Красным указано оборудование ТСПУ (технические средства противодействия угрозам) — «чёрные ящики» от РКН, которые операторы связи размещают с подведением электропитания в отдельных стойках на своих площадка по всей стране, но доступа к устройствам не имеют.
10 марта 2021 года с 10 часов утра по московскому времени Рунет вступил в новые правила игры. Роскомнадзор начал «замедлять» на 100% мобильный и 50% трафик широкополосного доступа сервиса микроблогов Twitter.
За этим последовало несколько знаменательных событий. Глобальная авария на оборудовании Ростелекома на полдня нарушила доступ к госсайтам и сети оператора. Более 113 тыс. доменов оказались в контуре «замедления» РКН, так как они имеют в своём название «t.co», короткий домен Twitter, на который реагирует оборудование ТСПУ.
Хабр совместно с коллегами из «РосКомСвободы» постарался рассказать, почему такая ситуация стала возможной, что теперь делать пользователям и как будут развиваться события с Twitter и другими соцсетями.
Как так получилось, что у Роскомнадзора есть техническая возможность замедлять сайты?
Официальной публичной информации о том, как именно РКН это делает не существует. Ведомство начало готовиться к этому с лета 2019 года. Именно тогда территориальные управления Роскомнадзора начали рассылать операторам связи по всей России требования предоставить сведения о точках обмена трафиком, а также схемы подключения оборудования провайдеров. Именно с помощью интеграции внутрь этих схем специального оборудования ТСПУ сотрудники РКН получили возможность «управлять» Рунетом.
С 1 ноября 2019 года вступил в силу закон об изоляции рунета. Роскомнадзор и операторы связи начали проводить полноценное тестирование оборудования, которое позволит изменить маршрутизацию трафика и отфильтровать нежелательный контент. Система DPI (Deep Packet Inspection) работает на различных уровнях модели OSI (от второго до седьмого) по протоколам, приложениям, сервисам, включая multicast и служебные протоколы. Для первых испытаний универсальной системы фильтрации трафика (DPI) выбран Уральский федеральный округ. Вероятно, что в Мурманской области некоторые провайдеры также проводили аналогичное тестирование системы DPI.
Из-за секретности Роскомнадзора пока точно не известно, какое конкретно оборудование поставляется для «суверенного рунета», но можно сделать предположения, исходя из ассортимента продукции RDP.RU, что это в основном системы на базе EcoDPI.
Ещё не так давно операторы связи заявляли о том, что нет ни одного готового комплекса, полностью удовлетворяющего требованиям законодательства РФ, для «заглядывания» внутрь SNI, определения домена, а также использования более глубокого и расширенного во времени анализа трафика.
Комплекты ТСПУ от РКН анализируют весь интернет-трафик (пакеты) пользователей по ряду параметров и решают, пропустить его (по-умолчанию), ограничить скорость (правила для Twitter) или заблокировать (для запрещённых сайтов). Настраивают и управляют элементами ТСПУ специалисты РКН.
РКН включил сегодня утром в России специально настроенное оборудование ТСПУ, чтобы шейпить, а тем самым ограничивать скорость доступа к ресурсам Twitter. Фактически, ограничение скорости соцсети осуществляется по именам доменов, через DPI. Причём не только доменов Twitter непосредственно, но и CNAME-имён Akamai. В частности, замедление видеоконтента наблюдается на video.twimg.com, eip-ntt.video.twimg.com.akahost.net, video.twimg.com.eip.akadns.net, но не на более технических доменах, таких как cs531.wpc.edgecastcdn.net. При обращении к IP-адресу сервиса напрямую, без SNI, скорость остаётся высокая. Пассивный обход DPI помогает обходить замедление, например, при использовании nfqws.
Активация ТСПУ привела к тому, что РКН стал шейпить и множество других доменов. Сейчас в Рунете замедляется любой домен, содержащий в каком-либо месте в названии домена строку t.co (короткий домен твиттера). Например, под раздачу попали rt.com, reddit.com, microsoft.com, githubusercontent.com. В логику ТСПУ вставили проверку для замедления на все .*t.co.*, вместо, например, ^t.co$.
