tupoleon

ТСПУ для самых маленьких

2026-08-26T23:10:34+03:00

Последние годы Роскомнадзор (далее - РКН) все активнее развивает свои ТСПУ для блокировки разнообразного контента в сети. Это вызывает множество негодования и вопросов у обывателей. В этой статье не будет инструкций по настройке VPN или каких-либо других инструкций по обходу блокировок. Я просто постараюсь коротко ответить, почему ваш VPN вдруг перестал работать.

Сразу дисклеймер: в статье очень много технических упрощений и аналогий, чтобы вы могли поделиться ею даже с бабушкой.

Что такое этот ваш ТСПУ

Для начала давайте разберемся, что же такое ТСПУ. Но чтобы говорить о ТСПУ, для начала давайте разберемся с DPI.

DPI - это технология глубокого анализа пакетов. Грубо говоря, технология, которая позволяет залезать в ваш трафик и смотреть, что же такого вы там делаете в интернете. Когда вы пишете в адресную строку домен запрещенного сайта, вы как бы через интернет посылаете некий конверт, на котором написан адресат. В обычном случае ваш интернет-оператор доставит этот конверт адресату, а тот, в свою очередь, ответит вам новым письмом, в котором и будет лежать ваш контент. Так вот, если блокировка по адресату - это простой фильтр, который легко обходится самым банальным проксированием, то DPI позволяет вскрыть письмо и посмотреть его содержимое.

Как работает в данной схеме VPN? VPN, если продолжать аналогию с письмами, просто пересылает их дальше. Грубо говоря, на конверте вы пишете не адрес того, что вам действительно нужно, а адрес VPN-сервиса. РКН видит, что адресат не находится в черном списке, и пропускает такое письмо. VPN, когда получает ваше письмо, вскрывает его и видит в нем информацию о том, кому вы действительно хотели его отправить, переупаковывает его в другой конверт и отправляет дальше. Получая ответ от вашего адресата, он также переупаковывает его в другой конверт и присылает вам.

Вся эта логика реализуется VPN-клиентом - приложением, которое вы устанавливаете на свои устройства. Оно переупаковывает ваши пакеты (письма) таким образом, чтобы адресатом для них являлся VPN-сервер, а в содержимое писем добавляет информацию о том, кому в действительности они адресовались.

Теперь, когда мы разобрались с VPN, можем немного вернуться назад и разобраться с DPI. С помощью этой технологии РКН вскрывает пакеты, видит в них информацию о том, что они на самом деле адресуются на запрещенные ресурсы, и просто блокирует их.

А где же в этой схеме ТСПУ? ТСПУ (технические средства противодействия угрозам) - железные коробки с DPI, которые государство поставило в сети всех провайдеров страны. Через них проходит весь ваш трафик. РКН может в реальном времени замедлить или заблокировать что угодно - одной кнопкой, без участия провайдера.

Немного о VPN

Существует очень много разных протоколов VPN. Протокол - это, по сути, набор правил для «переупаковки» пакетов и их последующей переадресации. РКН физически не может научить свои DPI определять по содержимому пакетов все возможные VPN. Также очень многие VPN-протоколы невероятно востребованы в корпоративных средах, и заблокировать их означало бы сломать легальный бизнес. Перед DPI стоит задача не только определять VPN как таковой, но и понимать, что он адресуется к нелегальному сервису.

Часто такие попытки у РКН выливаются в серьезные сбои. Например, 10 марта 2021 года РКН замедлил Twitter через ТСПУ по доменным именам. Операторы ТСПУ вписали регулярное выражение для замедления картинок с домена t.co (сокращалка Twitter), но не поставили якоря границ строки. В итоге ТСПУ замедлил все сайты, где в названии встречалось сочетание t.co. Под раздачу попали microsoft.com, githubusercontent.com, reddit.com, rt.com и championat.com. Параллельно легли сайты Кремля и самого РКН.

Поэтому борьба РКН с VPN превращается, по сути, в бесконечные кошки-мышки, где первые пытаются постоянно придумать новые правила фильтрации трафика, а вторые лучше притвориться чем-то другим, чтобы под них не попасть.

Почему мой VPN перестал работать?

