Есть аноны, которые разбираются в работе DPI?

Недавно 2ch попал в блоклист роскомпозора, после чего MGTS его заблокировали. При попытке подключения вылезает некое говно с самоподписным сертификатом, попытка подключения проваливается. Но интересно вот что, DNS записи точно не перехватываются. Если попытаться подключиться через curl с хедером "Host: 2ch.hk", то на сайт пустит. Бан выдавали по url.

Значит ли это, что у яйцеголовых есть техническая возможность анализировать хэдеры? Как они это делают

Ну давай разберём по частям тобою написанное:

1.При использовании tls, заголовки и коды ответа сервера передаются в зашифрованном виде, такое соединение редиректнуть на заглушку невозможно. Потому что соединение просто не будет установленно из за несоответствия сертификатов.
Но если ты не задал явно, что использовать нужно https, то по умолчанию соединение устанавливается через http. Тогда, понятное дело, всё видно.

2.На одном ip адресе может быть несколько сервисов, и сервер должен знать, к кому ты обращаешься. Поэтому перед хендшейком, клиент передаёт SNI, это по сути и есть url, который и перехватывается фильтром.

Никаких технических возможностей серьезных тут не нужно. Перехватывать SNI могут даже микротики из коробки. Функция 7L filter.
Или openwrt с установленным squid.

Курл, возможно, не проверяет сертификаты.