ТСПУ на пальцах: как режут трафик и как это выглядит

ТСПУ — не абстрактный «РКН что-то заблокировал», а вполне конкретная коробка в сети твоего провайдера. У неё есть ограничения: она не читает зашифрованное, но видит всё, что идёт открытым текстом, и умеет считать. Поняв, что именно она видит, легко понять, почему одно работает, а другое нет.

#Где он стоит

ТСПУ (технические средства противодействия угрозам) ставят у операторов связи по закону о «суверенном интернете», который действует с 1 ноября 2019 года. Оборудование принадлежит государству, правила приходят централизованно от Роскомнадзора. Провайдер его не настраивает и часто сам не знает, что сегодня режется.

Из этого сразу следуют две вещи:

• Всё решается на стороне абонента. Сервер за границей может быть идеально настроен, но если ТСПУ у провайдера пользователя его режет, пользователь его не увидит. Поэтому проверять доступность надо с российских домашних и мобильных сетей, а не из дата-центра: по опыту сообщества, у хостеров ТСПУ «есть у всех, но настроено по-разному» ( Сайт не открывается из РФ).
• Разные операторы и регионы видят разное. Правила раскатывают неравномерно: в ноябре 2025 Reality массово отвалился на Урале, в Крыму и Сибири раньше, чем в Москве пруф.

#Что он видит в зашифрованном трафике

TLS шифрует содержимое, но не всё соединение. Вот что остаётся на виду у любого посредника:

Отсюда ясно, почему «просто включить шифрование» не помогает: DPI не нужно расшифровывать трафик, ему хватает формы. И почему выжили протоколы, которые выглядят как обычный HTTPS к настоящему сайту.

#Семь способов блокировки

#1. По IP-адресу и подсети

Самое грубое: пакеты к адресу просто не доходят. TCP не открывается, пинг обычно тоже пропадает. Банят как отдельные адреса, так и подсети: к 23.08.2026 в сообществе отмечали, что баны идут по /32, то есть по одному адресу, а не по /24 23.08.26.

Симптом: curl висит на подключении и падает по таймауту, TCP-пинг из РФ не проходит, из-за границы всё открывается.

#2. По имени сайта (SNI)

TCP открывается, но как только в ClientHello появляется запрещённое имя, соединение рвётся. Иногда ТСПУ вместо обрыва подсовывает свой ответ.

Симптом: с IP напрямую TCP-проверка проходит, а HTTPS по имени — нет. В сообществе описывали такую картину «прямой резки»: curl -v https://домен даёт SSL_ERROR_SYSCALL, а curl -v http://домен — Empty reply from server 10.07.26.

#3. По отпечатку и признакам протокола

ТСПУ узнаёт протоколы по первым байтам и по отпечатку TLS. Классический WireGuard к зарубежному серверу «изи блочат» 29.07.26. В мае 2026 начали отбрасывать VLESS Reality с отпечатком chrome из старой версии Xray: пинг есть, соединения нет, лечилось сменой fingerprint и обновлением ядра пруф.

Симптом: соседние протоколы на том же сервере и порту работают, а один конкретный нет.

#4. Активное зондирование

ТСПУ не только смотрит, но и проверяет сам: подключается к подозрительному серверу или вмешивается в рукопожатие. С июня 2026 в чате описывали, как ТСПУ перехватывает TLS-рукопожатие и подсовывает клиенту настоящий сертификат сайта-маски 05.06.26. Поэтому сервер должен на «чужие» запросы вести себя как обычный сайт. Отсюда популярность selfsteal: там за маской стоит твой собственный сайт на твоём домене.

Симптом: сервер работает какое-то время, потом IP улетает в бан целиком.

#5. Блок 16–20 КБ

Хитрый режим: соединение открывается, рукопожатие проходит, первые примерно 16 КБ данных доходят, а потом поток замирает до таймаута пруф. Так режут подсети целиком у части крупных зарубежных хостеров, например Hetzner и OVH ~30.07.26.

Симптом: «пинг есть, порт открыт, сайт начинает грузиться и зависает». TCP-пинг тут врёт, нужен настоящий обмен данными. Проверка с российского домашнего интернета:

# скачать что-нибудь крупное с сервера и посмотреть, сколько успело прийти
curl -sk -o /dev/null --max-time 15 \
  -w 'скачано %{size_download} байт, код %{http_code}\n' \
  https://203.0.113.10/bigfile

Если загрузка раз за разом встаёт на 16–20 тысячах байт и падает по таймауту, а из-за границы файл скачивается целиком — это оно.

#6. Шейпинг

Не блокировка, а занижение скорости: всё работает, но медленно. 16.08.2026 в чате описывали массовый шейпинг: в Сибири скорость до зарубежных нод падала почти до нуля, а длинные загрузки на полной скорости через 10 минут срезали до 200 Мбит/с 16.08.26.

Симптом: скорость падает не сразу, а после некоторого времени или объёма; короткие тесты показывают норму.

#7. Белые списки

Самый жёсткий режим, в первую очередь на мобильном интернете: всё запрещено, кроме разрешённых подсетей. Фильтр работает на уровне IP, поэтому маскировка и протокол не имеют значения. Участники чата формулировали это прямо: провайдер оставляет доступ «ТОЛЬКО ДО МАЛЕНЬКОГО СПИСКА РАЗРЕШЁННЫХ IP адресов», и никакой VPN до чужого адреса не дойдёт 01.11.25.

Симптом: с Wi-Fi всё работает, с мобильного не открывается ничего, кроме крупных российских сервисов.

#Сводка: как отличить одно от другого

#Что почитать дальше

• Сайт не открывается из РФ: пошаговая диагностика с проверками из разных стран.
• Словарь: все термины из этого гайда и чата простым языком.
• Обход ТСПУ в базе: хронология, мосты, CDN-фронтинг, методы по датам.