Один сетевой признак не доказывает наличие посредника, но повторяющиеся несоответствия в нескольких сессиях могут указывать на прокси или TLS-инспекцию.
В Wireshark анализируют:
• TLS Alert — особенно при повторяющихся сбоях handshake;
• `tcp.flags.reset == 1` — сбросы после Client Hello или Server Hello;
• `tls.handshake.extensions_server_name` — соответствие SNI, DNS-ответа и IP назначения;
• `tls.handshake.extensions_alpn_str` — неожиданный переход, например с HTTP/2 на HTTP/1.1;
• `tls.handshake.type == 1` и `tcp.stream` — повторные Client Hello после FIN/RST;
• `tcp.analysis.retransmission || tcp.analysis.out_of_order` — закономерные потери и переупорядочивание пакетов.
Дополнительно используйте Statistics → Conversations → TCP и Follow → TCP Stream, чтобы сопоставить TCP- и TLS-handshake, Alert, retransmission и завершение соединения. Divergence между DNS, SNI, TLS и TCP требует проверки: причиной также могут быть CDN, балансировщик или корпоративная инфраструктура.
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.