Ошибочная классификация трафика NTCE

[dimon27254]

@Le ecureuil

Нахожусь в локальной сети своего NC-1812 (установлена NDMS 5.0.0), на котором включен NTCE.

На одном из устройств обращаюсь по домену CrazeDNS к веб-интерфейсу удаленного Кинетика. Как и ожидается, в Анализаторе трафика приложений вижу CrazeDNS.
Затем, не прерывая сессии управления через веб, подключаюсь к этому же удаленному Кинетику по чистому Wireguard (без единого намека на ASC, даже junk packets). Ожидаю увидеть в NTCE протокол Wireguard отдельной строкой, однако там меня встречает приложение CrazeDNS, у которого растет скорость пропорционально потреблению трафика через WG-туннель:

Спойлер

Насколько такое поведение в работе NTCE корректно? 

Изменено вчера в 11:43 пользователем dimon27254

[Le ecureuil]

Абсолютно.

Определяется именно по сочетанию DNS-запрос + адреса в пакетах трафика. Если в DNS пролетело что на этом адресе есть что-то от CrazeDNS, то будет определено именно так.

[Leshiyart]

то есть юзаем клиентом что то удаленное от кина и обходим любые блокировки фильтра? отлично

[Le ecureuil]

13 часов назад, Leshiyart сказал:

то есть юзаем клиентом что то удаленное от кина и обходим любые блокировки фильтра? отлично

Если удаленное от кина не забанено, то будет работать, почему нет?

Это один из самых базовых механизмов как работает распознавание - есть список доменов, ассоциированных с сервисом, ловятся запросы DNS в которых есть такие домены и ответы на них, списки адресов запоминаем. Затем если есть трафик на эти адреса, то это явно этот сервис - все, распознано.

Да, есть кучка сервисов которые имеют жесткие списки адресов типа amazon, но именно по DNS распознается ну очень многое.

[dimon27254]

22 минуты назад, Le ecureuil сказал:

Это один из самых базовых механизмов как работает распознавание - есть список доменов, ассоциированных с сервисом, ловятся запросы DNS в которых есть такие домены и ответы на них, списки адресов запоминаем. Затем если есть трафик на эти адреса, то это явно этот сервис - все, распознано.

Да, есть кучка сервисов которые имеют жесткие списки адресов типа amazon, но именно по DNS распознается ну очень многое.

Я изначально предполагал, что NTCE распознает домены не по DNS-запросам, а из SNI в TLS Client Hello.

Изменено 5 часов назад пользователем dimon27254

[Leshiyart]

57 минут назад, Le ecureuil сказал:

Если удаленное от кина не забанено, то будет работать, почему нет?

ну вот выше пример, запретили мы допустим вг фильтром(еще какойто впн), клиент берет удаленный кин, тычется ему в морду и у него начинает работать вг.
это условный пример и можно пофантазировать как это еще может сработать неправильно

[Le ecureuil]

1 час назад, dimon27254 сказал:

Я изначально предполагал, что NTCE распознает домены не по DNS-запросам, а из SNI в TLS Client Hello.

И это тоже, но не всегда доступен TLS и не все протоколы его используют.