TCP/IP-отпечаток прокси: проверка ОС за 5 минут

Вы настроили антидетект-браузер под Windows и Chrome, подобрали чистый IP, выровняли таймзону и язык, а сайт всё равно ставит капчу или режет аккаунт. Частая причина сидит ниже браузера, на уровне TCP/IP. Сервер видит первый пакет соединения (SYN), и по его полям видно, какая операционная система этот пакет отправила. Если это Linux прокси-сервера, а User-Agent заявляет Windows, антибот получает противоречие, которое заголовками не исправить.

Тема перестала быть экзотикой. 13 октября 2026 года, по данным Proxyway, британский провайдер Byteful включил в открытой бете подмену TCP/IP-отпечатка для датацентровых и ISP-прокси: они умеют выдавать себя за Windows, macOS, Linux, Android и iOS. Объяснение Proxyway простое: антибот-системы всё чаще смотрят на TCP/IP-отпечаток. Ниже разберём, как устроена эта проверка, как за пять минут проверить свой прокси и что делать при несовпадении.

Что такое TCP/IP-отпечаток и почему прокси его меняет

Каждая ОС собирает пакет SYN по-своему: свой начальный TTL, размер TCP-окна, коэффициент масштабирования окна, MSS и, самое важное, набор и порядок TCP-опций. Пассивный фингерпринтинг (классика здесь утилита p0f, современные варианты называются Zardaxt и JA4T) читает эти поля и угадывает ОС, ничего не отправляя клиенту в ответ.

Ключевой момент для тех, кто работает через прокси: сайт видит TCP-стек той машины, которая открывает последнее соединение до него. Обычный прокси (HTTP CONNECT или SOCKS5) принимает ваше соединение и открывает к сайту новое, от своего имени. Поэтому TTL и TCP-опции в пакете принадлежат прокси, а не вашему компьютеру. Сменить User-Agent, TLS-отпечаток или заголовки можно, но SYN уже собран ядром той машины, через которую вы выходите.

Типичные значения по ОС

Ориентиры из разбора Scrapfly и документации pydoll (на конкретных версиях ядра и сетях значения могут отличаться):

Windows 10/11: начальный TTL 128, окно 64240–65535, порядок опций MSS, NOP, WSCALE, NOP, NOP, SACK (без timestamp по умолчанию).
Linux: TTL 64, окно 29200 на ядрах 3.x+ (на части ядер 5.x/6.x 64240), порядок MSS, SACK, TIMESTAMP, NOP, WSCALE.
macOS и iOS: TTL 64, окно 65535, порядок MSS, NOP, WSCALE, NOP, NOP, TIMESTAMP, SACK, EOL.
Android: TTL 64, по порядку опций близок к Linux, что логично, ведь у него ядро Linux.

Отсюда главная ловушка: почти все датацентровые прокси работают на Linux. Профиль «Windows + Chrome» поверх такого прокси несёт в SYN признаки Linux, и это противоречие бросается в глаза сильнее всего.

Насколько точно антиботы ловят несовпадение

Цифры есть у открытого проекта Zardaxt: это переписанные p0f и satori.py, которые ищут именно ретрансляторы, то есть HTTP- и SOCKS-прокси, за которыми браузер выдаёт себя за другую машину. По данным README для сборки от 21 сентября 2026 года (база из 1 453 отпечатков примерно с 23 тысяч сессий):

модель с порогом 0,8 ловит 94,4% соединений через прокси и ошибочно помечает только 0,1% прямых соединений;
если браузер заявляет Windows, прокси ловится в 96% случаев, если Mac, то в 99%;
слабое место это Android и Linux: они делят один класс, поэтому такие ретрансляторы ловятся в 74% случаев;
туннельные VPN модель почти не видит (6,1%): через туннель с сайтом говорит стек вашего собственного устройства.

Сильнее всего ОС выдаёт порядок TCP-опций: в факторном анализе проекта это поле угадывает ОС в 99,1% случаев. Флаг DF почти бесполезен (0,362). Это открытый инструмент одного исследователя, у коммерческих антиботов детали не публикуются, но принцип тот же: сравнить ОС из SYN с ОС из User-Agent.