Честно говоря, ответов на этот вопрос может быть просто безумное количество. От совершенно банального, где IP-адрес сервера напрямую попадает в черный список, до блокировок DPI по статическим маркерам. Иными словами, DPI умеет статически предполагать использование вами VPN и просто замедлять или полностью обрывать соединение по запрашиваемым адресам. Например, если весь ваш трафик — это UDP-пакеты на один конкретный адрес, это странно — в бан. Именно по этой причине один и тот же VPN может то работать, то не работать в одинаковых условиях использования.

Важно понимать, что абсолютной панацеи никогда не будет! Даже идеально настроенная непрошибаемая связка Xray VLESS-Reality рано или поздно может быть обнаружена по косвенным признакам. И РКН просто вносит IP-адреса в свои черные списки.

Обновления правил DPI распространяются по ТСПУ провайдеров далеко не равномерно. Поэтому совершенно запросто может быть такое, что в сети Wi‑Fi (домашнего проводного интернета) ваш VPN работает, а вот в мобильной сети — уже нет. Или наоборот.

Как именно РКН может собирать информацию о возможном VPN, чтобы впоследствии просто забанить этот IP? Вопрос хороший, и ответов на него тоже много. Например, за него это могут делать почти все отечественные сервисы. Приложение MAX регулярно делает множество сетевых запросов в фоне. Оно стучится, например, даже в Telegram, и если он открывается, это означает, что у вас VPN. Далее последует запрос в сервис определения IP и последующая передача в РКН. Если вы настроили VPN так, что он только в зарубежные ресурсы ходил через прокси, это тоже не поможет. MAX увидит, что зарубежный сервис определения IP возвращает значение, отличное от нашего.

Таким образом, даже если вы идеально спрятали трафик, РКН рано или поздно, скорее всего, найдет ваш VPN-сервер.

Мой опыт дистрохоппинга

2026-08-18T02:30:34+03:00

Мой опыт знакомства с дистрибутивами Linux начался с дистрибутива Linux Lite. Именно этот дистрибутив я впервые установил на свой компьютер. У меня был невероятно старый ноутбук Dell самого начала нулевых. Его хотелось как-то реанимировать и пустить в строй. Ни о какой Windows даже речи быть не могло. Я искал максимально легковесную систему, и Linux Lite идеально подошла.

Конечно, она не была самой легковесной. Можно было бы выбрать Alpine или собрать что-то свое на базе Arch или Gentoo, но мне хотелось чего-то максимально простого.

После того как ноутбук получил вторую жизнь, я неистово загорелся Linux. Мне хотелось пробовать всё и вся. И вот сейчас, по прошествии многих лет, Linux моя основная система для всего.

Первым дистрибутивом, на котором я провёл довольно много времени, была elementary OS. Тогда я много лет сидел исключительно на macOS, и, очевидно, мне хотелось чего-то похожего. Не могу сказать, что у elementary OS были какие-то серьёзные недостатки, из-за которых мне пришлось с неё уйти, хотя сейчас, конечно, я бы в неё не вернулся. Она просто мне поднадоела, а мне ужасно хотелось пробовать что-то новое.

И так шаг за шагом я пробовал всё новые и новые для себя дистрибутивы: от всех хотя бы немного известных, которые так или иначе происходят от Ubuntu, до совсем никому не нужных — например, Hannah Montana Linux и Slackware. Если вы обиделись, что я поставил Slack в один ряд с Hannah Montana, не обижайтесь.

Первые выводы

Через какое-то время бесконечных странствий по просторам Linux дистрибутивов ты понимаешь, что мир Linux на самом деле не такой уж и разнообразный, как о нём слогают легенды. Да, различных дистрибутивов, наверное, тысячи, но реально значимых различий в них нет. Можно выделить, наверное, с десяток дистрибутивов, которые являются корневыми прародителями и имеют между собой какие-то фундаментальные отличия. Все остальные - их копии, отличающиеся только графическим окружением и набором предустановленных пакетов.

Кстати о графических окружениях. Если вы погуглите, найдёте примерно пару десятков различных. Но реально их всего два: KDE и GNOME. Ничего больше, сопоставимого по качеству, вы не найдёте. Я даже не буду говорить про дизайн, хотя погуглите, как выглядит Xfce или LXDE, я говорю именно про качество и скорость разработки. Реально крупных и современных рабочих окружений всего два! Все остальные безнадёжно устарели даже в рамках своей парадигмы.

