Ваш сайт блокирует Роскомнадзор?

[Dan Balan]

Представляем технический разбор того, как сейчас работает наша «суверенная» инфраструктура блокировок. Там много букв, но я выжал самую суть для тех, кто хочет понимать механику процесса, а не просто читать новости.

1. ТСПУ — это не файрвол, это «мозг» в разрыве
Технические средства противодействия угрозам (ТСПУ) — это не просто черный список IP-адресов. Это глубокий инспектор пакетов (DPI), который стоит в разрыве канала у провайдера.
Он смотрит на трафик на уровне L7 (прикладном). Его задача — не просто заблокировать, а классифицировать приложение. Если он видит, что вы используете запрещенный протокол или стучитесь на запрещенный SNI (Server Name Indicator), он начинает применять санкции: от сброса TCP-соединения (RST) до хитрого «шимминга» (искусственного замедления).

2. Режим «Белых списков» (White List) — новый кошмар мобилок
Самое интересное происходит в мобильных сетях. Там тестируется режим, при котором логика DPI инвертируется.

• Как было: Блокируем всё, что в черном списке.
• Как стало: Дропаем (drop) всё, чего нет в белом списке.
В этот белый список сейчас входят основные экосистемы (Яндекс, VK, Сбер), маркетплейсы и госуслуги. Если вы пытаетесь установить TCP-соединение с сервером, которого нет в реестре «доверенных», ТСПУ обрывает хендшейк еще до начала передачи данных. Пакет просто исчезает.

3. Почему VPN и прокси «умирают»
Раньше мы использовали обфускацию (obfs4, shadowsocks), чтобы трафик выглядел как белый шум. Теперь эвристика ТСПУ стала умнее:

• Статистический анализ: Если сессия выглядит «слишком равномерно» или имеет нестандартные размеры TLS-пакетов, она помечается как подозрительная.
• TLS Fingerprinting: ТСПУ проверяет, как именно клиент и сервер договариваются о шифровании. Если ваш прокси отдает «левый» набор шифров или неправильный порядок расширений (JA3/JA4 отпечатки), вас палить сразу.

4. Квази-легальные методы выживания
Что сейчас работает лучше всего?

1. Мимикрия под HTTPS: Использование прокси, которые идеально копируют поведение Chrome/Firefox (правильные TLS-хендшейки, отсутствие лишних задержек).
2. QUIC (HTTP/3): Поскольку это UDP-протокол, его сложнее анализировать «на лету» без потери производительности самого ТСПУ.
3. DoH/DoT: Использование зашифрованных DNS (DNS over HTTPS) не дает ТСПУ подменять DNS-ответы и перенаправлять вас на «заглушки».

Итог:
Эпоха «кнопочных» VPN-приложений уходит. Сейчас выживает тот, кто умеет настраивать мимикрию трафика и использовать современные протоколы транспорта. ТСПУ постоянно обновляет свои сигнатуры, так что статичные конфиги живут от силы пару недель.

 

[Dan Balan]

РБК: Минцифры выпустило методичку по борьбе с VPN

Минцифры выпустило для российских IT-компаний методичку по борьбе с VPN. В ведомстве просят площадки следить за сетевой активностью с помощью своих сервисов. При этом в Минцифры признали, что выявление VPN на iPhone «существенно ограничено» из-за ограничений ОС.

В документе Минцифры указывается, что внедрение механизмов для поиска VPN следует начинать с мобильных устройств на Android и iOS.

«80% приложений, с помощью которых можно проводить выявление средств обхода, установлено именно на этих устройствах [...]. Внедрение проверок на устройства под управлением других ОС следует отнести к последующим более поздним этапам», — пояснили в РКБ предписания из методички.

Как в Минцифры предлагают выявлять VPN у пользователей:

смотреть IP-адрес устройств, затем сравнивать с российскими IP-адресами, а потом сверять с заблокированными РКН;

проверять, есть ли у пользователя средства обхода блокировок, с помощью стандартных приложений российских компаний, которые устанавливаются на смартфонах в РФ;

проверять использование VPN на устройствах с другими ОС, кроме Android и iOS — например Windows или macOS.

