止 ISP 限速，建议确认所选服务商是否支持混淆服务器或混淆协议。
真实案例
- 中国用户尝试连接标准 VPN —— DPI 检测到 OpenVPN 握手特征并中断连接。而使用混淆服务器时，流量看起来与 HTTPS 无异，得以顺利通过。
- ISP 发现某用户连续数小时流式传输 4K 视频，DPI 将其识别为流媒体流量并进行限速。使用 VPN 后，ISP 只能看到加密数据，无法根据内容类型进行限速。
- 某公司 IT 部门使用 DPI 封锁 Zoom，强制员工使用经过审批的会议工具。
理解 DPI 有助于说明，一款优秀的 VPN 不仅仅提供加密——同样重要的是，那些加密流量能够多好地融入普通网络流量之中。