Encrypted Traffic Classification (ETC)

Что такое Encrypted Traffic Classification (ETC)?

ETC — технология, позволяющая определить тип трафика (YouTube, VPN, Steam, Teams и др.) без расшифровки. Она используется для:

• Обнаружения обходов фильтрации

• Приоритезации видео или VoIP

• Повышения эффективности DPI

Как работает ETC?

Принцип действия

ETC анализирует:

• Поведение сессий: размер пакетов, интервалы, направление

• Метаданные: TLS fingerprints, SNI, JA3, QUIC-идентификаторы

• ML-модель: классифицирует по признакам поведения, а не содержимому

Пример: трафик Netflix можно узнать по паттерну сегментированной доставки и длинным keep-alive сессиям даже при QUIC + TLS 1.3

Этапы классификации

1. DPI-ядро перехватывает и агрегирует метаданные

2. ML-инференс анализирует поток

3. Система назначает тег (например, EncryptedVideo или VPN-Tunnel)

4. Политики QoS или блокировки применяются по тегу

Инструкция: Как проверить наличие ETC в DPI

1. Откройте интерфейс DPI

2. Найдите раздел «Encrypted Apps»

3. Проверьте наличие категорий: TLS Video, QUIC, VPN

4. Сравните трафик с real-time метриками (например, NetFlow, sFlow)

В чём отличие от SNI-фильтрации?

FAQ

Используется ли ETC в России?

Да. Например, в DPI Sinjinat, установленных у крупных операторов (включая проекты в СНГ), ETC активен по умолчанию. В некоторых ведомственных DPI (например, в системах РТК или ТТК) он используется для контроля VPN.

Требуется ли расшифровка TLS?

Нет. В этом суть ETC: трафик остаётся зашифрованным, но определяется поведение.

На каких портах работает?

ETC не зависит от портов — он анализирует поток независимо от назначения (TCP/UDP 443, 80, 853 и даже нестандартные).

Вывод

ETC — ключевой инструмент в эпоху шифрования всего трафика. Он позволяет видеть «вглубь» без дешифровки, что делает его незаменимым для DPI, CGNAT, BRAS и граничных решений провайдеров. Особенно актуален в регионах, где VPN — не редкость, а повседневность.