Возьмём, например, Pantheon - который используется в elementary OS. Рабочее окружение, которое задумывалось как реальная альтернатива macOS, сейчас может разве что конкурировать с macOS образца 2014 года. Сейчас даже самый ванильный GNOME больше macOS, чем сам Pantheon.

И так мы приходим к выводу, что все реальные дистрибутивы, у которых есть поддержка, большое сообщество, хорошая документация, понятный и адекватный цикл разработки, можно посчитать по пальцам одной руки. А графические окружения, которые мы можем с ними использовать, сводятся к двум. Ну максимум к трём, если мы захотим использовать что-то не обычное, например тайловые оконные менеджеры (обожаю Hyprland) или что-то супер-древнее просто ради фана.

Для себя я выделил трёх основных мастодонтов. Именно о них дальше и пойдёт речь:

Ubuntu

Ubuntu - дистрибутив, на котором я провел суммарно меньше всего времени из тех, о которых в дальнейшем пойдет речь. Однако он попал в этот список, потому что является одним из крупнейших и понятных дистрибутивов. Ubuntu полностью разрабатывается и поддерживается компанией Canonical. Canonical принимает множество спорных решений, которые потом порождают кучу споров на форумах. Но тем не менее дистрибутив остается, невероятно, востребованным.

Плюсы

Простая и очень быстрая установка. Ubuntu всегда славился своей простотой и понятностью. Если вы умеете переустанавливать Windows, то удивитесь, насколько проще поставить Ubuntu. Также все драйверы, которые вам понадобятся для работы, уже скорее всего будут идти из коробки. Передайте привет Windows с ее установкой драйверов для Wi‑Fi адаптера.
Не нужны абсолютно никакие знания для использования. Если в голове остался стереотип, что Linux сложный, попробуйте Ubuntu. Если вы будете оценивать его без ложных ожиданий увидеть «вторую Windows» и хотя бы попробуете проникнуться вы сразу заметите, что он куда более простой, чем кажется. И по простоте использования рядовым пользователем он точно не уступает Windows или macOS.
У Ubuntu есть (почти) официальные сборки на все популярные среды рабочих окружений. Вы можете попробовать Ubuntu как с KDE, GNOME или Xfce. Все это будет поддерживаться Canonical и иметь абсолютно такую же пакетную базу.
Практически все проблемы, с которыми вы в принципе можете столкнуться в Linux, имеют описанное решение для Ubuntu. Это самый популярный дистрибутив, поэтому вы точно не останетесь один на один с какой-либо проблемой.
Snap. Честно говоря, Snap можно отнести как к плюсам, так и к минусам. Кто-то скажет, что Snap — это громоздкая, медленная и крайне сомнительная проприетарщина, которая агрессивно навязывается Canonical. И это будет правдой. Однако Snap очень стабильный и удобный. Да, он громоздкий и медленный, но работать с пакетами Snap одно удовольствие. Они предсказуемо себя ведут и с куда меньшей вероятностью сломаются. Snap также поддерживает CLI-пакеты. Например, вы можете поставить себе Docker snap-пакетом и работать с ним через CLI. Также Snap Store имеет огромную библиотеку программ.
Deb-пакеты есть почти везде. Если программа, которую вы хотите установить, имеет сборку под Linux, скорее всего там будет deb-пакет, который вы сможете установить.
Ваш рабочий сервер скорее всего будет на Ubuntu. Точную статистику я вам не скажу, но мне кажется, что процентов 90% серверов, с которыми я работал, были на Ubuntu.

Минусы

Если вы занимаетесь разработкой, то штатные репозитории вам покажутся бедными. Это странно звучит в адрес Ubuntu, но у него реально довольно бедные репозитории. Для кучи софта под разработку вам придется подключать какие-то сторонние репозитории.
Очень неудобный пакетный менеджер. Apt морально устарел. Он ужасно медленный и работать с ним сплошная головная боль.
btrfs не идет как файловая система по умолчанию.
Абсолютно беспонтовый.

Fedora

Fedora - дистрибутив, на котором я провёл суммарно больше всего времени. В сообществе этот дистрибутив принято называть испытательным полигоном, так как на нём испытывают все новые технологии. В связи с этим люди часто боятся этого дистрибутива, ожидая от него нестабильности. Однако весь мой опыт взаимодействия с Fedora говорит об обратном. Из всех дистрибутивов, которые мне довелось использовать, Fedora показалась мне самой стабильной.

