# ТСПУ на пальцах: как режут трафик и как это выглядит

> Где стоит ТСПУ, что он видит в зашифрованном трафике, семь способов блокировки и симптомы каждого. Чтобы по поведению соединения понять, что именно сломалось.

ТСПУ — не абстрактный «РКН что-то заблокировал», а вполне конкретная коробка в сети твоего провайдера. У неё есть ограничения: она не читает зашифрованное, но видит всё, что идёт открытым текстом, и умеет считать. Поняв, что именно она видит, легко понять, почему одно работает, а другое нет.

## Где он стоит

ТСПУ (технические средства противодействия угрозам) ставят у операторов связи по закону о «суверенном интернете», который действует с 1 ноября 2019 года. Оборудование принадлежит государству, правила приходят централизованно от Роскомнадзора. Провайдер его не настраивает и часто сам не знает, что сегодня режется.

**Схема:** Телефон или ПК → (Wi-Fi, 4G, оптика) Сеть оператора → (весь трафик абонентов) ТСПУ → (магистраль) Стык с миром → Твой сервер

*ТСПУ стоит в разрыв между абонентом и остальным интернетом: через него проходит каждый пакет*


Из этого сразу следуют две вещи:

- **Всё решается на стороне абонента.** Сервер за границей может быть идеально настроен, но если ТСПУ у провайдера пользователя его режет, пользователь его не увидит. Поэтому проверять доступность надо с российских домашних и мобильных сетей, а не из дата-центра: по опыту сообщества, у хостеров ТСПУ «есть у всех, но настроено по-разному» ([Сайт не открывается из РФ](/gaidy/sayt-ne-otkryvaetsya-iz-rf/)).
- **Разные операторы и регионы видят разное.** Правила раскатывают неравномерно: в ноябре 2025 Reality массово отвалился на Урале, в Крыму и Сибири раньше, чем в Москве [id=69358|11.2025](https://t.me/c/2941121338/69358).

## Что он видит в зашифрованном трафике

TLS шифрует содержимое, но не всё соединение. Вот что остаётся на виду у любого посредника:

| Что видно | Откуда | Чем опасно |
|---|---|---|
| IP и порт назначения | Заголовок каждого пакета | Блок по адресу или подсети целиком |
| Имя сайта (SNI) | Первое сообщение TLS, ClientHello, идёт открытым текстом | Блок по домену, несоответствие IP и имени |
| Отпечаток клиента | Набор шифров и расширений в ClientHello | Узнать Xray, который притворяется Chrome, но делает это неточно |
| Первые байты протокола | Начало потока | WireGuard, OpenVPN и «голый» Shadowsocks узнаются сразу |
| Размеры и ритм пакетов | Статистика потока | TLS внутри TLS, туннель вместо обычного сайта |
| Объём переданного | Счётчик на соединение | Обрыв после N килобайт, шейпинг |

Отсюда ясно, почему «просто включить шифрование» не помогает: DPI не нужно расшифровывать трафик, ему хватает формы. И почему выжили протоколы, которые выглядят как обычный HTTPS к настоящему сайту.

## Семь способов блокировки

**Схема:** DNS-запрос → (блок по адресу) TCP к IP → (SNI, отпечаток) ClientHello → (обрыв потока) Первые 16–20 КБ → (TLS-in-TLS, шейпинг) Туннель

*Путь одного соединения и точки, где ТСПУ может его остановить*


### 1. По IP-адресу и подсети

Самое грубое: пакеты к адресу просто не доходят. TCP не открывается, пинг обычно тоже пропадает. Банят как отдельные адреса, так и подсети: к 23.08.2026 в сообществе отмечали, что баны идут по /32, то есть по одному адресу, а не по /24 [id=1177400|23.08.2026](https://t.me/c/2941121338/1177400).

**Симптом:** `curl` висит на подключении и падает по таймауту, TCP-пинг из РФ не проходит, из-за границы всё открывается.

### 2. По имени сайта (SNI)

TCP открывается, но как только в ClientHello появляется запрещённое имя, соединение рвётся. Иногда ТСПУ вместо обрыва подсовывает свой ответ.

**Симптом:** с IP напрямую TCP-проверка проходит, а HTTPS по имени — нет. В сообществе описывали такую картину «прямой резки»: `curl -v https://домен` даёт `SSL_ERROR_SYSCALL`, а `curl -v http://домен` — `Empty reply from server` [id=643342|10.07.2026](https://t.me/c/2941121338/643342).

### 3. По отпечатку и признакам протокола

ТСПУ узнаёт протоколы по первым байтам и по отпечатку TLS. Классический WireGuard к зарубежному серверу «изи блочат» [id=991594|29.07.2026](https://t.me/c/2941121338/991594). В мае 2026 начали отбрасывать VLESS Reality с отпечатком `chrome` из старой версии Xray: пинг есть, соединения нет, лечилось сменой fingerprint и обновлением ядра [id=581441|25-26.05.2026](https://t.me/c/2941121338/581441).

