17. Сигнатуры ТСПУ (РКН) и методы противодействия десинхронизацией

1. Архитектура и принципы работы ТСПУ

ТСПУ (Технические средства противодействия угрозам) — это аппаратно-программные комплексы глубокого анализа пакетов (DPI), установленные на сетях операторов связи в РФ.

Основные режимы фильтрации:

Пассивный анализ (In-line / TAP): ТСПУ прослушивает зеркалированный трафик. При обнаружении запрещенного SNI или URL генерирует и инжектирует TCP RST пакет в обе стороны соединения.
Активный дроп (In-line Drop): ТСПУ установлен в разрыв канала и физически отбрасывает пакеты сессии, вызывая Connection Timeout или EOF.
Троттлинг (Шейпинг по L7-сигнатурам): Ограничение пропускной способности (например, до 128 Кбит/с) при обнаружении определённых потоков данных (YouTube googlevideo.com CDN).

2. Анализ блокировок по ключевым сервисам

2.1. YouTube (GoogleVideo 4K троттлинг)

Механика блокировки: ТСПУ анализирует TLS ClientHello при обращении к CDN-нодам rr*.googlevideo.com. При совпадении сигнатуры ТСПУ не закрывает соединение сразу, а переводит TCP-сессию в режим искусственного ограничения скорости или отбрасывает чанки видео.
Эффективное противодействие:
- multisplit:pos=1,midsld:seqovl=1:fooling=badseq (Zapret v2)
- fake,split2:pos=1:ttl=8:fooling=badseq (Zapret v1)
- Сплит на midsld разрывает домен googlevideo пополам, предотвращая сработку строкового парсера ТСПУ.

2.2. Discord (Gateway + Голосовые каналы RTC)

Механика блокировки: Блокировка состоит из двух компонентов:
1. TCP 443 — шлюз сообщений и API (discord.com, gateway.discord.gg).
2. UDP 50000-65535 — голосовые сессии WebRTC / Voice.
Эффективное противодействие:
- Мультипрофиль zapret2:
  - Для TCP 443: --filter-tcp=443 --lua-desync=multisplit:pos=1,sniext+4:seqovl=1:fooling=badseq
  - Для UDP Voice: --filter-udp=50000-65535 --lua-desync=fake:ttl=8

2.3. Instagram & Meta (TLS 1.3 / ECH)

Механика блокировки: ТСПУ сбрасывает TCP-соединение инжекцией RST-пакета сразу после получения первого ClientHello с открытым SNI instagram.com.
Эффективное противодействие:
- Низко-TTL фейк с fooling=badseq или fooling=md5sig, за которым следует сегментированный TLS-хэндшейк. ТСПУ «съедает» фейковый пакет и блокирует его, игнорируя последующий настоящий запрос.

2.4. RuTracker & Сайты из реестра РКН

Механика блокировки: HTTP перенаправление на заглушку провайдера (302 Redirect) или TCP RST на HTTPS SNI.
Эффективное противодействие:
- disorder2:pos=1 или split2:pos=1:seqovl=1 нарушает сборку HTTP/TLS заголовка в DPI.

3. Вычисление оптимального TTL до ТСПУ

Для стратегий с инжекцией фейковых пакетов (fake) критически важно подобрать параметр ttl:

Слишком маленький TTL (< 3): фейковый пакет умирает на маршрутизаторах провайдера до того, как долетит до ТСПУ. ТСПУ видит реальный пакет и блокирует сессию.
Слишком большой TTL (> 15): фейковый пакет долетает до сервера назначения, и сервер разрывает соединение из-за невалидного хэндшейка.
Оптимальный диапазон: TTL = 6..8 для большинства магистральных операторов РФ.

4.9 KiB Raw Blame History Unescape Escape