Тема недели: ТСПУ-блокировки и способы их обхода

В Рунете всё больше блокировок, в том числе VPN. Что делать для обхода в таких условиях и как развиваться VPN-сервисам?

Любые массовые сервисы, в том числе VPN, уязвимы к блокировке именно из-за своей массовости.

Пока мы не дошли до так называемого «китайского сценария», самым действенным способом является поднятие собственной VPN на арендованных виртуальных серверах (практически по цене покупки доступа к VPN у «ширпотребных» сервисов). Кроме прочего, в этом случае и возможностей по маскировке трафика намного больше.

Если же говорить в целом о данной ситуации, то сейчас в стадии утверждения в Инжерном Совете Интернета находится стандарт eSNI (который с тех пор превратился в технологию более полного шифрования «первоначального общения» нежели просто шифрования имени сервера). Если упрощённо, то данный стандарт описывает техологию шифрования процедуры предварительного общения клиентов и серверов между собой до того как установится основное зашифрованное соединение. После его «запуска в мир» и повсеместного включения в браузерах и сетевых утилитах DPI-«железо» станет намного менее полезным для блокировок.

Однако, если в оптимистичном, но маловероятном сценарии власти поймут бесполезность блокировок, то в более вероятном, но пессимистичном сценарии это выльется в массовые блокировки по IP. Тем более, что (не смотря на уже ставшее обыденным отсутствие каких-нибудь официальных документов на этот счёт) есть сообщения от пользователей о том, что трафик использующий eSNI блокируется некоторыми провайдерами в некоторых регионах (лично у меня на том же провайдере блокировка (в отличие от внедрения скриптов со своей рекламой в незашифрованный трафик) не воспроизводится, впрочем, как говорят, «но это не точно»). И это, кстати, особенно забавно в ключе того, что эта технология ещё находится в стадии разработки и постоянно меняется (например, вот, эволюционировала в полное шифрование предварительного общения) и посему на данный моментпока даже не рекомендована к полноценному внедрению на «боевые» сервера (CloudFlare, впрочем, это не останавливает).

Относительно блокировок также хочется заметить следующее: ещё одной «дыркой» в приватности до сих пор является DNS:

Этот протокол тоже разрабатывался во времена, когда никто не боялся слежки и ничего не шифровалось. Поэтому вся информация передаётся открытым текстом. Из-за этого как провайдеры, так и ТСПУ (впрочем, в некоторых случаях, даже соседи рядом) могут перехватывать DNS-запросы и отвечать на них вместо того сервера к которому вы изначально обращались. И отвечать они могут буквально что угодно. В том числе и отдавать совершенно не те IP-адреса (например, именно так в большинстве случаев и отдаются провайдерские страницы-заглушки о заблокированных ресурсах).

Против этого тоже уже давно есть техники вроде DNSSEC и DANE, а так же такие вещи DNS-over-TLS и DNS-over-HTTPS. Но они, увы, мало где внедрены, плюс за последние две уже взялся Роскомнадзор.

Так что, самым действенным вариантом борьбы с этой проблемой будет не использовать в качестве DNS-сервера свой домашний роутер (который как правило использует провайдерские DNS-серверы), а вместо этого использовать в качестве DNS-сервера тот самый, упомянутый выше, купленный виртуальный сервер. Для чего, конечно, потребуется установить на нём соответствующий софт, но это не так сложно, как может показаться. И вот уже там — настроить использование тех же DoT/DoH, и подключаться с их помощью к тем же 8.8.8.8/1.1.1.1. Главное — покупать сервер за пределами России.

Ожидалось, что применение ТСПУ должно сделать блокировки более точечными. Почему этого не произошло?

Постараюсь выразиться помягче: я очень сомневаюсь в компетентности работников, занимающихся блокировками, и ещё больше в компетентности их «начальства». Либо подозреваю саботаж с их стороны.

Если говорить о блокировке «случайных» ресурсов через ТСПУ, то стоит вспомнить, что в техническом задании на разработку комплексов, которые ставят в качестве ТСПУ, вообще не шло речи о реализации тех функций, которые по итогу стали востребованы для осуществления блокировок в том виде, как это происходит сейчас, так что их добавляли постфактум, «на скорую руку» и с кучей взаимных претензий. Из-за этого сейчас, выполняя требования «вышестоящего начальства», работники делают что могут, как умеют, выбирая из того, что есть, и получается, собственно, как получается.

