Ну смотри. У тебя есть роутер провайдера где-нибудь в местном ДЦ. Огромный такой, размером со шкаф. Через этот роутер идут коннекты от тебя во внешний интернет. Коннекты, очень условно, у тебя идут по двум схемам: по домену (в данном случае имеется ввиду поле SNI или там Host, например) и по IP. Если с IP все просто - сайт goatse.cx висит на IP 1.2.3.4, его можно забанить, сразу перестанет работать. Но тут возникает проблема - на одном IP может висеть куча сайтов. Тысячи. Забанишь IP - забанишь кучу невинных сайтов (чем РКН, кстати, успешно занимается). Ну или владелец сайта по щелчку пальцев меняет IP привязанный к домену. Тут в дело и вступает DPI - он смотрит в пакет коннекта к какому именно домену ты коннектишься на IP (Заголовок Host, например) - и блочит именно этот коннект, если он в стоп-листе. Если в стоп-листе домена нет - пропускает. Может еще DNS резать. Или протоколы идентифицировать и блокировать, как пытались с телеграмом, но вышло... да никак не вышло. Правда DPI - жутко дорого, тк это очередная кормушка госконтор и разрабатывать такое позволено только "доверенным" компаниям друзей всяких больших начальников, поэтому многие провайдеры по старинке блочат по IP. Ну и работает он, кстати, соответствующе, обойти такое можно даже без VPN.
Конечно есть статья на Хабре:
https://habr.com/ru/post/111054/
Но может кто кратко объяснить за DPI?
Ну смотри. У тебя есть роутер провайдера где-нибудь в местном ДЦ. Огромный такой, размером со шкаф. Через этот роутер идут коннекты от тебя во внешний интернет. Коннекты, очень условно, у тебя идут по двум схемам: по домену (в данном случае имеется ввиду поле SNI или там Host, например) и по IP. Если с IP все просто - сайт goatse.cx висит на IP 1.2.3.4, его можно забанить, сразу перестанет работать. Но тут возникает проблема - на одном IP может висеть куча сайтов. Тысячи. Забанишь IP - забанишь кучу невинных сайтов (чем РКН, кстати, успешно занимается). Ну или владелец сайта по щелчку пальцев меняет IP привязанный к домену.
Тут в дело и вступает DPI - он смотрит в пакет коннекта к какому именно домену ты коннектишься на IP (Заголовок Host, например) - и блочит именно этот коннект, если он в стоп-листе. Если в стоп-листе домена нет - пропускает. Может еще DNS резать. Или протоколы идентифицировать и блокировать, как пытались с телеграмом, но вышло... да никак не вышло.
Правда DPI - жутко дорого, тк это очередная кормушка госконтор и разрабатывать такое позволено только "доверенным" компаниям друзей всяких больших начальников, поэтому многие провайдеры по старинке блочат по IP. Ну и работает он, кстати, соответствующе, обойти такое можно даже без VPN.