Pourquoi les VPN en Russie tombent désormais par sous-réseaux entiers

Les utilisateurs de VPN en Russie subissent une nouvelle vague de pannes, et la manière dont les services tombent a changé. Depuis août, les blocages ne visent plus des serveurs VPN isolés, mais des plages d'adresses entières chez les hébergeurs où tournent ces serveurs. Le 14 octobre, la chaîne tech russe Techmedia, citant la chaîne Telegram Krovavaya Barynya, a rapporté que plusieurs fournisseurs constataient une forte hausse des restrictions : « Désormais, on ne bloque plus des adresses IP isolées mais des sous-réseaux entiers de plusieurs centaines d'adresses. Le nombre de blocages a été multiplié, affirment les acteurs du marché. » La chaîne n'a cité aucun service ni aucun chiffre, et Roskomnadzor n'a pas réagi. Voici comment fonctionne ce type de blocage et pourquoi il touche bien au-delà des VPN.

D'une adresse à des centaines

Chaque serveur sur internet possède une adresse IP, et les hébergeurs distribuent ces adresses par blocs. Le bloc le plus courant, noté /24, contient 256 adresses. Quand un censeur bloque l'adresse d'un seul serveur VPN, l'opérateur peut déplacer le serveur vers une adresse voisine chez le même hébergeur et continuer. Quand le censeur bloque tout le /24, une seule règle fait tomber des centaines d'adresses d'un coup, et déménager à l'intérieur de la plage ne sert plus à rien.

L'étape suivante est le blocage par réseau. Les grands hébergeurs annoncent leur espace d'adressage sur internet sous la forme d'un système autonome, un réseau numéroté avec sa propre liste de préfixes. En août, Mikhaïl Klimarev, de la Société de protection d'internet, a déclaré à Euronews que les autorités, avec l'aide d'entreprises informatiques, avaient repéré plusieurs dizaines de systèmes autonomes où les serveurs VPN se « concentrent », et bloqué tous leurs préfixes. C'était la vague du 4 août : la chaîne Telegram Exploit a compté plus de 20 services touchés, et plusieurs d'entre eux, dont VPN Legend, GaMMa VPN et LTVPN, ont signalé des problèmes.

La vague après les élections à la Douma

La série actuelle a commencé après les élections à la Douma d'État du 18 au 20 septembre. Selon SecurityLab, un service situe son début au 21 septembre et un autre au 25 septembre, date à laquelle les restrictions se sont durcies. Au moins dix services VPN ont signalé des problèmes. Un opérateur a remplacé huit serveurs en cinq jours, et d'autres ont dit que presque tous leurs emplacements à l'étranger étaient devenus inaccessibles. Un service a indiqué que les connexions OpenVPN depuis les routeurs domestiques avaient cessé de fonctionner pour de nombreux utilisateurs russes, alors que des restrictions similaires ne duraient auparavant que quelques heures.

Aucune donnée publique ne montre un mécanisme unique chez tous les opérateurs et dans toutes les régions, souligne SecurityLab, et les pannes peuvent aussi venir de la détection de protocole ou de problèmes de routage. Ce que décrivent les services correspond pourtant à un blocage par plages : des serveurs remplacés encore et encore, et des emplacements étrangers entiers qui s'éteignent d'un coup.

Qui d'autre est coupé

Un blocage par plage ne sait pas ce qui se cache derrière chaque adresse. Le même sous-réseau peut héberger une boutique en ligne, le serveur de messagerie d'une entreprise ou un système CRM, et tous disparaissent pour les utilisateurs russes en même temps que le VPN voisin. Des entreprises se plaignent que leurs propres tunnels tombent : le serveur distant répond au ping et au SSH, mais le canal VPN chiffré ne s'établit pas. En avril, Roskomnadzor a affirmé que les VPN d'entreprise utilisés au sein des réseaux russes n'étaient pas restreints, et qu'il avait accordé des exceptions pour des dizaines de milliers d'adresses et de sous-réseaux servant à accéder à des ressources étrangères pour le travail.

L'État remodèle aussi l'espace d'adressage de son côté. Le 31 août, selon RBC repris par Kommersant et Vedomosti, le ministère du Développement numérique a demandé aux hébergeurs, aux CDN et aux services de protection DDoS de déplacer les adresses IP des sites de la « liste blanche » vers des sous-réseaux distincts. Cette liste blanche couvre des services comme Yandex, Ozon et Gosuslugi, censés continuer à fonctionner même lorsque l'internet mobile est coupé. Comme les sites partagent souvent leurs adresses avec d'autres clients du même CDN ou service de protection, les VPN pourraient se retrouver sur la liste blanche à leurs côtés. La mesure est soutenue par le FSB, rapporte Kommersant.

Ce qui change pour les opérateurs et les utilisateurs de VPN

Pour un opérateur VPN, le coût de chaque serveur bloqué augmente : changer d'adresse ne sert plus à rien, et déménager revient à changer d'hébergeur ou de pays. Les personnes qui font tourner leur propre serveur sur un VPS loué rencontrent le même problème. Si la plage de leur hébergeur est bloquée, une nouvelle adresse chez le même hébergeur risque fort de l'être aussi. Pour les utilisateurs, le résultat est ce que décrivent les Russes depuis août : des services qui marchent un jour et lâchent le lendemain, des changements de serveur fréquents et aucune fin en vue. L'étau se resserre aussi avec plus d'argent : la Russie double son budget consacré au blocage d'internet et à la lutte contre les VPN.