ТСПУ для самых маленьких
Последние годы Роскомнадзор (далее - РКН) все активнее развивает свои ТСПУ для блокировки разнообразного контента в сети. Это вызывает множество негодования и вопросов у обывателей. В этой статье не будет инструкций по настройке VPN или каких-либо других инструкций по обходу блокировок. Я просто постараюсь коротко ответить, почему ваш VPN вдруг перестал работать.
Сразу дисклеймер: в статье очень много технических упрощений и аналогий, чтобы вы могли поделиться ею даже с бабушкой.
Что такое этот ваш ТСПУ #
Для начала давайте разберемся, что же такое ТСПУ. Но чтобы говорить о ТСПУ, для начала давайте разберемся с DPI.
DPI - это технология глубокого анализа пакетов. Грубо говоря, технология, которая позволяет залезать в ваш трафик и смотреть, что же такого вы там делаете в интернете. Когда вы пишете в адресную строку домен запрещенного сайта, вы как бы через интернет посылаете некий конверт, на котором написан адресат. В обычном случае ваш интернет-оператор доставит этот конверт адресату, а тот, в свою очередь, ответит вам новым письмом, в котором и будет лежать ваш контент. Так вот, если блокировка по адресату - это простой фильтр, который легко обходится самым банальным проксированием, то DPI позволяет вскрыть письмо и посмотреть его содержимое.
Как работает в данной схеме VPN? VPN, если продолжать аналогию с письмами, просто пересылает их дальше. Грубо говоря, на конверте вы пишете не адрес того, что вам действительно нужно, а адрес VPN-сервиса. РКН видит, что адресат не находится в черном списке, и пропускает такое письмо. VPN, когда получает ваше письмо, вскрывает его и видит в нем информацию о том, кому вы действительно хотели его отправить, переупаковывает его в другой конверт и отправляет дальше. Получая ответ от вашего адресата, он также переупаковывает его в другой конверт и присылает вам.
Вся эта логика реализуется VPN-клиентом - приложением, которое вы устанавливаете на свои устройства. Оно переупаковывает ваши пакеты (письма) таким образом, чтобы адресатом для них являлся VPN-сервер, а в содержимое писем добавляет информацию о том, кому в действительности они адресовались.
Теперь, когда мы разобрались с VPN, можем немного вернуться назад и разобраться с DPI. С помощью этой технологии РКН вскрывает пакеты, видит в них информацию о том, что они на самом деле адресуются на запрещенные ресурсы, и просто блокирует их.
А где же в этой схеме ТСПУ? ТСПУ (технические средства противодействия угрозам) - железные коробки с DPI, которые государство поставило в сети всех провайдеров страны. Через них проходит весь ваш трафик. РКН может в реальном времени замедлить или заблокировать что угодно - одной кнопкой, без участия провайдера.
Немного о VPN #
Существует очень много разных протоколов VPN. Протокол - это, по сути, набор правил для «переупаковки» пакетов и их последующей переадресации. РКН физически не может научить свои DPI определять по содержимому пакетов все возможные VPN. Также очень многие VPN-протоколы невероятно востребованы в корпоративных средах, и заблокировать их означало бы сломать легальный бизнес. Перед DPI стоит задача не только определять VPN как таковой, но и понимать, что он адресуется к нелегальному сервису.
Часто такие попытки у РКН выливаются в серьезные сбои. Например, 10 марта 2021 года РКН замедлил Twitter через ТСПУ по доменным именам. Операторы ТСПУ вписали регулярное выражение для замедления картинок с домена t.co (сокращалка Twitter), но не поставили якоря границ строки. В итоге ТСПУ замедлил все сайты, где в названии встречалось сочетание t.co. Под раздачу попали microsoft.com, githubusercontent.com, reddit.com, rt.com и championat.com. Параллельно легли сайты Кремля и самого РКН.
Поэтому борьба РКН с VPN превращается, по сути, в бесконечные кошки-мышки, где первые пытаются постоянно придумать новые правила фильтрации трафика, а вторые лучше притвориться чем-то другим, чтобы под них не попасть.
Почему мой VPN перестал работать? #
Честно говоря, ответов на этот вопрос может быть просто безумное количество. От совершенно банального, где IP-адрес сервера напрямую попадает в черный список, до блокировок DPI по статическим маркерам. Иными словами, DPI умеет статически предполагать использование вами VPN и просто замедлять или полностью обрывать соединение по запрашиваемым адресам. Например, если весь ваш трафик — это UDP-пакеты на один конкретный адрес, это странно — в бан. Именно по этой причине один и тот же VPN может то работать, то не работать в одинаковых условиях использования.
Важно понимать, что абсолютной панацеи никогда не будет! Даже идеально настроенная непрошибаемая связка Xray VLESS-Reality рано или поздно может быть обнаружена по косвенным признакам. И РКН просто вносит IP-адреса в свои черные списки.
Обновления правил DPI распространяются по ТСПУ провайдеров далеко не равномерно. Поэтому совершенно запросто может быть такое, что в сети Wi‑Fi (домашнего проводного интернета) ваш VPN работает, а вот в мобильной сети — уже нет. Или наоборот.
Как именно РКН может собирать информацию о возможном VPN, чтобы впоследствии просто забанить этот IP? Вопрос хороший, и ответов на него тоже много. Например, за него это могут делать почти все отечественные сервисы. Приложение MAX регулярно делает множество сетевых запросов в фоне. Оно стучится, например, даже в Telegram, и если он открывается, это означает, что у вас VPN. Далее последует запрос в сервис определения IP и последующая передача в РКН. Если вы настроили VPN так, что он только в зарубежные ресурсы ходил через прокси, это тоже не поможет. MAX увидит, что зарубежный сервис определения IP возвращает значение, отличное от нашего.
Таким образом, даже если вы идеально спрятали трафик, РКН рано или поздно, скорее всего, найдет ваш VPN-сервер.