То есть, техническая возможность анализировать трафик по отпечаткам существует, и, если бы ей пользовались, можно было бы «в два счёта» блокировать практически всё, что угодно (и даже намного легче заблокировать тот же Telegram), но заказанные в качестве ТСПУ комплексы DPI были изначально «заточены» на другое и имеют далеко не те мощности, чтобы хорошо справляться с этим всем. Впрочем, ходят слухи, что ведутся работы по исправлению обоих пунктов.

Так что, скорее всего, именно поэтому мы и можем наблюдать происходящие сейчас тупые ковровые блокировки торрентов и WireGuard чуть ли не «по номеру порта» (согласно заявлению пострадавших Wargaming и сообщениям от пользователей).

Вадим Мисбах-СоловьёвИсточник

IMHOTAK писал(а):

В шапке сайта есть ссылка "обход блокировок", но если её открыть и посмотреть, то быстро и без пол-литры не разберёшься:

Надо сделать в теме шапку и выносить туда актуальные способы, так обычно делается

Вырубят инет и все из дома вылезут (матрица рухнет)
А еще собираются запретить продавать самогонные аппараты , и тогда вообще делать дома будет нечем

606942 писал(а):

А еще собираются запретить продавать самогонные аппараты , и тогда вообще делать дома будет нечем

Качайте, пока еще можно )

Max_Alekseyev писал(а):

606942 писал(а): А еще собираются запретить продавать самогонные аппараты , и тогда вообще делать дома будет нечем Качайте, пока еще можно )

Он у меня чертежи купил Моя разработка

IMHOTAK писал(а):

Цитата: Тема недели: ТСПУ-блокировки и способы их обхода Ну и где тут способы обхода? Вот этот? Цитата: самым действенным способом является поднятие собственной VPN на арендованных виртуальных серверах (практически по цене покупки доступа к VPN у «ширпотребных» сервисов). Кроме прочего, в этом случае и возможностей по маскировке трафика намного больше. Ясно, что 99.9% не будут ничего покупать и если не будет бесплатной альтернативы, то забьют на это и всё. Этот способ только для энтузиастов. Основной массе не подходит. 1) А если пользователь заходил на nnm, а потом вдруг обнаружил, что он заблокирован, то каковы его дальнейшие действия? Так как на nnm уже не зайти, значит искать способ обхода придётся по сторонним ресурсам. Сразу возникают вопросы: - есть у nnm актуальная информация по обходу блокировок выложенная на стороннем ресурсе? - где указаны адреса этих сторонних ресурсов с актуальными способами? - где указаны зеркала клуба в виде списка и в одном месте, чтобы можно было быстро посмотреть и сохранить на случай блокировки? - почему страница с подобной информацией не висит в шапке сайта? - и т.д.. Даже на самом клубе всё это нужно искать и собирать по крохам. Неудобно. 2) Допустим, что пользователь ещё не заблокирован. В шапке сайта есть ссылка "обход блокировок", но если её открыть и посмотреть, то быстро и без пол-литры не разберёшься: - шапки тем все давно устарели и неактуальны; - темы по сотне страниц и чтобы только прочитать их нужен месяц; - непонятно, какие способы актуальны на данный момент, а какие нет; - нет единой страницы с актуальной на данный момент информацией; - нет приоритета способов обхода, начиная от самых простых и массовых к самым сложным и трудоёмким; - и т.д.. Не понимаю, какой смысл бесконечно переливать из пустого в порожнее про блокировки, а единой темы содержащей только краткую, актуальную и быстро доступную информацию не иметь?

тот кто пишет под такими новостями,не качают торренты,у них другая работа и если ННМ заблокируют наглухо им будет глубоко фиолетово,их переведут на ютуб)

Neoriot писал(а):

тот кто пишет под такими новостями,не качают торренты,у них другая работа и если ННМ заблокируют наглухо им будет глубоко фиолетово,их переведут на ютуб)

Написал человек с 5-тью "колёсам" под ником

меры стимулирующие ненависть к собственной государственной системе ничто иное как неявное подталкивание к экстремизму, т.е. побуждение экстремизма.