Плюсы

Ванильный GNOME. Если вам нравится GNOME, вы пришли по адресу. Тут будет самый ванильный и самый современный GNOME.
Fedora всегда на острие технологий. Тут будет всё самое свежее. Если завтра выйдет новый графический сервер, послезавтра он будет в Fedora. Не факт, что он там останется, но сообщество его попробует.
Просто невероятная стабильность. Если вы сами не сломаете себе дистрибутив, он будет работать как швейцарские часы.
Отличный пакетный менеджер DNF. Да, он медленный, но он чертовски удобен.

Минусы

Бедные репозитории из коробки. Да, ещё беднее, чем в Ubuntu. Тут вам придётся на каждый чих искать репозиторий.
Иногда бывают трудности с драйверами.
Для использования нужно немного знаний.

Arch

Arch - пожалуй, самый интересный дистрибутив. Arch - это конструктор, на базе которого вы можете собрать что угодно. По большому счёту, Arch это загрузчик, набор репозиториев, базовый комплект юниксовых утилит и пакетный менеджер. Дальше вы собираете себе систему как вашей душе угодно. Самостоятельно! Вы сами выбираете и устанавливаете всё.

Плюсы

Очень богатые репозитории. Из всех Linux-дистрибутивов, которые я использовал, у Arch самые богатые репозитории. Любые инструменты или софт для разработки ставятся одной командой без боли, и почти всегда всё есть. Отдельно можно упомянуть AUR. Это дополнительный репозиторий, который каждый может чем-то дополнить. Вследствие чего там есть, наверное, буквально всё. Хотя из минусов - каждый может залить туда что угодно.
Пакетный менеджер Pacman, наверное, самый лучший из всех пакетных менеджеров. Он и удобен, и очень быстр.
Только на Arch можно без бубнов ставить тайловые оконники. Тут стоит отметить, что есть ещё много дистрибутивов, на которые можно ставить тайловые оконники даже проще, но они не попали в мой список по другим причинам, которые, скорее всего, ранее уже были описаны.
Гибкость в конфигурации и настройке. Как уже говорилось выше, на базе Arch вы можете собрать что угодно - систему, в которой абсолютно каждый пакет будет подобран вами, где будет всё только самое необходимое и абсолютно ничего лишнего.
Шикарная документация к дистрибутиву. Arch обладает одной из самых качественных и богатых документаций.
Очень богатое и дружелюбное сообщество. Если вы впервые ставите Arch и у вас не получается разметить диск, вы всегда можете обратиться в сообщество, и вам помогут.

Минусы

Очевидный минус рождается из плюса: если всё можно настроить, тебе всё придётся настроить. Arch довольно сложен в установке. Даже опытному пользователю придётся потратить вечер на установку и настройку.
Приходится часто решать проблемы.
Очень тяжело с драйверами для всяких дополнительных устройств. Но, к счастью, есть сообщество, которое может поделиться каким-либо решением. А ещё вы всегда можете написать драйвер сами. Вы же, btw, I use Arch.
Обновления не всегда стабильны.
Для комфортного использования нужны довольно серьёзные знания.

Главный вывод

Обычно в подобных выводах всё начинается с того, что Ubuntu рекомендуется новичкам. Я же хочу пойти от обратного:

Если вы ищете суперстабильный дистрибутив и у вас есть желание поразбираться с репозиториями и драйверами, это Fedora.
Если вы ищете платформу-конструктор, на базе которой хотите собрать систему максимально под свои нужды, где не будет абсолютно ничего лишнего, это Arch.
Во всех остальных случаях просто выбирайте Ubuntu.

Зачем я сделал REST API для WireGuard?

2026-08-15T23:36:34+03:00

Несколько лет назад у меня возникла весьма серьезная потребность в VPN. Честно говоря, до того времени VPN у меня ассоциировался исключительно с какими-то корпоративными сетями и трекерами, доступ к которым нельзя было получить из России. Как же хорошо, что все меняется!