**Симптом:** соседние протоколы на том же сервере и порту работают, а один конкретный нет.

### 4. Активное зондирование

ТСПУ не только смотрит, но и проверяет сам: подключается к подозрительному серверу или вмешивается в рукопожатие. С июня 2026 в чате описывали, как ТСПУ перехватывает TLS-рукопожатие и подсовывает клиенту настоящий сертификат сайта-маски [id=643295|05.06.2026](https://t.me/c/2941121338/643295). Поэтому сервер должен на «чужие» запросы вести себя как обычный сайт. Отсюда популярность selfsteal: там за маской стоит твой собственный сайт на твоём домене.

**Симптом:** сервер работает какое-то время, потом IP улетает в бан целиком.

### 5. Блок 16–20 КБ

Хитрый режим: соединение открывается, рукопожатие проходит, первые примерно 16 КБ данных доходят, а потом поток замирает до таймаута [id=159322|~01.2026](https://t.me/c/2941121338/159322). Так режут подсети целиком у части крупных зарубежных хостеров, например Hetzner и OVH [id=1000388|~30.07.2026](https://t.me/c/2941121338/1000388).

**Симптом:** «пинг есть, порт открыт, сайт начинает грузиться и зависает». TCP-пинг тут врёт, нужен настоящий обмен данными. Проверка с российского домашнего интернета:

```bash
# скачать что-нибудь крупное с сервера и посмотреть, сколько успело прийти
curl -sk -o /dev/null --max-time 15 \
  -w 'скачано %{size_download} байт, код %{http_code}\n' \
  https://203.0.113.10/bigfile
```

Если загрузка раз за разом встаёт на 16–20 тысячах байт и падает по таймауту, а из-за границы файл скачивается целиком — это оно.

### 6. Шейпинг

Не блокировка, а занижение скорости: всё работает, но медленно. 16.08.2026 в чате описывали массовый шейпинг: в Сибири скорость до зарубежных нод падала почти до нуля, а длинные загрузки на полной скорости через 10 минут срезали до 200 Мбит/с [id=1125228|16.08.2026](https://t.me/c/2941121338/1125228).

**Симптом:** скорость падает не сразу, а после некоторого времени или объёма; короткие тесты показывают норму.

### 7. Белые списки

Самый жёсткий режим, в первую очередь на мобильном интернете: всё запрещено, кроме разрешённых подсетей. Фильтр работает на уровне IP, поэтому маскировка и протокол не имеют значения. Участники чата формулировали это прямо: провайдер оставляет доступ «ТОЛЬКО ДО МАЛЕНЬКОГО СПИСКА РАЗРЕШЁННЫХ IP адресов», и никакой VPN до чужого адреса не дойдёт [id=38142|01.11.2025](https://t.me/c/2941121338/38142).

**Симптом:** с Wi-Fi всё работает, с мобильного не открывается ничего, кроме крупных российских сервисов.

## Сводка: как отличить одно от другого

| Что видишь из РФ | Скорее всего | Где читать |
|---|---|---|
| TCP к IP не открывается | Блок по IP или подсети | [БС-подсети](/baza/tspu/bs-podseti/), [досье IP](/tools/) |
| TCP есть, TLS по имени рвётся | Блок по SNI | [SNI и fingerprint](/baza/transporty/sni-fingerprint/) |
| Один протокол не работает, соседний работает | Отпечаток или сигнатура | [Детект и fingerprint](/baza/tspu/detekt-fingerprint/) |
| Работало, потом IP умер целиком | Активное зондирование и бан | [Selfsteal](/baza/transporty/selfsteal/) |
| Загрузка встаёт на ~16–20 КБ | Блок 16–20 | [ТСПУ: серверная часть](/baza/set/tspu-servernoe/) |
| Работает, но медленно, хуже со временем | Шейпинг | [Шейпинг](/baza/set/sheyping/) |
| С Wi-Fi работает, с мобильного нет | Белые списки | [БС (белые списки)](/baza/tspu/bs-podseti/), [мосты](/baza/tspu/mosty/) |

> [!NOTE]
> Всё выше — пересказ наблюдений сообщества, а не документация ТСПУ: официально её никто не публикует. Способы блокировки меняются за недели, поэтому смотри на даты пруфов и сверяйся со свежей [хронологией блокировок](/baza/tspu/hronologiya/).

## Что почитать дальше

- [Сайт не открывается из РФ](/gaidy/sayt-ne-otkryvaetsya-iz-rf/): пошаговая диагностика с проверками из разных стран.
- [Словарь](/slovar/): все термины из этого гайда и чата простым языком.
- [Обход ТСПУ](/baza/tspu/) в базе: хронология, мосты, CDN-фронтинг, методы по датам.

---
Источник: https://host.pink/gaidy/tspu-na-paltsah/
Лицензия: CC BY-SA 4.0