feat(fuzzer): add RAG knowledge base and LLM-powered strategy synthesizer

2026-08-26 22:50:12 +03:00
parent dc6f0547b4
commit 3ead229264
24 changed files with 3315 additions and 1880 deletions
@@ -0,0 +1,49 @@
+# 17. Сигнатуры ТСПУ (РКН) и методы противодействия десинхронизацией
+
+## 1. Архитектура и принципы работы ТСПУ
+
+ТСПУ (Технические средства противодействия угрозам) — это аппаратно-программные комплексы глубокого анализа пакетов (DPI), установленные на сетях операторов связи в РФ. 
+
+### Основные режимы фильтрации:
+1. **Пассивный анализ (In-line / TAP):** ТСПУ прослушивает зеркалированный трафик. При обнаружении запрещенного SNI или URL генерирует и инжектирует TCP RST пакет в обе стороны соединения.
+2. **Активный дроп (In-line Drop):** ТСПУ установлен в разрыв канала и физически отбрасывает пакеты сессии, вызывая `Connection Timeout` или `EOF`.
+3. **Троттлинг (Шейпинг по L7-сигнатурам):** Ограничение пропускной способности (например, до 128 Кбит/с) при обнаружении определённых потоков данных (YouTube `googlevideo.com` CDN).
+
+---
+
+## 2. Анализ блокировок по ключевым сервисам
+
+### 2.1. YouTube (GoogleVideo 4K троттлинг)
+- **Механика блокировки:** ТСПУ анализирует TLS ClientHello при обращении к CDN-нодам `rr*.googlevideo.com`. При совпадении сигнатуры ТСПУ не закрывает соединение сразу, а переводит TCP-сессию в режим искусственного ограничения скорости или отбрасывает чанки видео.
+- **Эффективное противодействие:**
+  - `multisplit:pos=1,midsld:seqovl=1:fooling=badseq` (Zapret v2)
+  - `fake,split2:pos=1:ttl=8:fooling=badseq` (Zapret v1)
+  - Сплит на `midsld` разрывает домен `googlevideo` пополам, предотвращая сработку строкового парсера ТСПУ.
+
+### 2.2. Discord (Gateway + Голосовые каналы RTC)
+- **Механика блокировки:** Блокировка состоит из двух компонентов:
+  1. TCP 443 — шлюз сообщений и API (`discord.com`, `gateway.discord.gg`).
+  2. UDP 50000-65535 — голосовые сессии WebRTC / Voice.
+- **Эффективное противодействие:**
+  - Мультипрофиль `zapret2`:
+    - Для TCP 443: `--filter-tcp=443 --lua-desync=multisplit:pos=1,sniext+4:seqovl=1:fooling=badseq`
+    - Для UDP Voice: `--filter-udp=50000-65535 --lua-desync=fake:ttl=8`
+
+### 2.3. Instagram & Meta (TLS 1.3 / ECH)
+- **Механика блокировки:** ТСПУ сбрасывает TCP-соединение инжекцией RST-пакета сразу после получения первого ClientHello с открытым SNI `instagram.com`.
+- **Эффективное противодействие:**
+  - Низко-TTL фейк с `fooling=badseq` или `fooling=md5sig`, за которым следует сегментированный TLS-хэндшейк. ТСПУ «съедает» фейковый пакет и блокирует его, игнорируя последующий настоящий запрос.
+
+### 2.4. RuTracker & Сайты из реестра РКН
+- **Механика блокировки:** HTTP перенаправление на заглушку провайдера (302 Redirect) или TCP RST на HTTPS SNI.
+- **Эффективное противодействие:**
+  - `disorder2:pos=1` или `split2:pos=1:seqovl=1` нарушает сборку HTTP/TLS заголовка в DPI.
+
+---
+
+## 3. Вычисление оптимального TTL до ТСПУ
+
+Для стратегий с инжекцией фейковых пакетов (`fake`) критически важно подобрать параметр `ttl`:
+- **Слишком маленький TTL (< 3):** фейковый пакет умирает на маршрутизаторах провайдера до того, как долетит до ТСПУ. ТСПУ видит реальный пакет и блокирует сессию.
+- **Слишком большой TTL (> 15):** фейковый пакет долетает до сервера назначения, и сервер разрывает соединение из-за невалидного хэндшейка.
+- **Оптимальный диапазон:** `TTL = 6..8` для большинства магистральных операторов РФ.