深度包检测（DPI）

深度包检测（Deep Packet Inspection，简称 DPI）是一种网络数据包过滤与分析技术，它不只查看数据包的头部信息，还会深入检查数据部分（载荷）的实际内容，从而判断流量属于什么协议、什么应用，并决定放行、拦截、限速或改道。

概述

普通网络设备转发数据时只需读取 IP 头部即可完成工作；再进一步查看 TCP、UDP 等传输层头部的技术，通常称为浅层包检测，常见形态就是状态防火墙。而 DPI 更进一步，直接「拆开信封读信」——分析应用层载荷中的特征，例如协议指纹、关键字、文件特征码等，因此能识别出仅凭端口号无法判断的流量类型。

DPI 的用途相当广泛：安全厂商用它检测病毒、垃圾邮件和入侵行为；运营商用它做流量统计、按应用限速（QoS）；而在一些国家和地区，DPI 也是网络审查系统的核心组件，用于识别并阻断特定网站或代理工具的流量。部署上，常通过端口镜像或光纤分光器把流量复制一份送入检测设备，从而在不影响转发的情况下完成分析。

主要特点

• 深入应用层：检查数据包载荷内容，而非仅看 IP、TCP 等头部信息。
• 协议与应用识别：通过特征匹配和行为分析，识别流量属于网页、视频、下载还是代理工具。
• 多种处置动作：可放行、丢弃、限速、重定向流量，或仅做记录与统计。
• 旁路或串联部署：既可通过分光、镜像旁路分析，也可串联在链路中实时拦截。

DPI 与翻墙

在中文网络语境下，DPI 常与防火长城（GFW）联系在一起。GFW 借助 DPI 识别翻墙流量的协议特征，即使流量走的是常见端口也可能被识破。为对抗这种检测，各类代理协议不断演进：Trojan、VLESS + REALITY 等方案将代理流量伪装成普通 HTTPS 流量，让其在 DPI 眼中与正常访问网站的行为难以区分，这也是近年翻墙协议设计的核心思路。

常见问题

问：DPI 能看到 HTTPS 加密的内容吗？答：一般不能直接读取加密后的正文，但握手阶段暴露的 SNI（目标域名）、证书信息以及流量的时序、包长等特征仍可被 DPI 分析利用，因此加密不等于完全隐身。

问：DPI 和普通防火墙有什么区别？答：普通（状态）防火墙主要依据 IP、端口等头部信息做规则匹配，属于浅层检测；DPI 则深入数据包内容识别具体应用，检测精度更高，但计算开销也更大。

问：如何降低被 DPI 识别的风险？答：常见思路是让流量「长得像」正常流量，例如使用基于 TLS 的伪装协议、启用 ECH/加密 SNI 等技术，减少可供特征匹配的明文信息。