В итоге, по первоначальным подсчетам, более 113 тыс. хостов попадали под ограничение скорости из-за Роскомнадзора, включая icloud-content.com, pinterest.com, microsoft.com, blogspot.com, snapchat.com, googleusercontent.com (специальный домен для раздачи различных файлов от Google, вкл. медиа), deviantart.com, beget.com (российский хостер), appspot.com (домены сервиса Google App Engine), *.steamcontent.com, dropboxusercontent.com, digicert.com, championat.com, eset.com, avast.com.
Более подробный список
Автор списка — ValdikSS
- pinterest.com
- microsoft.com
- enable-javascript.com
- blogspot.com
- bluehost.com
- mydomaincontact.com
- reddit.com
- namebright.com
- dreamhost.com
- t.co
- akismet.com
- trustpilot.com
- dynadot.com
- constantcontact.com
- hubspot.com
- cointernet.com.co
- getpocket.com
- washingtonpost.com
- opencart.com
- sciencedirect.com
- shinystat.com
- huffingtonpost.com
- snapchat.com
- proofpoint.com
- googleusercontent.com
- pinterest.co.uk
- cnet.com
- format.com
- cookiebot.com
- onetrust.com
- independent.co.uk
- ewebdevelopment.com
- matterport.com
- deviantart.com
- indiamart.com
- blogspot.co.uk
- quantcast.com
- ft.com
- angieslist.com
- blogspot.com.es
- mapquest.com
- xinhuanet.com
- sharepoint.com
- swsoft.com
- walmart.com
- marriott.com
- cdnbest.com
- justhost.com
- beget.com
- aparat.com
- about.com
- appspot.com
- carecredit.com
- zdnet.com
- cookieconsent.com
- vistaprint.com
- redhat.com
- economist.com
- photobucket.com
- venturebeat.com
- childnet.com
- providesupport.com
- domainmarket.com
- lbpicmt.com
- pardot.com
- target.com
- netcraft.com
- yoast.com
- hotmart.com
- shieldbreakfast.com
- wolt.com
- nypost.com
- allaboutdnt.com
- projectrockit.com.au
- geotrust.com
- huffpost.com
- engadget.com
- theknot.com
- cvent.com
- pinterest.com.au
- zibbet.com
- themezhut.com
- b-eat.co.uk
- just-eat.com
- att.com
- talabat.com
- facebookblueprint.com
- mimecast.com
- toreta-takeout.com
- tencent.com
- techtarget.com
- adjust.com
- intuit.com
- producthunt.com
- thelancet.com
- semalt.com
- dropboxusercontent.com
- githubusercontent.com
- provenexpert.com
- pixieset.com
Вероятно, что это косвенно или напрямую связано с неработающими сервисами РТК, так как ТСПУ обрабатывало и тормозит все ресурсы, которые содержат последовательность t.co. Пострадали, например, www.rtcomm.ru и субдомены типа ns01.rtcomm.ru и так далее. Такая проблема могла возникнуть из-за неаккуратного составления правил блокировки: в общеупотребимом синтаксисе регулярных выражений неэкранированный символ точки означает любой символ.
Сейчас rt.com уже в некоторых регионах не шейпится. Скорее всего, этот ресурс срочно внесли в исключения в ТСПУ, но не везде.
Почему у Роскомнадзора есть юридическая возможность замедлять сайты?
С начала этого года, согласно Федеральному закону от 30.12.2020 № 482-ФЗ «О внесении изменений в Федеральный закон «О мерах воздействия на лиц, причастных к нарушениям основополагающих прав и свобод человека, прав и свобод граждан Российской Федерации» (страницы 5-6). А также в соответствии с законом «Об информации, информационных технологиях и о защите информации» (149-ФЗ), после того, как распространение информации интернет-сервисом Twitter было внесено РКН в перечень угроз.
Именно согласно тексту ФЗ от 30.12.2020 № 482 РКН может ограничить полностью или частично доступ российских пользователей к проблемному сервису в сети Интернет. Это ведомство и начало делать, приняв меры централизованного реагирования.
Роскомнадзор обещает 50 % десктопных пользователей с замедлением. Реально ли это число по текущим данным?
