Active probing: как блокировщики проверяют подозрительные серверы

Пассивный анализ трафика — только половина работы систем фильтрации. Вторая половина начинается, когда они сами стучатся на ваш сервер.

Как это работает

Система заметила странное соединение: много трафика, необычный профиль, непонятный порт. Полной уверенности нет. Тогда она берёт этот адрес и отправляет на него собственные запросы.

Логика проверки проста:

• Отправляем обычный HTTP-запрос — настоящий веб-сервер ответит страницей или ошибкой
• Отправляем мусор — нормальный сервис вернёт внятную ошибку протокола
• Начинаем TLS-рукопожатие — должен прийти сертификат

Прокси, который ждёт только «свой» протокол, обычно отвечает молчанием или резким обрывом. Для анализатора это и есть ответ.

Чем отвечали разработчики

Fallback. Сервер настраивается так, что при неузнанном запросе отдаёт настоящий сайт — простую страницу, блог, что угодно. Проверка получает осмысленный ответ и уходит.

Слабое место: сайт должен выглядеть живым. Пустая заглушка nginx — сама по себе признак.

Reality. Радикальное решение: вместо показа своей страницы сервер проксирует рукопожатие на чужой настоящий сайт. Проверяющий получает подлинный сертификат подлинного домена. Доказать подмену нечем, потому что подмены и нет.

Почему это важно при выборе сервиса

Если прокси можно вычислить зондированием, его время ограничено: рано или поздно адрес проверят и внесут в списки. Поэтому современные решения строятся так, чтобы на любой чужой запрос отвечать как обычный сервер.

Что это значит на практике

Самостоятельно поднятый сервер по первой попавшейся инструкции чаще всего зондирование не переживёт — в типовых руководствах fallback не настраивают. Если поднимаете сами, обязательно сделайте осмысленный запасной ответ, а лучше используйте Reality.

В нашем сервисе Reality-конфигурации идут в общем списке наравне с остальными — переключиться можно в любой момент, если текущий канал начал вызывать вопросы.

Читайте также