Словарь

Сленг и сложные слова из базы и чата простым языком: ТСПУ, БС, мосты, selfsteal, апстримы и платёжки. Эти же слова подсвечены в текстах сайта: наведи курсор, и появится подсказка.

Блокировки: кто и чем режет

ТСПУ

Оборудование, которое операторы связи обязаны ставить по закону о «суверенном интернете» (90-ФЗ, действует с 1 ноября 2019). Ставит и настраивает его не оператор, а Роскомнадзор: правила приходят централизованно, провайдер часто сам не знает, что и почему сегодня режется.

ТСПУ стоит в разрыв между абонентом и остальным интернетом, поэтому видит каждый пакет. Он не расшифровывает TLS, но ему хватает открытых частей: IP назначения, SNI в ClientHello, размеров и ритма пакетов, отпечатка TLS-клиента.

Чем режет: блок по IP и подсетям, блок по SNI, распознавание протоколов (WireGuard, OpenVPN, «голый» Shadowsocks), обрыв после первых 16–20 КБ, шейпинг, а на мобильных сетях — белые списки. Подробный разбор с симптомами — в гайде «ТСПУ на пальцах».

Подробнее

DPI ДПИ, глубокая инспекция пакетов

Обычный фаервол смотрит на заголовки: откуда, куда, какой порт. DPI разбирает сам поток: видит начало TLS-рукопожатия и имя сайта в нём, узнаёт характерные первые байты WireGuard или OpenVPN, считает размеры и интервалы пакетов. ТСПУ — это DPI в масштабе страны.

БС белые списки, вайтлисты

Обычная блокировка — это чёрный список: всё можно, кроме запрещённого. Белый список наоборот: ничего нельзя, кроме разрешённого. Включают его в основном на мобильном интернете, в отдельных регионах и не круглосуточно.

Фильтр работает на L3, то есть по IP-адресу назначения. Протокол, маскировка и SNI не важны: если адреса нет в списке, пакет не пройдёт. Отсюда рынок «БС-подсетей»: серверов у облаков (Yandex Cloud, VK Cloud, Selectel и других), чьи адреса в список попали. Через такой сервер строят мост к зарубежной ноде.

Подробнее

Блок 16–20 КБ 16-20 блок

Самый коварный вид блокировки, потому что снаружи всё выглядит живым: пинг идёт, порт открыт, рукопожатие проходит. Но после первых примерно 16–20 килобайт данных пакеты перестают доходить, и соединение висит до таймаута.

Попадают под него подсети целиком, чаще всего у крупных зарубежных хостеров (Hetzner, OVH и другие). Проверить можно так: скачать с сервера файл побольше и посмотреть, на каком объёме загрузка встаёт. Лечат мостом через российский сервер, экзотическими транспортами или сменой хостера.

Подробнее

Шейпинг

Шейпинг ограничивает полосу для конкретного направления или протокола. Его сложнее доказать, чем блок: всё открывается, просто медленно. В чате встречаются замеры вида «Ростелеком за границу до 40 Мбит/с» и региональные ограничения.

Мост каскад, двойной прыжок

Внутрироссийский трафик ТСПУ трогает меньше, а российский сервер может сидеть в БС-подсети. Поэтому клиент ходит на РФ-сервер, а уже он по своему каналу (VLESS Reality, Shadowsocks 2022, XHTTP) передаёт трафик на ноду в Европе. Цена — лишняя задержка и второй сервер. Бывают и тройные каскады: RU (БС) → RU → EU.

Подробнее

РКН Роскомнадзор

Роскомнадзор ведёт реестр запрещённых ресурсов, управляет ТСПУ через Центр мониторинга и управления сетью связи общего пользования и рассылает требования хостерам. Его подведомственная организация ГРЧЦ занимается техническим мониторингом.

ГРЧЦ

Главный радиочастотный центр, подведомственный Роскомнадзору. Отвечает за технический мониторинг сетей связи.

