WebSocket被DPI中断的典型现象是客户端报“WebSocket is closed before the connection is established”或服务端在101响应后几秒内收到TCP RST，Wireshark可见RST发生在Upgrade完成之后，表明中间设备主动断连；wstunnel通过TLS加密+WebSocket封装TCP流实现稳定绕过，HTTP/2伪装需禁用Upgrade头并使用非标准路径。
WebSocket连接被DPI中断的典型现象
客户端反复收到 WebSocket is closed before the connection is established 或服务端日志显示连接在 101 Switching Protocols 后几秒内被重置，Wireshark 抓包可见 TCP RST 出现在 HTTP Upgrade 流程完成之后——这基本锁定是中间网络设备（如企业防火墙、运营商 DPI 系统）在应用层识别并主动断连 WebSocket 流量，而非 TLS 握手或 DNS 层问题。
wstunnel 是目前最稳定绕过DPI的方案
它不试图“伪装” WebSocket，而是把 WebSocket 协议作为传输通道，真正承载的是原始 TCP 流（比如 SSH、RDP、自定义协议）。DPI 设备通常只做浅层协议识别，对 WebSocket 帧内加密载荷无从解析。
- 服务端启动：
wstunnel server wss://0.0.0.0:443 --restrict-to 127.0.0.1:22 --ssl（强制 HTTPS + TLS，避免明文被干扰） - 客户端建立隧道：
wstunnel client -L tcp://127.0.0.1:2222:127.0.0.1:22 wss://your-domain.com:443 - 关键点：所有流量经 TLS 加密后封装进 WebSocket 帧，DPI 只能看到加密的 WSS 流量，无法提取内部 TCP 内容
备用方案：HTTP/2 伪装 + 路径混淆
部分 DPI 对 Upgrade: websocket 头敏感，但对 HTTP/2 的多路复用和动态头部压缩识别较弱。可改用 h2c（HTTP/2 without TLS）或真实 TLS 的 HTTP/2 长连接模拟流式行为。
WebSocket 8.18.2 是该协议规范的一个重要迭代版本，主要优化了连接稳定性与数据传输效率。它通过全双工通信机制，允许客户端与服务器在单一长连接上实时交换数据，大幅降低传统 HTTP 轮询的开销。该版本增强了心跳保活、自动重连及二进制帧传输能力，适用于即时通讯、在线游戏及金融行情推送等低延迟场景，为开发者提供更可靠的实时网络交互基础。
- 服务端用 Caddy/Nginx 配置 HTTP/2 endpoint，路径设为
/api/v2/stream等非标准名，避免触发 WebSocket 关键词规则 - 客户端用
fetch()+ReadableStream持续拉取 chunked response，服务端保持连接并按需推送数据 - 注意：必须禁用
Connection: upgrade和Upgrade: websocket，否则仍会被 DPI 标记
不要依赖单纯编码或大小写混淆
WebSocket 断连由 DPI 主动注入 RST 导致，不是 WAF 对 payload 的正则过滤。把 Sec-WebSocket-Key 做 Base64 双编码、或把 websocket 写成 WebSockEt 完全无效——DPI 不解析这些字段，它只匹配协议握手特征和流量行为模式。
真正起作用的是协议栈层级的切换（WebSocket → TLS+TCP over WS）或语义规避（不用 WebSocket 协议，改用 HTTP/2 流），而不是字符串层面的“绕过”。
