深度封包檢測（DPI）如何運作：網路審查的技術基礎

想像你寄出一封信件。郵差看得到信封上的寄件人和收件人地址，但看不到信紙上寫的內容。現在，假設有一個檢查官不滿足於只看地址——他想知道信件內部寫的是什麼，所以他開始檢查每一封信。他甚至可以根據信紙的厚度、筆跡的節奏、使用的紙張類型來猜測內容的性質，即使信件被裝在不透明的信封裡。這就是深度封包檢測（Deep Packet Inspection，簡稱 DPI）在網際網路上的運作方式。

什麼是封包與傳統的檢查方式

網際網路上的每一條訊息都被分成小塊，稱為「封包」（packet）。每個封包有兩個主要部分：標頭和載荷。標頭包含基本資訊，像是寄件地址（來源 IP）、收件地址（目的地 IP）、使用的通訊協議（HTTP、HTTPS 等）。載荷是實際的資料——你瀏覽網頁時的內容、你傳送的訊息、你下載的檔案。

傳統的網路檢查方式只看標頭。網路管理員或防火牆檢查「這個封包來自哪裡」和「要去哪裡」，然後決定允許或阻止它。這就像郵差只看信封地址，不打開信件。這種方式很快，很便宜，但無法看出流量內部實際在發生什麼。

深度檢測：從信封到信件內容

深度封包檢測做的事情完全不同。它不僅查看標頭，還會檢查封包的載荷——實際的資料內容。對於未加密的流量（例如舊的 HTTP 網站），這相對簡單：檢查系統可以直接讀取內容。但現代網際網路上大多數流量都是加密的，所以載荷看起來像亂碼。

但這裡有個關鍵點：即使資料被加密，封包仍然會洩露模式。想像一個上鎖的信箱——你看不到裡面的內容，但可以根據信箱的形狀、大小、發出的聲音，甚至打開和關閉的頻率來猜測裡面是什麼。DPI 系統正是這樣工作的。

通過流量特徵識別協議

DPI 系統可以根據幾種特徵來識別網路流量的類型，即使流量是加密的：

握手指紋。當兩台電腦建立連線時，它們需要進行初始對話來協商如何通訊。這個過程稱為「握手」。不同的應用和協議使用不同的握手模式——大小、順序、時序都不同。一個 VPN 用戶端的握手看起來與普通 HTTPS 連線不同，就像你的簽名與別人的簽名不同。

封包大小和時序模式。一個視訊會議會產生持續的、中等大小的封包。一個傳輸大型檔案會產生非常大的封包。一個聊天應用會產生小的、不規則的封包。即使你無法解密這些封包，這些模式本身就像指紋一樣可以識別。

DNS 查詢。當你訪問一個網站時，你的電腦首先需要查詢網域名稱系統（DNS）來找到網站的 IP 地址。即使你的 VPN 加密了其他流量，這些 DNS 查詢有時也會被看到，洩露你訪問的網站。

協議探測。一些 DPI 系統會故意傳送探測資料給連線，觀察它如何回應。不同的應用和協議會以不同的方式回應，就像用特定的敲門方式來識別房間裡是誰。

審查中的 DPI：VPN 協議的檢測

某些國家使用 DPI 來識別和阻止特定的 VPN 協議。例如，中國、伊朗和俄羅斯等地的當局已經部署了 DPI 系統，可以識別熱門 VPN 協議的特徵握手和流量模式，然後阻止它們。

這就是為什麼 VPN 開發者開始使用「混淆」（obfuscation）工具。混淆的想法很簡單：把 VPN 流量改裝成看起來像普通流量。工具如 obfs4 和 V2Ray 會把加密的 VPN 資料包裝成看起來像 HTTPS 網頁流量的樣子。另一個較新的工具，REALITY，嘗試讓 VPN 流量看起來完全像訪問普通網站。

這開啟了一場無止境的軍備競賽。當檢查系統學會識別一種混淆方法時，開發者就改進混淆。當檢查系統變得更聰明時，混淆層變得更厚。

DPI 為什麼不是全球問題

儘管 DPI 很強大，但它有一個關鍵的限制：成本。大規模部署 DPI 需要大量的計算資源。檢查每一個經過的封包，特別是在一個國家級別的網際網路骨幹上，需要非常昂貴的硬體和軟體基礎設施。

這就是為什麼只有資金充足的國家才能廣泛實施 DPI。大多數互聯網服務提供商和較小的國家無法承擔檢查每個使用者的每個流量位元組的成本。

結論和進一步探索

深度封包檢測代表了網路審查中一個重要的技術升級。它展示了即使加密，網際網路流量仍然會洩露有關其本性的資訊。但它也不是完美的——它昂貴、計算密集，並且在智能混淆面前容易受挫。

要深入理解網路審查的全貌，你應該探索相關概念：DNS 過濾、BGP 劫持、流量分析如何在加密下仍然可能洩露信息，以及混淆工具的最新發展。每一層都增加了複雜性，但沒有一層是完美的。