Как работает ТСПУ и почему VPN внезапно перестаёт подключаться

Ещё вчера VPN работал, а сегодня подключение висит на «Connecting…». Знакомо? В большинстве случаев дело не в вашем приложении и не в сервере, а в оборудовании, которое стоит у провайдера. Разберём, как оно устроено.

Что такое ТСПУ

ТСПУ — технические средства противодействия угрозам. Это аппаратно-программные комплексы, установленные на сетях российских операторов связи. Через них проходит весь трафик абонентов, и управляются они централизованно.

Ключевое отличие от старых методов блокировки: раньше провайдер получал список доменов и IP-адресов и просто не пускал к ним. Это легко обходилось — достаточно было сменить DNS или зайти через любой прокси. ТСПУ работает иначе: оно анализирует сам характер трафика, а не только адрес назначения.

Как оно находит VPN

У системы есть несколько независимых приёмов, и обычно они применяются вместе.

1. Сигнатуры протокола

Каждый протокол оставляет узнаваемый след в первых байтах соединения. Классический OpenVPN начинает обмен с характерного заголовка, WireGuard — с пакета фиксированной длины и структуры. Такие шаблоны распознаются мгновенно и дёшево, без всякого машинного обучения.

2. Статистический анализ

Даже если протокол замаскирован под HTTPS, его выдаёт поведение. У обычного просмотра сайтов трафик рваный: запрос, пауза, ответ, снова пауза. У VPN-туннеля — ровный поток с характерным распределением размеров пакетов. Система смотрит на длительность соединения, соотношение входящего и исходящего трафика, равномерность — и делает вывод.

3. Активное зондирование

Самый неприятный приём. Система берёт подозрительный адрес и сама отправляет на него специально сформированные запросы. Настоящий веб-сервер ответит понятной HTTP-ошибкой или отдаст страницу. Прокси-сервер, ожидающий «свой» протокол, ответит тишиной или обрывом — и этим себя выдаст.

4. Блокировка по IP

Самое грубое, но и самое эффективное. Если адрес сервера однажды засветился, его просто вносят в список и перестают пускать. Причём избирательно: с одного оператора адрес доступен, с другого уже нет.

Почему блокировка приходит волнами

Типичная картина, которую видят пользователи: сервер работает неделями, потом «умирает» на несколько часов, потом оживает сам. Объяснение простое — списки на ТСПУ обновляются не постоянно, а порциями. Адрес попадает в выгрузку, блокируется, через какое-то время правило снимается или перестаёт применяться.

Отсюда и знакомое «вечером не работает, утром снова всё хорошо». Это не перегрузка сервера и не проблемы провайдера — это цикл обновления фильтров.

Характерная улика: сервер пингуется, но TCP-соединение не устанавливается. ICMP проходит, а SYN-пакеты до сервера не доходят — значит, режет оборудование по пути, а не сам сервер.

Что реально помогает

• Маскировка под обычный HTTPS. Протоколы VLESS и Reality делают трафик неотличимым от обращения к обычному сайту — у них нет собственной сигнатуры.
• Промежуточные узлы внутри страны. Соединение идёт на российский IP-адрес, который выглядит безобидно, а уже оттуда уходит за рубеж. Снаружи это выглядит как обращение к местному серверу.
• Много независимых каналов. Если у сервиса 40–50 конфигураций на разных адресах и портах, блокировка одного-двух не отключает вас полностью.
• Смена протокола. Иногда достаточно переключиться с одной конфигурации на другую внутри того же приложения.

Что не помогает

Смена DNS — бесполезна, фильтрация идёт не по доменам. Бесплатные прокси из поиска — их адреса известны и заблокированы в первую очередь. Стандартный OpenVPN без обфускации — его сигнатура распознаётся за доли секунды.

Коротко

ТСПУ не ищет «запрещённые сайты» — оно ищет подозрительный трафик. Поэтому побеждает не тот VPN, который прячет адрес, а тот, который выглядит как обычная работа в интернете. И тот, у которого есть запас каналов на случай, когда один из них всё-таки попадёт под фильтр.

Читайте также