No todas las herramientas de evasión y network tampering tienen nombres pegadizos como Obfsproxy o Shadowsocks. A veces basta con un acrónimo directo y efectivo: NoDPI — una utilidad diseñada para bypassear sistemas de Deep Packet Inspection (DPI), que se ha convertido en una opción ligera y práctica frente a soluciones más complejas o intrusivas.
Hoy vamos a destripar qué es, cómo funciona, cómo se usa en bruto, y por qué todavía vale la pena mirarla técnicamente a pesar de sus limitaciones inherentes.
Tenéis el repo aquí: https://github.com/GVCoder09/NoDPI. Como dato curioso: el código completo de NoDPI está escrito exclusivamente en Python y usa sólo la biblioteca estándar — no hay dependencias de terceros ni módulos binarios complicados.
En esencia, NoDPI es un proxy HTTPS que modifica artefactos de las conexiones TLS para “engañar” a los sistemas de inspección profunda de paquetes. Su enfoque no es criptografía avanzada, ni túneles sofisticados: es modificar la forma en que se presenta el ClientHello al mundo, obligando a los DPI a perder la pista de qué dominio está siendo visitado.
- Interceptor de ClientHello: la herramienta escucha tráfico saliente.
- Fragmentación de handshake TLS: se divide el mensaje ClientHello en múltiples trozos con longitudes variables o por partes de SNI.
- Rearmado creativo: cada fragmento se envuelve con encabezados de ClientHello y se reensambla para “confundir” al DPI.
- Forzar TLS 1.3 en todos los casos — no porque haga la conexión más segura en sí misma, sino porque los DPI aún tienen más dificultades para reintegrar partes fragmentadas bajo esa versión.
Es importante entender que esto no oculta tu tráfico ni cifra más allá de HTTPS estándar: tu ISP sigue viendo qué IP’s contactas, simplemente se torna más difícil para sus DPI extraer metadatos del proceso TLS.
Su uso es muy sencillo. Primero descargamos y desempaquetamos una release desde GitHub:
wget https://github.com/GVCoder09/NoDPI/archive/refs/heads/main.zip
unzip main.zip && cd NoDPI-main
./nodpi --blacklist ./blacklist.txtEjecutamos y, para que funcione, configuramos el navegador o sistema para usar el proxy localhost:8881. A partir de ahí, NoDPI intercepta las peticiones HTTPS y aplica su magia de fragmentación.
==================================================
NoDPI Proxy v1.0.0 started
Listening on: 127.0.0.1:8881
Loading blacklist: ./blacklist.txt
Fragmentation method: random
Domain matching: strict
==================================================./nodpi --fragment-method sni \
--domain-matching loose \
--autoblacklist \
--log-access /var/log/nodpi_access.log \
--log-error /var/log/nodpi_error.log
--fragment-method: cambia entre random (aleatorio) y sni (basado en SNI) — el método SNI suele funcionar mejor cuando el bloqueo se basa en dominios específicos.--domain-matching {loose,strict}: si tu blacklist es ambiguo o quieres patrones parciales, cambia el matching.--autoblacklist: habilita detección automática de dominios bloqueados mientras se capturan errores/tiempos de fallo.Limitaciones reales y cuando NO usar esta herramienta
Nadie dijo que brincar DPI fuera fácil. Entre las advertencias más importantes:
- Solo funciona con tráfico HTTPS; HTTP no se “desbloquea” porque no hay encapsulación TLS que fragmentar.
- Bloqueos por IP no se saltan; si el ISP simplemente filtra IP’s enteros, NoDPI no hace nada.
- Redes modernas DPI pueden evolucionar y aprender a reensamblar fragmentaciones complejas, reduciendo la efectividad de este enfoque.
- Instagram y Facebook en 2025 estaban entre los sitios que no se desbloqueaban con esta técnica.
Además, hay alternativas con métodos más agresivos de evasión (p. ej., GoodbyeDPI, Green Tunnel) que pueden comportarse mejor dependiendo de cómo se implementen los bloqueos específicos.
Comentarios
Publicar un comentario