я так понял, зависит от провайдера. У некоторых вообще всё открывается как раньше, у меня при первом же соединении рвется ClientHello. С чем связано не знаю, возможно разный софт и сама версия ТСПУ. Возможно фашисты так выборочно проверяют свои правила фильтрации.
p.s. проблема ещё в том, что те пользователи, у которых сайт не открывается не могут об этом сообщить, т.к. обмен сообщениями - через форму обратной связи на сайте. Но заметно, что трафик из России с начала этой блокировки заметно упал, т.е. новые пользователи просто не доходят до сайта, а разбираться в сути проблемы они не будут. Идёт потеря клиентов.
Это понятно, что управляет ТСПУ не провайдер, но по закону - виноват именно провайдер. Поэтому, если провайдеры поймут, что закон нарушают именно они (не важно что это из-за ТСПУ), то начнут шевелится и сами будут жаловаться в РКН/ГКРЧ для того, чтобы там смягчили правила.
но, к сожалению, клиентам сайта это не поможет, т.к. заранее анонимному клиенту у которого нет соединения нельзя дать такую подсказку, а делать выбор шифров на серверной части тоже смысла нет, т.к. сервер вообще не получает полный ClientHello, значит до этапа выбора шифра дело не дойдёт.
похоже "алгоритм" даже не учитывает количество параллельных соединений..., по крайней мере у меня. В WireShark видно, что при первом же соединении (через Chrome) пакет ClientHello рвется. Чтобы Chrome начал параллельные соединения, он должен сначала получить HTML-код страницы, где в разметке содержатся все источники (src), а потом уже устанавливает соединения (или берет данные из кэша).
Несколько дней назад периодически перестал открываться сайт моего проекта в Chrome и Яндекс.Браузере, при этом в Firefox работает нормально. Через VPN, SOCKS-прокси и мобильный интернет сайт открывается без проблем.
Сначала было сложно понять причину, но гугление привело на информацию этого поста и картина стала проясняться.
Провёл анализ трафика с помощью tcpdump на сервере и через Wireshark на клиентской части. В нерабочих сессиях TCP-соединение устанавливается, Chrome начинает TLS-рукопожатие и отправляет ClientHello размером около 1800 байт, однако до сервера доходит только первый сегмент, а оставшаяся часть ClientHello теряется по пути. В результате сервер не может собрать полный ClientHello и не отправляет ServerHello.
В успешных соединениях, а также при работе через Firefox, полный ClientHello доходит до сервера, TLS-рукопожатие завершается штатно и сайт открывается.
Меня крайне возмутила такая ситуация, т.к. такие действия со стороны провайдера - это явное нарушение закона. Ответственность за такую блокировку в конечном итоге несёт провайдер.
Я составил жалобу в адрес провайдера и отправил её в чат тех. поддержки. Там естественно ответили, что “о такой проблеме нам ничего не известно”, но тем не менее жалобу зарегистрировали.
Если ответ будет типа “проведена проверка, на нашей стороне ограничений нет”, то буду писать дальше - в РКН и ФАС.
Предлагаю всем написать свои подобные жалобы, т.к. если их не будет, а будет “молчание ягнят”, то ситуация будет только усугубляться и мы придём к полному “чебурнету”. Если провайдеры будут завалены подобными жалобами, тогда, возможно, что-то изменится к лучшему. Также важно, чтобы каждый попросил другого составить подобную жалобу, т.е. “функция должна быть рекурсивной”.
я так понял, зависит от провайдера. У некоторых вообще всё открывается как раньше, у меня при первом же соединении рвется ClientHello. С чем связано не знаю, возможно разный софт и сама версия ТСПУ. Возможно фашисты так выборочно проверяют свои правила фильтрации.
p.s. проблема ещё в том, что те пользователи, у которых сайт не открывается не могут об этом сообщить, т.к. обмен сообщениями - через форму обратной связи на сайте. Но заметно, что трафик из России с начала этой блокировки заметно упал, т.е. новые пользователи просто не доходят до сайта, а разбираться в сути проблемы они не будут. Идёт потеря клиентов.
Это понятно, что управляет ТСПУ не провайдер, но по закону - виноват именно провайдер. Поэтому, если провайдеры поймут, что закон нарушают именно они (не важно что это из-за ТСПУ), то начнут шевелится и сами будут жаловаться в РКН/ГКРЧ для того, чтобы там смягчили правила.
но, к сожалению, клиентам сайта это не поможет, т.к. заранее анонимному клиенту у которого нет соединения нельзя дать такую подсказку, а делать выбор шифров на серверной части тоже смысла нет, т.к. сервер вообще не получает полный ClientHello, значит до этапа выбора шифра дело не дойдёт.
Спасибо! Действительно помогло.
похоже "алгоритм" даже не учитывает количество параллельных соединений..., по крайней мере у меня. В WireShark видно, что при первом же соединении (через Chrome) пакет ClientHello рвется. Чтобы Chrome начал параллельные соединения, он должен сначала получить HTML-код страницы, где в разметке содержатся все источники (src), а потом уже устанавливает соединения (или берет данные из кэша).
Несколько дней назад периодически перестал открываться сайт моего проекта в Chrome и Яндекс.Браузере, при этом в Firefox работает нормально. Через VPN, SOCKS-прокси и мобильный интернет сайт открывается без проблем.
Сначала было сложно понять причину, но гугление привело на информацию этого поста и картина стала проясняться.
Провёл анализ трафика с помощью tcpdump на сервере и через Wireshark на клиентской части. В нерабочих сессиях TCP-соединение устанавливается, Chrome начинает TLS-рукопожатие и отправляет ClientHello размером около 1800 байт, однако до сервера доходит только первый сегмент, а оставшаяся часть ClientHello теряется по пути. В результате сервер не может собрать полный ClientHello и не отправляет ServerHello.
В успешных соединениях, а также при работе через Firefox, полный ClientHello доходит до сервера, TLS-рукопожатие завершается штатно и сайт открывается.
Меня крайне возмутила такая ситуация, т.к. такие действия со стороны провайдера - это явное нарушение закона. Ответственность за такую блокировку в конечном итоге несёт провайдер.
Я составил жалобу в адрес провайдера и отправил её в чат тех. поддержки. Там естественно ответили, что “о такой проблеме нам ничего не известно”, но тем не менее жалобу зарегистрировали.
Если ответ будет типа “проведена проверка, на нашей стороне ограничений нет”, то буду писать дальше - в РКН и ФАС.
Предлагаю всем написать свои подобные жалобы, т.к. если их не будет, а будет “молчание ягнят”, то ситуация будет только усугубляться и мы придём к полному “чебурнету”. Если провайдеры будут завалены подобными жалобами, тогда, возможно, что-то изменится к лучшему. Также важно, чтобы каждый попросил другого составить подобную жалобу, т.е. “функция должна быть рекурсивной”.
Составил для примера шаблон подобной жалобы:
https://drive.google.com/file/d/12Fo9cTRNQijaTe-zR_GvPcoA3FtVJRY4/view?usp=sharing