Por qué los VPN en Rusia caen ahora por subredes enteras de hosting

Los usuarios de VPN en Rusia atraviesan otra oleada de caídas, y la forma en que fallan los servicios ha cambiado. Desde agosto, los bloqueos no afectan a servidores VPN concretos, sino a rangos de direcciones enteros de las empresas de hosting donde funcionan esos servidores. El 14 de octubre, el canal tecnológico ruso Techmedia, citando al canal de Telegram Krovavaya Barynya, informó de que varios proveedores veían un fuerte aumento de las restricciones: «Ahora ya no bloquean direcciones IP sueltas, sino subredes enteras con cientos de direcciones. El número de bloqueos se ha multiplicado, dicen los participantes del mercado». El canal no nombró servicios ni dio cifras, y Roskomnadzor no ha hecho comentarios. Así funciona este tipo de bloqueo y por qué llega mucho más allá de los VPN.

De una dirección a cientos

Cada servidor de internet tiene una dirección IP, y las empresas de hosting reparten esas direcciones en bloques. El bloque más habitual, escrito como /24, contiene 256 direcciones. Cuando un censor bloquea la dirección de un solo servidor VPN, el operador puede mover el servidor a una dirección vecina del mismo proveedor y seguir adelante. Cuando el censor bloquea todo el /24, una sola regla deja fuera cientos de direcciones a la vez, y mudarse dentro del rango ya no sirve de nada.

El siguiente nivel es el bloqueo por red. Las grandes empresas de hosting anuncian su espacio de direcciones en internet como un sistema autónomo, una red numerada con su propia lista de prefijos. En agosto, Mijaíl Klimarev, de la Sociedad para la Protección de Internet, dijo a Euronews que las autoridades, con ayuda de empresas informáticas, habían identificado varias decenas de sistemas autónomos donde los servidores VPN se «concentran» y habían bloqueado todos sus prefijos. Fue la oleada del 4 de agosto: el canal de Telegram Exploit contó más de 20 servicios afectados, y varios, entre ellos VPN Legend, GaMMa VPN y LTVPN, informaron de problemas.

La oleada tras las elecciones a la Duma

La ronda actual comenzó después de las elecciones a la Duma Estatal del 18 al 20 de septiembre. Según SecurityLab, un servicio sitúa su inicio el 21 de septiembre y otro el 25 de septiembre, cuando las restricciones se intensificaron. Al menos diez servicios VPN notificaron problemas. Un operador sustituyó ocho servidores en cinco días, y otros dijeron que casi todas sus ubicaciones en el extranjero habían quedado inaccesibles. Un servicio contó que las conexiones OpenVPN desde routers domésticos habían dejado de funcionar para muchos usuarios rusos, cuando antes restricciones similares duraban unas pocas horas.

No hay datos públicos que demuestren un mecanismo único en todos los operadores y regiones, señala SecurityLab, y las caídas también pueden deberse a la detección de protocolos o a problemas de enrutamiento. Sin embargo, lo que describen los servicios encaja con el bloqueo por rangos: servidores sustituidos una y otra vez y ubicaciones extranjeras enteras que se apagan de golpe.

Quién más se queda sin conexión

Un bloqueo por rango no sabe qué hay detrás de cada dirección. La misma subred puede alojar una tienda en línea, el servidor de correo de una empresa o un sistema CRM, y todos desaparecen para los usuarios rusos junto con el VPN de al lado. Las empresas se quejan de que sus propios túneles fallan: el servidor remoto responde al ping y al SSH, pero el canal VPN cifrado no se establece. En abril, Roskomnadzor dijo que las VPN corporativas usadas dentro de las redes rusas no están restringidas y que había concedido excepciones para decenas de miles de direcciones y subredes utilizadas para acceder a recursos extranjeros por motivos de trabajo.

El Gobierno también está remodelando el espacio de direcciones por su lado. El 31 de agosto, según RBC recogido por Kommersant y Vedomosti, el Ministerio de Desarrollo Digital pidió a las empresas de hosting, las CDN y los servicios de protección DDoS que trasladaran las direcciones IP de los sitios de la «lista blanca» a subredes separadas. La lista blanca incluye servicios como Yandex, Ozon y Gosuslugi, que deben seguir funcionando incluso cuando se corta el internet móvil. Como los sitios suelen compartir direcciones con otros clientes de la misma CDN o del mismo servicio de protección, los VPN podrían acabar en la lista blanca junto a ellos. La medida cuenta con el respaldo del FSB, informa Kommersant.

Qué cambia para los operadores y usuarios de VPN

Para un operador de VPN, el coste de cada servidor bloqueado sube: cambiar de dirección ya no sirve, y mudarse supone cambiar de empresa de hosting o de país. Quienes montan su propio servidor en un VPS alquilado se enfrentan al mismo problema. Si el rango de su proveedor está bloqueado, es probable que una nueva dirección del mismo proveedor también lo esté. Para los usuarios, el resultado es lo que los rusos describen desde agosto: servicios que funcionan un día y se caen al siguiente, cambios frecuentes de servidor y ningún final a la vista. El cerco, además, cuenta con más dinero: Rusia duplica su presupuesto para el bloqueo de internet y la lucha contra los VPN.