CDN-фронтинг

CDN принимает соединение на своих адресах и проксирует его на origin, то есть на твой сервер. Адреса крупных российских CDN блокировать больно, поэтому они часто проходят и через БС. Минусы: CDN видит расшифрованный HTTP, у него есть свой WAF, а аккаунты под такое использование массово сносили в августе 2026.

Подробнее

Активное зондирование active probing

Пассивный DPI только смотрит на чужой трафик. Активный идёт дальше: повторяет подключение сам, шлёт мусор или подменяет рукопожатие. Поэтому современные протоколы на любой «чужой» запрос отвечают как обычный сайт: Reality отдаёт настоящий TLS сайта-маски, selfsteal — твою собственную заглушку.

Абуза abuse

На VPN-нодах абузы прилетают за действия пользователей: кто-то качает торрент с защищённым контентом или сканирует порты. Хостеры по-разному к этому относятся: одни просто пересылают, другие блокируют сервер после первой жалобы. Поэтому в карточках хостеров отдельно отмечено, как они реагируют на абузы.

Xray и транспорты

Xray Xray-core

Ядро прокси: принимает подключения клиентов и отправляет трафик дальше. Реализует VLESS, Reality, XHTTP и другие протоколы. На нём работают ноды Remnawave.

VLESS

Лёгкий прокси-протокол Xray без своего шифрования: защиту даёт транспорт под ним (TLS или Reality). Клиент опознаётся по UUID.

Reality

Клиент отправляет обычный ClientHello с SNI популярного сайта. Если в рукопожатии нет секретного ключа, сервер просто проксирует соединение на настоящий сайт, и любой проверяющий видит подлинный сертификат. Свой клиент опознаётся по ключу и получает туннель.

В 2025 году это был главный рецепт. К середине 2026 ТСПУ научился ловить часть конфигураций: по отпечатку TLS-клиента, по TLS-in-TLS, по несоответствию IP и SNI. Поэтому сейчас чаще используют selfsteal и XHTTP.

Подробнее

XHTTP

Транспорт Xray поверх обычного HTTP: трафик выглядит как запросы к сайту и проходит через CDN и реверс-прокси.

Подробнее

Selfsteal селфстил

Классический Reality прикидывается чужим популярным сайтом, но IP при этом твой, а не этого сайта. Это несоответствие легко заметить. В selfsteal на сервере живёт настоящий маленький сайт на твоём домене, и Reality отдаёт посторонним его. IP, домен и сертификат согласованы, как у любого обычного сайта.

Подробнее

Selfsni

Подход, при котором в SNI указан собственный домен, а не чужой популярный. Родственник selfsteal.

SNI

На одном IP может жить много сайтов, поэтому клиент заранее сообщает, какой ему нужен. Это поле идёт до шифрования, и его видит любой посредник. Блокировка по SNI — один из основных инструментов ТСПУ. Encrypted Client Hello (ECH) прячет SNI, но в РФ соединения с ECH к Cloudflare режут.

Подробнее

Fingerprint uTLS, отпечаток

У каждого TLS-клиента свой узнаваемый ClientHello. Если прокси говорит «я Chrome», а отпечаток устаревшего Chrome, это видно. В мае 2026 ТСПУ начал отбрасывать Reality именно с отпечатком chrome из старой версии Xray; лечили сменой fingerprint на firefox, safari или randomized и обновлением ядра.

TLS-in-TLS

Когда браузер через прокси открывает HTTPS-сайт, внутри туннеля идёт ещё одно TLS-рукопожатие. Его пакеты имеют узнаваемые размеры и порядок, и DPI может их заметить статистически. XTLS Vision частично прячет этот признак, подстраивая размеры пакетов.

Подробнее

Vision xtls-rprx-vision

Режим flow в Xray: после рукопожатия передаёт внутренний TLS почти как есть и выравнивает размеры первых пакетов, чтобы скрыть TLS-in-TLS.

Hysteria2

Протокол поверх QUIC (UDP) с агрессивным управлением скоростью. Быстрый на плохих каналах, но мобильные операторы в РФ часто режут UDP.