на iOS это сделать нельзя, потому что «на iOS доступ к системным параметрам существенно ограничен», следует напрямую из материалов Минцифры. «Причина в том, что у этой операционной системы политика конфиденциальности и безопасности предполагает, что все сторонние приложения изолированы и не могут собирать или изменять информацию, хранящуюся в других приложениях», — уточнили в ведомстве;

в случае устройств на Android, там работают системы ConnectivityManager и NetworkCapabilities, которые позволяют любому приложению запросить параметры активной сети и сообщить, что текущий интернет-трафик идёт через VPN.

Где ещё можно, но очень сложно найти VPN, согласно Минцифры:

правильно настроенный VPN на роутерах;

VPN, развернутый внутри виртуальной машины;

прокси-сервера, имеющие IP домашнего провайдера;

split tunneling — режим, при котором через VPN направляется трафик только выбранных приложений, а остальной идет напрямую, из-за чего проверки по одной активной сети недостаточно;

CDN и глобальные сервисы могут искажать местоположение устройства без использования VPN;

новые VPN-сервисы появляются быстрее, чем обновляются репутационные базы IP-адресов.

Схема Минцифры: пользователь зашёл на условный маркетплейс, забыл выключить VPN, сервис не дал дальше им пользоваться, а затем обнаруженный IP-адрес, который посчитал за VPN, направил регулятору. Это может привести к росту блокировок VPN-сервисов.

«Например, если страна и регион пользователя по IP-адресу не совпадёт с российскими, или совпадёт с ранее заблокированными РКН, или, если будет выявлено, что у пользователь часто менялись страны, это будет признаком для блокировки. Но такой признак всегда будет требовать подтверждения через второй или третий этап проверки», — объяснили эксперты СМИ.

Ранее Минцифры РФ попросило крупнейшие в России по аудитории цифровые площадки («Сбер», «Яндекс», VK, Wildberries & Russ, Ozon, «Газпром‑Медиа», «Авито», X5, «2ГИС», ivi, Wink, HeadHunter, «Литрес», ЦИАН, Lamoda, «Магнит Маркет», «Всеинструменты.ру», «Гисметео», «Рамблер», «Лемана Про», «Туту», «Вкусвилл», «Ленту» и другие) помочь ведомству с блокировкой VPN с середины апреля 2026 года. Если же компании не согласятся ограничить доступ, то их могут лишить аккредитации Минцифры.

Источники из телеком-отрасли рассказали СМИ, что компании получили специальные методички от Минцифры, в которых сказано, как находить VPN-трафик и блокировать доступ пользователям. Фактически речь идёт о том, чтобы борьба с VPN велась не только на уровне операторов и регулятора, но и силами самих платформ. Более того, компании должны будут передавать данные о новых VPN-адресах в Роскомнадзор, чтобы их затем блокировали и на других ресурсах. Технически большинство компаний, участвовавших в совещании с Минцифры, к таким мерам уже почти готовы, хотя им потребуется дополнительная настройка внутренних систем.

Эксперты считают, что так Минцифры создаст «белый» и «чёрный» список VPN. По «белым» спискам можно будет заходить на заблокированные сервисы. Это будут корпоративные VPN, чтобы компании могли продолжать работу. Эксперты считают, что это не решает проблему случайных блокировок, потому что нет надёжного способа отличить разрешённый VPN-трафик от запрещённого. Также могут пострадать все пользователи из дружественных стран.

Также площадки поставили перед фактом — они разрывают все зашифрованные соединения пользователей или их оперативно уберут из «белого списка», фактически получая теневой бан.

«Минцифры хочет ограничить доступ к VPN без прямых штрафов и требует от платформ перекрыть доступ к своим сервисам с включённым VPN. Компании, которые откажутся, могут исключить из „белых списков“, их сервисы перестанут работать при выключенном интернете. Ограничения потенциально могут затронуть все маркетплейсы, соцсети и другие крупные онлайн‑сервисы (например, WB, Ozon „Яндекса“ и VK)», — пояснили источники СМИ.