Цитата:

Не понимаю, какой смысл бесконечно переливать из пустого в порожнее про блокировки, а единой темы содержащей только краткую, актуальную и быстро доступную информацию не иметь?

2 провайдера было за последнее время. Конкретно на windows более чем хватает гугло-днса и goodbye dpi. Настраивается реально в минимальное количество кликов.

IMHOTAK писал(а):

и если не будет бесплатной альтернативы, то забьют на это и всё. Этот способ только для энтузиастов. Основной массе не подходит.

Меньше народа – больше кислорода. Рано или поздно всё равно придётся разобраться, а если кто-то не желает, значит ему это и не надо.

Нашей страной управляют больные на всю голову люди, параноики, которые кроме слов запретить и ограничить больше ничего не знают и знать не хотят. Это навязчивая идея психически деформированных за годы службы личностей. Они опасны для общества, опасны для нашей страны, в конце концов они опасны для мира в целом. Они живут прошлым, подменяют им настоящее и очень боятся будущего. Шарахаются от него, как черти от ладана. Радует одно, повернуть время вспять невозможно, поэтому они обречены на поражение. Неясно только одно, когда именно это случится.

На андроид есть мега удобное приложение от Frostnerd

Nebulo - DNS Changer for DNS over HTTPS/TLS

Там есть вагон DNS серверов на выбор и возможность подключения HOSTS файлов для резки рекламы
Советую вот этот автообновляемый список - https://schakal.ru/hosts/alive_hosts.txt

Подробнее есть инфа на 4pda

gendoz1977 писал(а):

Нашей страной управляют больные на всю голову люди, параноики, которые кроме слов запретить и ограничить больше ничего не знают и знать не хотят. Это навязчивая идея психически деформированных за годы службы личностей. Они опасны для общества, опасны для нашей страны, в конце концов они опасны для мира в целом. Они живут прошлым, подменяют им настоящее и очень боятся будущего. Шарахаются от него, как черти от ладана. Радует одно, повернуть время вспять невозможно, поэтому они обречены на поражение. Неясно только одно, когда именно это случится.

"Неясно только одно, когда именно это случится." - никогда, за 200 лет ничего не изменилось. "Горе от ума", Грибоедов, написано 1822-1824, "описывает светское общество времён крепостного права и показывает жизнь 1808-1824 годов":

Цитата:

А судьи кто? - За древностию лет К свободной жизни их вражда непримирима, Сужденья черпают из забытых газет Времен Очаковских и покоренья Крыма; Всегда готовые к журьбе, Поют все песнь одну и ту же, Не замечая об себе: Что старее, то хуже. Где, укажите нам, отечества отцы, Которых мы должны принять за образцы? Не эти ли, грабительством богаты? Защиту от суда в друзьях нашли, в родстве, Великолепные соорудя палаты, Где разливаются в пирах и мотовстве, И где не воскресят клиенты-иностранцы Прошедшего житья подлейшие черты. Да и кому в Москве не зажимали рты Обеды, ужины и танцы? ...

Что ещё поделать, наверно, выбирать провайдера не поддерживающего блокировки своего клиента.

paramedik1 писал(а):

PS А выборы на NNM в разгаре. Ежедневные подачи одной и той же темы в интерпретации различных экспертов и "экспертов", подводит эмоционально неустойчивых пользователей почти что к истерике и воспламенению труселей, а сердобольных соседей из ближнего зарубежья к инфаркту из-за переживаний о судьбинушке нашей скорбной.

Я бы согласился, НО...
..помню про "Пакет Яровой". С этим знанием и проголосую.

Max_Alekseyev писал(а):

Neoriot писал(а): тот кто пишет под такими новостями,не качают торренты,у них другая работа и если ННМ заблокируют наглухо им будет глубоко фиолетово,их переведут на ютуб) Написал человек с 5-тью "колёсам" под ником

вот бы ещё в 2021 году обращать внимание на то что пишут форумные воены