ТСПУ: серверная часть

• ТСПУ пропускает первые 16 КБ данных, потом рвёт соединение к IP пруф; «16-20 блок» банит подсети целиком у части хостеров (picky/waicor/OVH/4vps/AWS) пруф; в 16-20 блоке нода пингуется, но подключения не работают пруф; Zombie TCP (TCP ok, данных нет) = ресурс мёртв пруф.
• БС (белые списки) работают на L3: режут связность, оставляя разрешённые IP; VPN/прокси/SNI не помогают пруф; подсети БС: Яндекс 51.250.0.0/17, 84.201.128.0/18, 158.160.0.0/16; VK 217.16.24.0/21, 95.163.248.0/22; Timeweb 185.39.206.0/24, 91.222.239.0/24; FirstVDS 109.73.201.0/24; EdgeCenter 95.181.182.0/24 и др. пруф.
• Сканер IP на Яндексе: «если видят docker remnawave — снесут без объяснений» пруф; у VDS-хостеров ТСПУ «есть у всех, но настроено по-разному» пруф; ТСПУ стоит на магистралях, не у хостера пруф.
• Проверки: censorcheck (wget -qO- censorcheck.tlab.pw | bash), ipregion, iperf3, yabs, IP.Check.Place, bench.sh, multitest пруф; тест «айпи в БС» за 1–2 минуты: sudo python3 -m http.server 80 → открыть http://ip с мобильного пруф; ТСПУ через nginx: поднять nginx и curl -v IP с ру-сервера — если ответ неполный, ТСПУ-блок пруф; пинг не показателен, curl показателен пруф; bgp.tools/prefix/#connectivity пруф.
• WARP-туннель между РФ и заграницей ТСПУ не режет (режет на входе в РФ) — даёт подъезд к панели пруф; WireGuard в РФ: классический WG «изи блочат» пруф; схема VLESS IN → WireGuard OUT: сервер на бегете, вход VLESS, выход WG — работает 50/50 на ру, 100% на иностранных пруф.
• AmneziaWG v2 шлёт мусор, работает; L2TP/IPSec на БС-серверах работают пруф.
• CDN-обход БС: только GET/HEAD/OPTIONS (PUT/POST режут), Яндекс CDN основной + MWS резервный; трафик ~0.8–1₽/ГБ; скорость до 500 Мбит/с пруф; тарификация Яндекса: 150₽/мес — 150 ГБ + 100 млн запросов, далее ~1₽/ГБ и 1₽/100k запросов пруф; аккаунты-пустышки с грантом ~500₽ держатся 2–3 ТБ пруф; VK CDN коды: 429 = rate-limit/плохой кэш, 451 = полный бан пруф; билайн банит при отсутствии кэша (403) пруф; CDN эджи надо подбирать (регион/оператор), список префиксов Яши: tech.cdn.yandex.net/prefixes/yc.json пруф.
• Мост (RU→EU): vless-влесс пинг нулевой, vless-ss при нехватке ОЗУ пруф; SS-мост банится на большинстве провайдеров пруф; hysteria2 хорош для мостов при потерях, но реже на скорости пруф; конфиг моста (дословный, RU→DE SS) пруф:

{
  "inbounds": [{
    "tag": "PUBLIC_RU_INBOUND", "port": 443, "listen": "0.0.0.0",
    "protocol": "vless",
    "settings": { "clients": [], "decryption": "none" },
    "sniffing": { "enabled": true, "destOverride": ["http","tls","quic"] },
    "streamSettings": { "network": "raw", "security": "reality",
      "realitySettings": { "show": false, "xver": 0, "target": "google.com:443",
        "shortIds": [""], "privateKey": "<key>",
        "serverNames": ["google.com","www.google.com"] } }
  }],
  "outbounds": [
    { "tag": "DIRECT", "protocol": "freedom" },
    { "tag": "BLOCK", "protocol": "blackhole" },
    { "tag": "SS_OUTBOUND_TO_DE", "protocol": "shadowsocks",
      "settings": { "servers": [{ "port": 9999, "level": 0,
        "method": "chacha20-ietf-poly1305",
        "address": "<нода DE>", "password": "<SS Password>" }] } }
  ],
  "routing": { "rules": [
    { "ip": ["geoip:private"], "outboundTag": "BLOCK" },
    { "domain": ["geosite:private"], "outboundTag": "BLOCK" },
    { "protocol": ["bittorrent"], "outboundTag": "BLOCK" },
    { "ip": ["geoip:ru"], "outboundTag": "DIRECT" },
    { "domain": ["geosite:category-ru"], "outboundTag": "DIRECT" },
    { "inboundTag": ["PUBLIC_RU_INBOUND"], "outboundTag": "SS_OUTBOUND_TO_DE" }
  ] }
}

• Балансер Xray (клиент/сервер): leastLoad + burstObservatory, costs для fallback, fallbackTag — один outbound пруф:

"balancers": [{ "tag": "auto-lte", "selector": ["lte", "proxy"],
  "strategy": { "type": "leastLoad", "settings": {
    "costs": [ {"match": "lte-lc", "value": 1000}, {"match": "proxy", "value": 1} ],
    "maxRTT": "1s", "tolerance": 0.35 } }, "fallbackTag": "direct" }],
"burstObservatory": { "pingConfig": { "timeout": "3s", "interval": "1m", "sampling": 1,
  "destination": "http://www.gstatic.com/generate_204" }, "subjectSelector": ["proxy"] }

selector и subjectSelector — префиксные матчеры по началу тега; costs только внутри leastLoad пруф.

• Мульти-CIDR проверка подсетей (multi CIDR scan) — TCP-пинг ≠ «ворк» пруф.
• ТСПУ MITM: подсовывает настоящий сертификат маскировочного сайта; в логах REALITY: received real certificate (potential MITM or redirection) пруф.
• Итог по транспорту (04.08.2026): нужны vless raw и vless xhttp (raw на обычные серверы, xhttp под CDN); grpc решает параллельные соединения; самый живучий — grpc tls пруф.