Почему VPN в России теперь отключают целыми подсетями хостеров

У пользователей VPN в России очередная волна сбоев, и сервисы теперь отваливаются по-другому. С августа блокируют не отдельные VPN-серверы, а целые диапазоны адресов у хостинг-компаний, где эти серверы стоят. 14 октября телеграм-канал Techmedia со ссылкой на канал «Кровавая барыня» написал, что сразу несколько провайдеров сообщают о резком усилении ограничений: «Теперь банят не отдельные IP-адреса, а целые подсети с сотнями адресов. Число блокировок выросло в разы, говорят участники рынка». Названий сервисов и цифр в посте нет, Роскомнадзор ситуацию не комментировал. Разбираемся, как устроена такая блокировка и почему она задевает далеко не только VPN.

От одного адреса к сотням

У каждого сервера в интернете есть IP-адрес, а хостинг-компании раздают адреса блоками. Самый распространённый блок, /24, вмещает 256 адресов. Если цензор блокирует адрес одного VPN-сервера, оператор переносит сервер на соседний адрес у того же хостера и работает дальше. Если блокируют весь /24, одно правило выключает сразу сотни адресов, и переезд внутри диапазона уже не помогает.

Следующая ступень: блокировка по сетям. Крупные хостеры объявляют свои адреса в интернете как автономную систему, то есть сеть со своим номером и списком префиксов. В августе Михаил Климарев из «Общества защиты интернета» рассказал Euronews, что власти с помощью IT-компаний выявили несколько десятков автономных систем, где «кучкуются VPN», и заблокировали все их префиксы. Это была волна 4 августа: телеграм-канал «Эксплойт» насчитал больше 20 пострадавших сервисов, о проблемах сообщили в том числе VPN Legend, GaMMa VPN и LTVPN.

Волна после выборов в Думу

Нынешний виток начался после выборов в Госдуму 18-20 сентября. По данным SecurityLab, один сервис отсчитывает его начало с 21 сентября, другой говорит об усилении ограничений 25 сентября. О проблемах сообщили не меньше десяти VPN-сервисов. Один оператор за пять дней сменил восемь серверов, другие сообщили, что недоступны почти все их зарубежные локации. Ещё один сервис рассказал, что у многих российских пользователей перестали работать подключения OpenVPN с домашних роутеров, хотя раньше подобные ограничения длились несколько часов.

Публичных данных, которые подтверждали бы единый механизм для всех операторов и регионов, нет, отмечает SecurityLab: сбои бывают и из-за распознавания протоколов, и из-за проблем с маршрутизацией. Но то, что описывают сами сервисы, похоже именно на блокировку диапазонов: серверы приходится менять снова и снова, а целые зарубежные локации пропадают разом.

Кого отключают заодно

Блокировка диапазона не разбирает, что стоит за каждым адресом. В той же подсети может работать интернет-магазин, корпоративная почта или CRM-система, и для российских пользователей всё это пропадает вместе с соседним VPN. Компании жалуются, что ломаются их собственные туннели: удалённый сервер отвечает на ping и SSH, а защищённый VPN-канал не поднимается. В апреле Роскомнадзор заявлял, что корпоративные VPN для работы внутри российских сетей связи не ограничиваются, а для доступа к зарубежным ресурсам в рабочих целях ведомство выдало исключения для десятков тысяч адресов и подсетей.

Государство перекраивает адреса и со своей стороны. 31 августа, по данным РБК, которые пересказали «Коммерсантъ» и «Ведомости», Минцифры попросило хостеров, CDN и сервисы защиты от DDoS вынести IP-адреса сайтов из «белого списка» в отдельные подсети. В белый список входят сервисы вроде «Яндекса», Ozon и «Госуслуг», которые должны работать даже при отключении мобильного интернета. Сайты часто делят адреса с другими клиентами того же CDN или сервиса защиты, поэтому в белый список вместе с ними могли попадать и VPN. Механизм поддержала ФСБ, пишет «Коммерсантъ».

Что это меняет для VPN-сервисов и пользователей

Для VPN-оператора каждый заблокированный сервер обходится дороже: смена адреса уже не помогает, а переезд означает смену хостера или страны. С той же проблемой сталкиваются люди, которые держат свой сервер на арендованном VPS. Если диапазон их хостера заблокирован, новый адрес у того же хостера, скорее всего, тоже окажется под блокировкой. Для пользователей итог такой, какой россияне описывают с августа: сервис сегодня работает, а завтра нет, серверы приходится постоянно переключать, и конца этому не видно. Денег на это тоже становится больше: Россия удваивает бюджет на блокировки и борьбу с VPN.