Мне посчастливилось начать свое погружение в сети с WireGuard. WireGuard напоминает какое-то криптографическое произведение искусства — с учетом того, на сколько он миниатюрен и эффективен. Поначалу я вручную разворачивал WireGuard на сервере и затем, используя максимально неинтуитивный wg-tools, генерировал для каждого клиента конфиги. В какой-то момент, когда число друзей, нуждавшихся в ключике, перевалило за 50, это превратилось в ужасающе утомительную рутину. Даже несмотря на то, что я использовал скрипт, который одной командой выдавал готовый QR-код — нужно было только отправить его другу.

В какой-то момент я наткнулся на проект wg-easy. Это было просто глотком воздуха. Приложение разворачивалось одной командой и сразу же под капотом имело все необходимое. А через удобный веб-интерфейс было чертовски приятно управлять конфигурациями клиентов. Больше не было необходимости заходить на сервер. Честно говоря, если вам нужен просто VPN для себя и близких и вы не хотите особо заморачиваться, я думаю, это до сих пор один из самых удачных вариантов. Хоть WireGuard и не создан для мимикрии трафика, и довольно легко может отслеживаться, в 98% случаев он до сих пор эффективно работает. Во всяком случае, на дату публикации этой статьи, РКН не видит особого смысла в активной борьбе с ним. Они намного больше заняты «влесом», у которого изначально был целый вагон удобных API, — в следствие чего его стали использовать повсеместно все VPN-провайдеры.

Однако, как это всегда и бывает, заходить на сайт, чтобы создать ключик другу, тоже в какой-то момент стало надоедливой рутиной. Я захотел это автоматизировать. Идеальным вариантом стал бот, которому каждый из моих друзей мог написать и получить ключик. Я стал искать API и, к моему удивлению, не нашёл того, что мне нужно. Я хотел что-то максимально простое — в духе старого доброго wg-easy.

Все проекты, на которые я натыкался, были либо:

слишком сложны в конфигурации. Я хотел, чтобы всё разворачивалось одной командой на любом хосте;
слишком сложны по части API. Я хотел максимально прозрачный, нативный и понятный REST;
без какого-либо тестового покрытия;
Go имплементация самого WireGuard.

Возможно, я просто не нашёл проект, который удовлетворял всем требованиям, или же мне захотелось переизобрести велосипед — как это всегда и бывает 😂.

И так, вдохновившись уже несколько раз ранее упомянутым проектом, я начал пилить свою апишку. Первая, скажем, MVP-версия, которую уже кто-то мог бы полноценно использовать, появилась где-то через неделю.

Как ее использовать?

Для начала, если вам это действительно нужно и вы уже дочитали до сюда, я бы попросил вас поставить звездочку проекту. Сделать это можно перейдя в репозиторий проекта.

И так, вы решили, что хотите автоматизировать процесс генерации ключей для ваших юзеров. Первое что вам нужно убедиться, что у вас установлен docker.

curl -sSL https://get.docker.com | sh
sudo usermod -aG docker $(whoami)
exit

Далее вы просто запускаете контейнер на основе уже готового образа. Вам не надо ничего даже собирать.

docker run -d \
-e WG_HOST=<🚨YOUR_SERVER_IP> \
-e AUTH_TOKEN=<🚨YOUR_ADMIN_API_TOKEN> \
-e ENVIRONMENT=production \
-v ~/.wg-rest:/etc/wireguard \
-p 51820:51820/udp \
-p 3000:3000 \
--cap-add=NET_ADMIN \
--restart unless-stopped \
leonovk/wg-rest-api

Очевидно, но все же вместо <🚨YOUR_SERVER_IP> вы подставляете IP адрес вашего сервера. Да вам обязательно нужен выделенный Ipv4.

Вместо <🚨YOUR_ADMIN_API_TOKEN> любую строку которая будет использоваться для авторизации ваших запросов. Поэтому постарайтесь выбрать что нибудь посложнее. Авторизацию на основе генерации хеша тоже можно использовать. Об этом есть инструкция уже в самом репозитории.

Конфигурационные переменные окружения тоже можно задавать. Их полный перечень есть тут

В принципе это все. Да больше ничего не надо. Внутри запущенного контейнера уже будет сервер WireGuard и REST API которая позволит вам взаимодействовать с ним.

Что бы убедиться, что все ок сделайте запрос:

curl http://YOUR_SERVER_IP:3000/healthz

Запущенный контейнер будет иметь промапленный том на папку .wg-rest вашего хоста. Содержимое этой папки позволит вам сделать бекап. Полную документацию по эндпоинтам вы найдете в репозитории.