Как проверить свой прокси: пошагово

Снимите «эталон» без прокси. Откройте в обычном браузере browserleaks.com/tcp. Запишите TTL, MSS, порядок опций, догадку p0f и оценки Zardaxt по ОС. Это ваш реальный стек.
Проверьте прокси из консоли. Выполните запрос через прокси к открытому классификатору:
curl -x http://LOGIN:PASS@HOST:PORT "https://tcpip.incolumitas.com/classify?by_ip=1"
В ответе будет поле avg_score_os_class с баллами по Linux, Windows, Mac OS и iOS. Победитель здесь это ОС выходного узла прокси, а не вашего компьютера.
Повторите в антидетект-профиле. Откройте browserleaks.com/tcp или proxydetect.live/tcpip.html уже в профиле с прокси. Теперь сравнивайте две вещи: ОС из TCP/IP и ОС из User-Agent профиля.
Посмотрите на MSS. Чистая Ethernet-линия даёт MSS 1460. Значения вроде 1380 (WireGuard), 1360 (IPsec) или 1240 говорят о туннеле на пути. Само по себе это не бан, мобильные сети тоже часто дают меньший MSS, но в сумме с другими признаками добавляет подозрений.
Сделайте 5–10 замеров на ротации. На резидентных и мобильных прокси каждый новый IP может быть другим устройством с другой ОС. Один замер ничего не говорит, смотрите распределение.
Сведите в таблицу: тип прокси → ОС по TCP → ОС профиля → совпадение да/нет. Это и есть ответ, какой профиль запускать на каком прокси.

Один TTL как доказательство не годится: видимое значение уменьшается на каждом маршрутизаторе, и сайт оценивает только начальное (64 или 128) по ближайшей степени. Решает связка полей, прежде всего порядок опций.

Что делать при несовпадении

1. Подстройте профиль под прокси, а не наоборот

Самый дешёвый способ: выбрать ОС профиля так, чтобы она совпадала с тем, что показывает выходной узел. Если прокси даёт Linux, честнее запустить Linux-профиль, чем доказывать сайту, что вы Windows. Для задач, где ОС профиля не важна (парсинг публичных страниц, мониторинг цен), это решает проблему целиком.

2. Выберите тип прокси под нужную ОС

Датацентровые прокси почти всегда показывают Linux-сервер из облачного ASN. Это нормально для скрапинга с Linux-клиента (Python, Go, curl на сервере): стек и User-Agent вашего скрипта согласуются. Для профилей «Windows-пользователь» это слабое звено. Датацентровые прокси берите там, где важны скорость и цена за гигабайт, а не легенда «живого человека».
Резидентные прокси выходят через реальные домашние устройства и шлюзы, поэтому сайт видит стек настоящего пользовательского узла. ОС на конкретном IP заранее не гарантирована, зато это стек живого устройства, а не облачного сервера. Для мультиаккаунтинга и сложных антиботов резидентные прокси дают самую естественную картину, если проверить распределение ОС на ротации.
Мобильные прокси показывают пути, похожие на Android или iOS. Под мобильные профили (соцсети, приложения, мобильная версия сайтов) это идеальное совпадение по всем слоям. Подробнее о том, как отличить настоящий сотовый IP от подделки, читайте в нашей инструкции по проверке мобильных прокси. Для таких задач подходят мобильные 4G/5G прокси.

3. Не путайте TCP-слой с TLS-слоем

Инструменты вроде curl-impersonate или curl_cffi подделывают TLS-рукопожатие и HTTP/2 под Chrome, но TCP-стек не трогают: SYN по-прежнему собирает ядро той машины, откуда идёт соединение. Хороший TLS-отпечаток поверх противоречивого TCP не спасает, нужны оба слоя. Как выровнять TLS-часть, разобрано в статье про обход JA4 через curl_cffi.

4. Подмена ОС на стороне прокси и туннели

Провайдеры начинают продавать подмену TCP/IP-отпечатка на своих серверах, пример Byteful выше, но это пока редкость и бета. Есть и обратный путь: туннельные VPN модель Zardaxt почти не ловит как ретранслятор, потому что сайт видит ваш собственный стек. Минусы тоже известны: уменьшенный MSS выдаёт туннель, а IP самого VPN часто числится в базах как хостинговый.

Частые ошибки

Проверять только IP-чекерами. Сервисы IP-репутации смотрят на адрес и ASN, а не на SYN. Чистый IP с Linux-стеком под Windows-профилем проходит чекер и проваливается на антиботе.
Делать вывод по одному замеру на ротации. На резидентном пуле следующий IP может оказаться другой ОС.
Чинить заголовками. Ни один заголовок не переписывает SYN после того, как ядро его отправило.
Игнорировать Android-профили на Linux-прокси. Для открытых моделей это зона неопределённости (74% поимки), но коммерческие антиботы могут добавлять другие сигналы, вроде таймингов и мобильного ASN. Мобильный профиль естественнее смотрится на мобильном IP.

Итог

TCP/IP-отпечаток это слой, который нельзя поправить из браузера: его определяет машина, открывающая соединение до сайта. Проверка занимает пять минут: browserleaks.com/tcp без прокси и с прокси, плюс curl к открытому классификатору. Дальше простое правило: ОС профиля должна совпадать с ОС выходного узла. Датацентр подходит под Linux-скрипты, резидентные прокси под «живые» десктоп-профили, мобильные под мобильные сценарии. Подберите тип прокси под свой профиль, прогоните 5–10 замеров на ротации, и антибот потеряет одну из самых надёжных зацепок.