Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Информационная безопасность доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 59
Проверил, DoT заблокировали, DoH еще в процессе
Как-то так
Trying 8.8.8.8:853…
ALPN: curl offers h2,http/1.1
TLSv1.3 (OUT), TLS handshake, Client hello (1):
SSL Trust Anchors:
CAfile: /etc/ssl/certs/ca‑certificates.crt
TLSv1.3 (IN), TLS handshake, Server hello (2):
TLSv1.3 (IN), TLS change cipher, Change cipher spec (1):
TLSv1.3 (IN), TLS handshake, Encrypted Extensions (8):
TLSv1.3 (IN), TLS handshake, Certificate (11):
TLSv1.3 (IN), TLS handshake, CERT verify (15):
TLSv1.3 (IN), TLS handshake, Finished (20):
TLSv1.3 (OUT), TLS change cipher, Change cipher spec (1):
TLSv1.3 (OUT), TLS handshake, Finished (20):
SSL connection using TLSv1.3 / TLS_AES_256_GCM_SHA384 / X25519MLKEM768 / RSASSA‑PSS
ALPN: server did not agree on a protocol. Uses default.
Server certificate:
subject: CN=dns.google
start date: Aug 10 08:39:52 2026 GMT
expire date: Nov 2 08:39:51 2026 GMT
issuer: C=US; O=Google Trust Services; CN=WR2
Certificate level 0: Public key type RSA (2048/112 Bits/secBits), signed using sha256WithRSAEncryption
Certificate level 1: Public key type RSA (2048/112 Bits/secBits), signed using sha256WithRSAEncryption
Certificate level 2: Public key type RSA (4096/152 Bits/secBits), signed using sha384WithRSAEncryption
subjectAltName: “8.8.8.8” matches cert’s IP address!
OpenSSL verify result: 0
SSL certificate verified via OpenSSL.
Established connection to 8.8.8.8 (8.8.8.8 port 853) from ***.***.***.*** port 31 474
using HTTP/1.x
GET / HTTP/1.1 Host: 8.8.8.8:853 User‑Agent: curl/8.21.0 Accept: /
Request completely sent off
TLSv1.3 (OUT), TLS alert, decode error (562):
OpenSSL SSL_read: OpenSSL/3.6.4: error:0A000126:SSL routines::unexpected eof while reading, errno 0
closing connection #0 curl: (56) OpenSSL SSL_read: OpenSSL/3.6.4: error:0A000126:SSL routines::unexpected eof while reading, errno 0
митма не видно. можете сделать так?
q -v A youtube.com @tls://8.8.8.8
DEBU Name: youtube.comDEBU RR types: [A] DEBU Server(s): [tls://8.8.8.8] DEBU Using server 8.8.8.8:853 with transport tls DEBU Using TLS transport: 8.8.8.8:853 youtube.com. 5m A 172.253.130.136 youtube.com. 5m A 172.253.130.190 youtube.com. 5m A 172.253.130.91 youtube.com. 5m A 172.253.130.93
Всё работает. Очень странно что чекер пишет про какой-то mitm
Запускал на Linux, всякие "специальные средства" были отключены, как на хосте, так и на роутере.
Да просто кривая утилита.
Там походу баг в программе. Такая же картинка, как у вас, однако:
уберите, пожалуйста, бред из названия, а именно про "начали блокировать протокол DoH".
дикий кликбейт, минус за это.
сами обьяснили в статье почему это невозможно, но оставили название...
но и c DoT вы нормальной проверки не сделали, блокировка хотя бы по порту или "по протоколу" неочевидна
про ттл трюк вообще непонятно: вы его странно описали, в команде не сделали, и первоисточник откуда про это узнали не указали - https://habr.com/ru/articles/1075272/, хотя я уже просил вас
Нейросеть статью писала?
TTL-трюк. В некоторых случаях поведение перехвата можно изменить, отправив один и тот же DNS-запрос сначала с небольшим TTL, а затем повторно с обычным TTL. Например:
dig @8.8.8.8 youtube.com +bufsize=512 -4 Где тут TTL?
curl -v --resolve dns.google:443:8.8.8.8 https://dns.google/dns-query
-H 'accept: application/dns-json'
-G --data-urlencode 'name=example.com' --data-urlencode 'type=A'Бекслешы пропущены. Да и все равно не работает, ибо правильный урл: https://dns.google/resolve
Если поменять только SNI, оставив IP тот же (например, через
curl --connect-to), и трафик пойдёт — вы нашли SNI-фильтрацию, а не блокировку по адресу:
Приведенная ниже команда 1) не меняет SNI, 2) не работает
Но ведь...
Google Public DNS предоставляет два разных API DoH на этих конечных точках:
https://dns.google/dns-query – RFC 8484 (GET и POST)
https://dns.google/resolve? – JSON API (GET)
Правилен и тот, и тот.