Ранее глава «Вымпелкома» (бренд «Билайн») Сергей Анохин рассказал, что мобильные операторы в РФ не смогут брать плату за VPN-трафик, так как его невозможно отделить от обычного международного трафика. Но и тут есть нюанс: Анохин допустил, что в этом случае, возможно, российским пользователям придётся платить за любое превышение международного трафика, то есть за любой гигабайт интернета сверх ранее установленного лимита, потраченный не на российских сайтах

 

[Dan Balan]

Добро пожаловать в новую реальность
Коротко стоит пробежаться по самой новости, чтобы вы были в курсе того, что же опять решили замутить там сверху.
В пакет «Антифрод 2.0» ко второму чтению в Госдуме внесли поправки, обязывающие хостинг‑провайдеров ограничивать доступ для владельцев VPN‑сервисов. Опять-таки это ещё не закон, НО привкус уже имеется.
Может показаться что это что-то далекое и маловероятное, но опыт показывает: когда «непопулярные» поправки появляются перед вторым или третьим чтением, это означает, что решения уже приняты. Можно провести параллель с предыдущими историями: о лимите 15 ГБ говорили незадолго до 1 мая, и теперь мы видим, как маркетплейсы и банки проверяют, не включён ли у вас VPN.Собственно последнюю новость я и разбирал в предыдущей статье...
Поправка звучит просто: «хостинг‑провайдеры обязаны проверять своих клиентов, входят ли они в список нарушителей, и отказывать в услугах тем, кто обеспечивает доступ к информации, запрещённой на территории РФ».

Хостеры: из посредников в контролёры
Хостинг‑провайдеры - это компании, которые сдают нам серверы, виртуальные машины, места на дисках. В отличие от интернет‑операторов, они не передают трафик. До сих пор хостеры были техническими посредниками: они закрывали глаза на то, что происходит внутри наших VPS, пока не получали уведомление от РКН или правоохранительных органов. Теперь добавляется новая роль: им придётся проверять клиентов по спискам Роскомнадзора и следить, чтобы никто не «обеспечивал доступ к заблокированным сайтам».

Что обязательно повлечёт за собой ужесточение оферты и более плотному взаимодействию с регулятором. Хостер должен будет сверять IP клиента с блэк листами, убеждаться, что тот выполняет предписания, а в противном случае отключать услугу.
И как всегда, если что-то ужесточаем, то для этого требуется специализированное оборудование, которого у большинства хостеров нет, а его покупка потребует дополнительных инвестиций, что в свою очередь приведёт к росту цен.

Прошу заметить: речь идёт не о полном запрете VPN. Пресс‑секретарь президента Дмитрий Песков повторяет, что никакой ответственности за использование VPN пока не предусмотрено. Но мы уже сразу понимаем, что это не совсем так: если хостер разорвал договор с вами за то, что вы подняли свой OpenVPN на VPS, насколько вам проще от того, что «VPN законен»?

“Антифрод 2.0” и его спутники
Сама поправка - часть огромного пакета «Антифрод 2.0». Он содержит десятки мер, и борьба с VPN - лишь одна из них. Среди инициатив: лимит в 15 ГБ международного трафика, после которого предлагается брать деньги за каждый гигабайт; маркировка международных звонков; обязательная идентификация абонентов; создание детских SIM‑карт; запрет размещать виртуальные АТС за рубежом; блокировка фишинговых сайтов без суда; объединённый реестр IMEI‑кодов и банковских карт; кнопка «паника», чтобы заморозить ваш счёт при подозрении на мошенничество.

Пока законодатели спорят, бизнес уже выполняет некоторые рекомендации. С марта крупнейшие сервисы («Сбер», «Яндекс», VK, Ozon, Wildberries и другие) начали проверять включён ли у пользователя VPN: если да, то доступ ограничивают и просят выключить VPN. Операторы МТС и «Билайн» отключили оплату Apple ID со счёта — лишняя помеха для покупки подписки на VPN. Из российского App Store удаляют десятки VPN‑клиентов, а проект Apple Censorship насчитывает сотни удалённых приложений.Есть идея, написать статью о VPN-сервисах, которые по какой-то причине не исчезают из App Store. Мне кажется, что все понимают - там что-то не чистое.
А ещё на закрытом совещании, у уже знакомого многим, Максута Шадаева операторы договорились не расширять международные каналы связи без согласования с Минцифры. По данным РБК, около двадцати компаний подписали мораторий на ввод новых линий в сторону Европы, надеясь, что перегруженные каналы заставят VPN‑трафик «задохнуться». Таким образом они хотят спровоцировать операторов либо фильтровать трафик, либо поднять цены, чтобы отбить желание качать зарубежный контент. Ведомство называет это «экономическим фильтром» — красивое слово для идеи «урежем каналы, чтобы вам было больно».

