Первая часть моего рассказа про ТСПУ и DPI разбирала как оборудование РКН читает трафик, как распознаёт VPN, где у него слабые места.
Эта статья - про другое. Про логику блокировок. Как составляются списки, почему их тестируют в регионах и к чему ведёт централизация.
Чёрные списки: запрещаем по одному
Это привычная модель, в которой мы жили до недавнего времени. Роскомнадзор ведёт реестр запрещённых ресурсов: адреса сайтов, IP-адреса, домены. Всё, чего нет в реестре - доступно.
В реестре миллионы записей. Он обновляется каждый день.
Проблема чёрных списков - интернет растёт быстрее, чем реестр. Заблокировали сайт - появилось зеркало на новом домене. Заблокировали зеркало - появилось ещё три. Заблокировать конкретный ресурс можно, заблокировать все его копии - задача, которая с каждым днём становится сложнее.
Белые списки: разрешаем по одному
Это обратный подход. Составляется список разрешённых ресурсов, а всё остальное блокируется. Если ресурса нет в списке - он недоступен.
Разница между подходами проста. Чёрный список - это "запрещено то, что в списке". Белый список - "запрещено всё, что не в списке".
Как составляют белые списки
По косвенным данным, процесс выглядит так.
Сначала берут список "нужных" ресурсов: Госуслуги, банки, отечественные соцсети, почтовые сервисы, новостные агентства.
Потом добавляют технические зависимости. DNS-серверы - это "телефонные книги интернета", которые переводят название сайта в его адрес. NTP-серверы синхронизируют время на устройствах. Центры сертификации подтверждают, что сайт - настоящий, а не поддельный. Серверы обновлений рассылают обновления Windows, Android, iOS. Без всего этого не работает ничего, включая Госуслуги и банки.
Дальше начинается тестирование. И здесь выясняется главная проблема.
Современный интернет - это не набор отдельных сайтов. Каждый сайт собран из десятков кусочков, которые лежат на разных серверах. Сайт Госуслуг загружает шрифты с одного сервера, код аналитики - с другого, капчу - с третьего, карты - с четвёртого. Заблокировали четвёртый сервер - на Госуслугах перестала работать карта ближайшего МФЦ.
Дальше - итерированией. Добавили сервер в белый список, протестировали, обнаружили новую поломку, добавили ещё один сервер, протестировали снова. Интернет меняется каждый день. Серверы переезжают, адреса меняются, сервисы обновляют инфраструктуру. Белый список, актуальный вчера, сегодня уже неполный.
Масштаб проблемы
Белый список для целой страны - это десятки тысяч сервисов, сотни тысяч доменов, миллионы IP-адресов. И всё это нужно поддерживать в актуальном состоянии каждый день. Крупные облачные провайдеры (Amazon, Google, Cloudflare) меняют IP-адреса своих серверов по несколько раз в сутки, что делает поддержание таких списков в рабочем состоянии практически невозможным.
Тестирование в регионах
Еще в конце прошлого года все понимали, что новые правила не включат сразу на Москву.
Первый этап - малые регионы. Берут территории с небольшим трафиком и малым числом провайдеров - Дагестан, Чечня: оттуда пришли первые отчёты о тестировании. Мало провайдеров, компактная сеть. Если что-то сломалось - легко откатить.
Второй этап - расширение. Собрали данные, поправили настройки, дополнили белые списки. Средние регионы, потом крупные. На каждом этапе: сбор статистики, анализ того, что сломалось, подсчёт жалоб от пользователей.
Третий этап - Москва и Санкт-Петербург. Столичный трафик - отдельная категория. Здесь расположены крупные точки обмена трафиком, штаб-квартиры IT-компаний, дата-центры, финтех-сервисы, телемедицина. Сбой здесь замечают все.
Побочный ущерб
Многие сайты используют CDN - сети доставки контента. Это своего рода посредники: вместо того чтобы каждый раз загружать картинку с сервера в Америке, CDN хранит её копию на ближайшем к вам сервере в Москве. Один CDN-сервер обслуживает тысячи сайтов.
Если ТСПУ блокирует IP-адрес такого CDN-сервера - под блокировку попадают все тысячи сайтов, которые он обслуживает.
Под раздачу попадают все подряд: может сломаться даже прогноз погоды - потому что CDN-сервер, на котором размещён сервис, попал под фильтр. Потому что для ТСПУ пакет данных - это пакет данных. Оборудование не отличает прогноз погоды от запрещённого контента.
Централизация и устойчивость сети
В целом архитектура Рунета меняется. Раньше интернет в России - как и везде - строился как распределённая сеть. Если один маршрут не работает, трафик идёт по другому. Много путей, много запасных вариантов. Сеть становится устойчива к отказам.
ТСПУ и белые списки меняют эту архитектуру. Трафик проходит через централизованные точки контроля. Каждый ТСПУ - потенциальная точка отказа. Каждый белый список - потенциальное узкое место. Одно неверное правило блокировки может вызвать цепную реакцию сбоев.
Интернет проектировался распределённым не случайно. Это его ключевое свойство: устойчивость к отказу любого отдельного узла. Централизация фильтрации работает против этого свойства.
Рунет переживает смену модели. Результат зависит от одного вопроса: хватит ли ресурсов обновлять белые списки быстрее, чем меняется интернет? Пока - не хватает.