Не знал, что такую неприкрытую нейронку пропускают в статьи.
А еще https://habr.com/ru/articles/1075272/
Не понял. А есть какя то техническая база под тезисом, что блокируется udp трафик на 853 порту? Довольно радикально сбрасывать весь трафик на 853 порт.
DoT на 9.9.9.9 вроде как у всех работает, значит никакого сброса по порту не существует.
Похоже на ростелекоме не работает
Так dot на 443. У меня в целом сомнения по поводу этой истории есть. Я сетевик и не могу поверить в такие вещи пока не проведу диагностику самостоятельно. С начала блокировок слишком уж много некомпетентной диагностики и выводов "все блокируют и замедляют на тспу" на основе этой диагностики. Ну и статей под громкими заголовками.
Почему радикально? Значит до популярных CDN-ов троттлить 443 в нулину нормально, а 853 трогать - фу?
Было бы здорово, если бы кто-то расписал наихудшие сценарии, чтобы не заниматься постоянной перенастройкой
У вас не будет интернета.
удалили за якобы сгенерированный контент
Ну как бы да 😀 и эта новая статья -- поток изощренного многословия от LLM.
Вообщем, мамкины хакеры добрались до хабры и теперь придется видимо их тут видеть и их осковерканный кликбейтный бред...
Коллеги, я очень рекомендую вам смотреть в сторону фингерпринтинга, а не протоколов и адресов.
Не знаю у меня на сервере запущен adguardhome с doh, за обратным прокси, doh идёт без проблем с разных операторов. Проблема значит в сторону публичных dns, смысл перегружать DPI фильрацией всего, адреса DOH известны.
В России начали блокировать
Надеюсь дожить до дня, когда проснусь и увижу Хабр, пестрящим заголовками вида "В России запустили/сделали/создали/построили"... И не что-то деструктивное, а полезное для общества.
Эх, как бы здоровье не подвело.
Бюро 1440 запустило спутники для аналога Старлинка и собирается провести интернет в поезда РЖД, чем не такая новость?
Уже дожили, поздравляю.
Новости с глаголами будущего времени: собирается, планирует, обещает и т.п. только обещают нас обрадовать когда-то потом.
32 спутника уже на орбите. Это не обещание сделать хорошо через 20 лет, это проект который активно развивается в реальности и уже работает. Не хватает только количества этих самых спутников для бесперебойной связи.
Эти спутники интересны только военным
И это хорошо. Военные, которым интересны эти спутники - это финансирование и преференции при импорте нужных комплектующих.
И я лично буду рад, что у наших военных появится устойчивая, быстрая и независимая связь.
PS: Интернет тоже вырос из военных технологий, если что. Вам же не стыдно им пользоваться? )))
32 спутника уже на орбите.
Парочка уже падает, вторая партия никак не может на свою орбиту залезть.
А уж сколько килобаксов будет стоить терминал "как у старлинка" я даже боюсь представить.
Или они сознательно выведены на другую орбиту. Вероятность что вся партия сломалась ничтожно мала. Вероятность что что-то проверили и решили сменить целевую высоту заметно выше.
Так они вроде на той орбите, где остатки атмосферы еще сильно тормозят спутники.
Плюс-минус орбита МКС. Тормозят, но не так чтобы завтра или через год упасть.
Я легко предположу что это специально чтобы военным дать сигнал мощнее прямо сейчас. Потому что с прошлой орбитой где-то не хватило по результатам проверки. Или чтобы окна доступности связи над определенной территорией были чаще. Срок жизни в несколько лет ок для такого применения.
Залезут. Это абсюлютно штатное поведение. Плазменные двигатели дотянут их за ~4 месяца.
Отличная новость, в РФ будем жить и работать в поезде. Поезд "Желтая стрела" называется?
1440 работает под фсб, вероятность, что они сделают что-то хорошее, для населения этой страны, стремится к нулю. Даже если они утверждают, что они занимаются исключительно гражданскими разработками.
Далее, допустим, что их 30 спутников действительно летают. Что это нам дает? Правильно, ничего. Так как чтобы скопировать старлинк нужно большее количество спутников, минимум на 2 порядка. Получается, что либо обещания, либо какая-то не юзабельная система.
И третье, сколько запусков в год делает 1440? А старлинк сколько? Можете не отвечать, это риторический вопрос.
Спасибо за разбор с curl-выводом, особенно за момент про обрыв именно на TLS-хендшейке, а не на IP. Заметил похожее у себя: DoT молчит по таймауту, а обычный DNS по TCP пока живёт. Похоже, единственный устойчивый вариант — резолвить внутри туннеля, всё остальное лечится ровно до следующего обновления правил.
Злой мир - выпустили, открыли, создали. Мирный мир - заблокировали, закрыли, посадили.
Спасибо! Два дня не мог понять что стало с проектом)))
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
В России начали блокировать протоколы DoH и DoT