# 17. Сигнатуры ТСПУ (РКН) и методы противодействия десинхронизацией

## 1. Архитектура и принципы работы ТСПУ

ТСПУ (Технические средства противодействия угрозам) — это аппаратно-программные комплексы глубокого анализа пакетов (DPI), установленные на сетях операторов связи в РФ. 

### Основные режимы фильтрации:
1. **Пассивный анализ (In-line / TAP):** ТСПУ прослушивает зеркалированный трафик. При обнаружении запрещенного SNI или URL генерирует и инжектирует TCP RST пакет в обе стороны соединения.
2. **Активный дроп (In-line Drop):** ТСПУ установлен в разрыв канала и физически отбрасывает пакеты сессии, вызывая `Connection Timeout` или `EOF`.
3. **Троттлинг (Шейпинг по L7-сигнатурам):** Ограничение пропускной способности (например, до 128 Кбит/с) при обнаружении определённых потоков данных (YouTube `googlevideo.com` CDN).

---

## 2. Анализ блокировок по ключевым сервисам

### 2.1. YouTube (GoogleVideo 4K троттлинг)
- **Механика блокировки:** ТСПУ анализирует TLS ClientHello при обращении к CDN-нодам `rr*.googlevideo.com`. При совпадении сигнатуры ТСПУ не закрывает соединение сразу, а переводит TCP-сессию в режим искусственного ограничения скорости или отбрасывает чанки видео.
- **Эффективное противодействие:**
  - `multisplit:pos=1,midsld:seqovl=1:fooling=badseq` (Zapret v2)
  - `fake,split2:pos=1:ttl=8:fooling=badseq` (Zapret v1)
  - Сплит на `midsld` разрывает домен `googlevideo` пополам, предотвращая сработку строкового парсера ТСПУ.

### 2.2. Discord (Gateway + Голосовые каналы RTC)
- **Механика блокировки:** Блокировка состоит из двух компонентов:
  1. TCP 443 — шлюз сообщений и API (`discord.com`, `gateway.discord.gg`).
  2. UDP 50000-65535 — голосовые сессии WebRTC / Voice.
- **Эффективное противодействие:**
  - Мультипрофиль `zapret2`:
    - Для TCP 443: `--filter-tcp=443 --lua-desync=multisplit:pos=1,sniext+4:seqovl=1:fooling=badseq`
    - Для UDP Voice: `--filter-udp=50000-65535 --lua-desync=fake:ttl=8`

### 2.3. Instagram & Meta (TLS 1.3 / ECH)
- **Механика блокировки:** ТСПУ сбрасывает TCP-соединение инжекцией RST-пакета сразу после получения первого ClientHello с открытым SNI `instagram.com`.
- **Эффективное противодействие:**
  - Низко-TTL фейк с `fooling=badseq` или `fooling=md5sig`, за которым следует сегментированный TLS-хэндшейк. ТСПУ «съедает» фейковый пакет и блокирует его, игнорируя последующий настоящий запрос.

### 2.4. RuTracker & Сайты из реестра РКН
- **Механика блокировки:** HTTP перенаправление на заглушку провайдера (302 Redirect) или TCP RST на HTTPS SNI.
- **Эффективное противодействие:**
  - `disorder2:pos=1` или `split2:pos=1:seqovl=1` нарушает сборку HTTP/TLS заголовка в DPI.

---

## 3. Вычисление оптимального TTL до ТСПУ

Для стратегий с инжекцией фейковых пакетов (`fake`) критически важно подобрать параметр `ttl`:
- **Слишком маленький TTL (< 3):** фейковый пакет умирает на маршрутизаторах провайдера до того, как долетит до ТСПУ. ТСПУ видит реальный пакет и блокирует сессию.
- **Слишком большой TTL (> 15):** фейковый пакет долетает до сервера назначения, и сервер разрывает соединение из-за невалидного хэндшейка.
- **Оптимальный диапазон:** `TTL = 6..8` для большинства магистральных операторов РФ.