WireGuard — редкий случай, когда протокол полюбили за минимализм. Но именно предсказуемая структура хендшейка сделала его лёгкой мишенью для DPI. Теперь идём на второй круг.
🔹 Первая волна маскировки: мусорные UDP-пакеты перед хендшейком. Идея — сбить анализатор, но сигнатура самого handshake оставалась нетронутой, так что это не помогло надолго.
🔹 Современный подход — имитация другого трафика. Вместо того чтобы прятать WireGuard, его выдают за что-то привычное: QUIC (HTTP/3), обычный HTTPS или даже DTLS.
🔹 Основной инструмент — прокси-прослойка перед самим WireGuard. Она перепаковывает пакеты в формат легального протокола, что для DPI выглядит как обычный зашифрованный веб-трафик.
🔹 Цена вопроса: неизбежный оверхед. Чем сложнее имитация, тем больше дополнительных вычислений и выше latency. За маскировку всегда платишь производительностью.
Вывод: WireGuard не умер, он просто надел маскарадный костюм. Теперь блокировщикам придётся искать не паттерны протокола, а аномалии в поведении трафика — что на порядок сложнее.
#WireGuard #DPI #VPN #протоколы