Это довольно странное заявление РКН, которое вносит ещё больше неразберихи в рабочие гипотезы о том, как именно это сейчас реализовано. Дело в том, что если верна текущая рабочая гипотеза об использовании для шейпинга DPI-оборудования, через которое провайдеры обязаны «гонять» свой трафик, то возникает вопрос «почему именно 50%, а не все?». Вероятно, что используются какие-то локальные договорённости с конкретными провайдерами, чтобы те игнорировали обращения пользователей о замедлении и не отключали соответствующее оборудование для фильтрации, так как выбрано какое-то уж слишком ровное число. Или же РКН в курсе, что может контролировать мобильный трафик у операторов связи почти полностью, а ТСПУ у множества небольших локальных провайдеров по стране ещё не установлено. Или у ведомства нет возможности оперативно управлять таким большим количеством железок, поэтому ШПД также контролируется ТСПУ только у операторов связи, что оценивается РКН как половина от всех стационарных пользователей.
Как пользователь может проверить, попал ли он под замедление?
Во-первых, большинство стационарных пользователей, кроме в сети РТК и Дом.ру, замедления не замечают. По большей части эффект торможения и медленной загрузки сервисов заметили сегодня пользователи мобильных операторов связи. Например, сайт грузится дольше, чем обычно, картинки сначала обозначаются кваратиками, видео тормозит и долго включается.
Есть более однозначно определяющий «попадание под замедление» метод, но он требует некоторой технической подготовки. Метод заключается в использовании, например, утилиты cURL и подстановки разных доменов в SNI при запросах на нужный сайт (в случае которого есть возможность многоразового замера скорости скачивания определённого файла), и сравнении результатов: если замедление существенное (точно не укладывается в статистическую погрешность) и воспроизводится постоянно, то значит замедление есть. Однако, простым пользователям вполне можно опираться на личные наблюдения и «ощущения» по результатам обычного сравнения скорости загрузки контента на смартфоне, стационарном ПК или на смартфоне через VPN.
Что делать пользователю, чтобы обойти замедление? Можно ли это сделать без проксирования трафика?
Самый простой и доступный способ — проксирование или туннелирование трафика, в том числе с использованием VPN. Да, теперь это становится насущной проблемой и у нас. Есть ещё варианты, связанные с обфускацией трафика (попытками замаскировать его под то, чем он не является), но для их реализации нужны определённые умения и возможности. Не каждый пользователь сможет их использовать.
Пойдёт ли Twitter на уступки? Что будет делать сервис микроблогов теперь?
Увы, прогнозировать пойдёт ли Twitter на уступки сейчас довольно сложно. Тут всё зависит, что называется, «от настроения» владельцев. Мы имеем и примеры «договаривающихся» соцсетей (типа того же Facebook), и примеры соцсетей, которые решили что накладные расходы на такие договоры выше, чем прибыль от частичной потери рынка — LinkedIn.
А ещё, очень хотелось бы помечтать о том, что Twitter присоединится к так называемому Fediverse — сообществу частных соцсетей, которые могут общаться друг с другом и не имеют единого центра, соответственно не имеют и единой точки отказа. И тогда также будет не страшна никакая потенциальная блокировка, о которой может далее пойти речь в недрах РКН в случае, если шейпинг не возымеет эффект.
Что будет делать РКН далее? Возможны ли новые замедления других соцсетей?
РКН пока что не планирует блокировать соцсети и ещё только начал обкатывать работы элементов ТСПУ. Вероятно, что в течение некоторого времени будут возникать различные проблемы и ограничения у многих пользователей, пока ведомство не решит их или самостоятельно, или с помощью операторов связи. РКН может замедлить и другие соцсети, например, Facebook. Twitter с ~100 тыс. пользователей в России фактически РКН использует в качестве испытательного стенда для ТСПУ. У ТСПУ также есть ограничения по количеству одновременно обрабатываемых сессий. Нельзя так просто взять и начать шейпить все пользовательские сервисы — в сети начнутся зависания, вплоть до временного шатдауна.
→ Появился сайт для проверки замедления Twitter в России
