Добавить в корзинуПозвонить
Найти в Дзене
Дневник ITшника

Они знают о вас всё: почему обычное шифрование VPN больше не спасает от блокировок. Разбираем методы блокировок РКН

Вы зашли попробовать один VPN-сервис, он не работает. Пробуете второй — и он тоже не работает. Сколько вообще нужно оплатить сервисов, чтобы работал хотя бы один? Это действительно бесит. Иногда с неработающими VPN нельзя сделать ничего, причём отлететь они могут по совершенно разным причинам. Где-то в Европе лёг сервер, сломалось что-то на стороне самого сервиса или, что тоже регулярно случается, в России тестируют новые виды фильтрации трафика. Роскомнадзор регулярно усиливает контроль за интернет-трафиком, а VPN-сервисы пытаются этому сопротивляться. Ещё несколько лет назад блокировки VPN-сервисов можно было легко объяснить ограничениями конкретных протоколов. У каждого из них есть своя сигнатура — характерные для протокола части, например определённый порядок байтов, которые видно при соединении. Роскомнадзор видит этот цифровой отпечаток и просто банит протокол. Так происходит до сих пор, но это уже устаревший способ. Основные протоколы OpenVPN и WireGuard в своём чистом виде в Р
Оглавление

Почему перестал работать ваш VPN

Вы зашли попробовать один VPN-сервис, он не работает. Пробуете второй — и он тоже не работает. Сколько вообще нужно оплатить сервисов, чтобы работал хотя бы один? Это действительно бесит.

Иногда с неработающими VPN нельзя сделать ничего, причём отлететь они могут по совершенно разным причинам. Где-то в Европе лёг сервер, сломалось что-то на стороне самого сервиса или, что тоже регулярно случается, в России тестируют новые виды фильтрации трафика.

Роскомнадзор регулярно усиливает контроль за интернет-трафиком, а VPN-сервисы пытаются этому сопротивляться.

Как Роскомнадзор блокирует трафик: два режима работы

Ещё несколько лет назад блокировки VPN-сервисов можно было легко объяснить ограничениями конкретных протоколов. У каждого из них есть своя сигнатура — характерные для протокола части, например определённый порядок байтов, которые видно при соединении. Роскомнадзор видит этот цифровой отпечаток и просто банит протокол. Так происходит до сих пор, но это уже устаревший способ. Основные протоколы OpenVPN и WireGuard в своём чистом виде в России больше не работают. Их используют крупные западные коммерческие сервисы, которым сейчас просто невыгодно вкладывать кучу денег в обход российских ограничений, потому что это дорого и сложно.

Блокировка по протоколам — это так называемый оперативный режим блокировок. Система видит что-то знакомое, ту самую сигнатуру протокола, и быстро её банит. Чтобы бороться с этим, разработчики стали активнее использовать обфускацию — то есть запутывание трафика. Этот процесс маскирует VPN-подключение под обычное: например, перемешивает последовательность байтов. В идеале трафик должен выглядеть как обычный интернет-серфинг.

Но технологии развиваются, и у Роскомнадзора они тоже научились опознавать обфусцированный трафик. Поэтому второй режим — это блокировки постфактум. Система анализирует не сам протокол и его особенности, а поведение, объёмы трафика, характер соединений и то, куда вообще идёт этот трафик.

-2

Инфраструктура блокировок и система ТСПУ

В России выстроили инфраструктуру, которая заточена на блокировки и цензуру. Речь в первую очередь о ТСПУ — это технические средства противодействия угрозам, которые обязательны для установки у всех провайдеров после закона о суверенном рунете.

ТСПУ — это такие «чёрные ящики» на кабелях, которые обладают технологией DPI (Deep Packet Inspection), то есть глубокого анализа трафика. DPI умеет понимать трафик послойно, выявляя не только сигнатуры протоколов, но и паттерны поведения пользователей. А потом уже ТСПУ, опираясь на правила Роскомнадзора, подключает блокировки.

Почему шифрование VPN часто не может обойти DPI? Дело в том, что шифрование скрывает текст, но не скрывает метаданные: размер пакетов, частоту обмена, последовательность сообщений, порты, IP-адреса и характер соединения. Система может не понимать, что конкретно внутри, но понимает, что трафик ведёт себя как VPN. Например, Роскомнадзор может видеть, что у какого-то IP-адреса есть постоянный неестественный объём трафика — скажем, 100 Гб в день. Благодаря ТСПУ и DPI становится понятно: кажется, этот IP-адрес используется для подключения VPN. После этого паттерн либо блокируется автоматически, либо трафик складывается в базу, которую постфактум анализируют с помощью машинного обучения.

Из-за этого даже если вы решите поднять свой собственный VPN-сервер, вы можете столкнуться с той же самой проблемой. DPI заметит этот паттерн поведения, и IP-адрес, который вы используете, будет заблокирован.

-3

Другие причины сбоев (почему дело не всегда в РКН)

Роскомнадзор и его блокировки — основная, но не единственная причина, по которой не работают VPN-сервисы.

-4

Вторая причина — перегруженная или плохо настроенная инфраструктура. Если сервис экономит на серверах, не держит запасные узлы, не следит за маршрутизацией, не меняет IP и не мониторит стабильность, он будет падать и без Роскомнадзора — просто потому, что сервер не выдержал нагрузку.

Третья причина — проблемы на стороне сервера в Европе или где-то ещё за пределами России. Эту причину часто недооценивают. Сервер может быть заблокирован самим хостером из-за жалоб (например, на торренты), его могут отключить за ошибки, он может упасть из-за аварии в дата-центре, из-за возгорания оборудования или DDoS-атаки.

Бывает и так, что один и тот же сервис у вашего друга работает, а у вас нет. Это значит, что у вас разные провайдеры, разные регионы, мобильные сети, маршруты или IP-адреса. Блокировки в России часто не работают у всех одинаково. Поэтому если вы открыли телефон, а ваш VPN не работает, это не значит, что его точно заблокировали окончательно. Возможно, нужно немного подождать: команда сервиса починит проблему, найдёт новый способ обхода, сменит IP-адрес или переведёт трафик на запасной узел.

-5

Чек-лист: как не остаться без интернета

Чтобы минимизировать риски и всегда оставаться на связи, придерживайтесь следующих правил:

  1. Не паникуйте сразу. Если VPN не работает, проверьте социальные сети или сайт сервиса. Возможно, проблема уже решается и скоро всё заработает.
  2. Имейте запасной вариант. Два VPN-сервиса от разных разработчиков — это минимум, который необходим для стабильности.
  3. Проверяйте протоколы. Посмотрите, с какими протоколами работает ваш VPN-сервер и заточен ли он под обход блокировок. Если сервис предлагает только классический WireGuard или OpenVPN без маскировки, в текущих реалиях это уже не сработает.
  4. Выбирайте сервисы с активной поддержкой. Обращайте внимание на команды, которые умеют быстро обновляться, менять конфигурации, серверы, транспорты, маскировку и маршруты. Если сервис молчит неделями, а потом просто советует «попробовать ещё раз» — это плохой знак.

-6

Причин, почему отвалился VPN, может быть несколько. К этому надо быть готовым. Если вы лучше понимаете риски, то быстрее находите рабочее решение, а значит, у вас меньше шансов остаться без доступа в самый неудобный момент.