Методички по выявлению VPN и технологические реалии

Данную тему я уже разбирал. Здесь я коротко объясню принципы, для тех, кто не хочет читать предыдущую статью. Все остальные могут перейти по ссылке в конце статьи и прочитать статью о "зарубежном" трафике.

В апреле бизнесу разослали методические указания: сначала компания анализирует IP‑адреса пользователей, сверяя их с базой российских адресов и списком заблокированных IP. Если страна не Россия или адрес в чёрном списке — требуется дополнительная проверка. На втором этапе приложение на устройстве должно проверить, установлены ли VPN‑клиенты. С этим, по признанию Минцифры, на iOS большие проблемы: приложения изолированы и не видят друг друга. На третьем этапе компаниям советуют анализировать подключение на десктопах — но методичка сразу предупреждает: VPN на роутере или в виртуальной машине останется невидимым; прокси с «домашними» IP и split‑tunneling тоже обходят проверку. И не забывайте, что непрерывный мониторинг высаживает батарею и трафик, поэтому Минцифры не рекомендует его проводить.

И как вы понимаете, достоверно сказать, что у определённого пользователя VPN - задача не из простых, поэтому многие могут наблюдать, что сервисам проще блокировать входы из любых заграничных IP адресов, чем проводить хоть какой-то анализ.

Экономический фильтр: замораживание каналов
История с мораторием на международные каналы - хороший пример того, как техническую проблему пытаются решить экономикой. По данным РБК, операторы обязаны запрашивать у Роскомнадзора и Минцифры разрешение на расширение каналов связи, и это разрешение, скорее всего, не дадут.
Регуляторы рассчитывают, что когда VPN‑трафик вырастет - каналы перегрузятся, и операторы либо повысят стоимость на доступ к зарубежным ресурсам, либо начнут фильтровать трафик сами. Больше всего пугает, что срок действия моратория не был определён и что-то подсказывает, что он может стать постоянным.

Влияние на бизнес и обычных людей
Большая часть читателей скажет: «Я не продаю VPN, мне всё равно». Но разработчики деплоят контейнеры в облаке, админы держат тестовые сервера, стартапы арендуют VDS в России. Корпоративные VPN позволяют безопасно подключаться к внутренним системам, особенно в эпоху удалёнки. Поправка превращает хостера в начальника безопасности: он должен понять, что вы поднимаете VPN для удалённой работы, а не для обхода блокировки. Но как это сделать, если даже специалисты РКН признают: отличить «легальный» VPN от обычного почти невозможно!

ФСБ и Минцифры обсуждают ещё более жёсткие меры: у компаний, которые не справились с «обеспечением информационной безопасности» или с ограничением доступа пользователей с включёнными VPN, могут отобрать IT‑аккредитацию и льготы; продукты можно исключить из обязательного списка предустановленного ПО.

А банальные риски ошибки, никуда не деваются. В методичках нет надёжного способа отличить VPN от соединения белорусского или казахстанского пользователя. И развлекательные сервисы уже боятся случайно потерять аудиторию с соседних рынков.

Как всегда много вопросов и мало ответов
В финале хочется спросить у вас, особенно если вы разработчик/админ/хостер сможете ли вы объяснить машинке DPI, что ваш туннель - это не заграничные сериалы от HBO или стримы с Twitch'а, а корпоративный VPN, без которого ваша бухгалтерия и прод, а скорее всего и вся компания просто перестанут работать, чьи простои будут стоить не меленьких денег. А также кто заплатит за новые системы и сотрудников, которые будут сверять списки и следить за безопасностью? А как быть с локальными проектами и стартапами, которые не впишутся в требования или рассчитывают работать на глобального пользователя и уйдут за рубеж?

Гайки закручиваются, и вопрос лишь в том, где и когда сорвётся резьба. Мы все зависим от интернета, который давно перестал быть «зарубежным» или «отечественным» — он просто сеть.

Наверное на этом всё, честно говоря завидую смелости некоторых комментаторов, в высказывании своего мнения на этот счёт, но давайте пожалуйста, будем рассуждать на "холодную" голову. На этом у меня всё!

Если вы столкнулись с подобными проблемами напишите пожалуйста нам в тг https://t.me/larpix90