Подробнее

gRPC

Транспорт Xray поверх HTTP/2. Похож на запросы API, хорошо проходит через CDN и реверс-прокси.

Shadowsocks 2022 SS-2022

Простой шифрованный прокси без маскировки под TLS. В 2026 чаще используется как канал между своими серверами, например в мосте RU→EU.

Подробнее

Inbound / outbound

Inbound — вход Xray: порт и протокол, на которые подключаются клиенты. Outbound — выход: куда Xray отправляет трафик дальше (в интернет, в мост, в WARP).

finalmask

Экзотические транспорты августа 2026, маскирующие трафик под SSH, DNS или протокол Minecraft. Ими пробивали блок 16–20 КБ.

Подробнее

WARP

Бесплатный VPN Cloudflare на базе WireGuard. На нодах его ставят как outbound, чтобы выходить в интернет с «чистых» IP Cloudflare.

Подробнее

MTProto

Собственный протокол Telegram. MTProto-прокси — способ подключить Telegram без VPN; в 2026 такие прокси массово режет ТСПУ.

Панели, бот, клиенты

Remnawave ремна

Панель управления VPN-инфраструктурой: пользователи, ноды, сквады, профили Xray, лимиты и подписки.

Подробнее

Bedolaga бедолага

Telegram-бот-магазин для Remnawave: тарифы, оплаты, промокоды, триалы, рассылки, веб-кабинет.

Подробнее

Нода node

Сервер, на котором крутится Xray и к которому подключаются клиенты. Панель управляет нодами удалённо.

Подробнее

Сабка подписка, subscription

Ссылка-подписка, по которой клиент скачивает актуальный список серверов и конфигов. Панель отдаёт её по адресу вида /sub/<token>.

Сквад squad

Группа нод в Remnawave. Пользователь видит её как «сервер» или «страну», а панель раздаёт ему конфиги всех нод сквада.

HWID

Идентификатор устройства. Remnawave по нему ограничивает, на скольких устройствах работает одна подписка.

Грейс grace period

Льготный период: доступ ещё работает какое-то время после окончания подписки, пока человек продлевает.

Marzban / 3x-ui

Панели прошлого поколения для Xray. В базе в основном встречаются в контексте миграции на Remnawave.

Подробнее

Happ

Популярный клиент для iOS, Android и десктопа с поддержкой подписок Remnawave и шифрованных ссылок.

sing-box / mihomo

Универсальные прокси-ядра с гибкой маршрутизацией, альтернатива Xray на клиенте. Новые транспорты поддерживают с опозданием.

Сеть и BGP

ASN автономная система, AS

Номер автономной системы: сети под единым управлением, например AS13335 у Cloudflare. По ASN видно, чей на самом деле IP.

Подробнее

BGP

Протокол, которым сети интернета сообщают друг другу, какие адреса через кого доступны. Из его данных строятся карты связности хостеров.

Подробнее

AS-path

Цепочка автономных систем, через которые прошёл анонс маршрута. Справа сеть-владелец, слева ближайший сосед.

Префикс подсеть, CIDR

Блок адресов вида 91.135.156.0/24: число после слэша — сколько бит фиксировано. /24 — это 256 адресов, /32 — один адрес.

Подробнее

Апстрим upstream, транзит

Сеть, у которой хостер покупает транзит, то есть доступ ко всему остальному интернету. Один апстрим — одна точка отказа.

Пиринг peering

Прямой обмен трафиком двух сетей без оплаты транзита. Обычно на точках обмена трафиком (IX).

IX IXP, точка обмена трафиком

Точка обмена трафиком: площадка, где сети соединяются между собой напрямую. В РФ крупнейшие — MSK-IX и DATAIX.

Tier 1

Магистральные сети, которые не покупают транзит ни у кого: весь интернет им доступен через пиринг между собой. Arelion, Lumen, Cogent, NTT и другие.

Подробнее

RPKI ROA

Криптографическая проверка, что сеть имеет право анонсировать префикс. Защищает от угона адресов и ошибочных анонсов.

Anycast

Один IP анонсируется из многих точек мира сразу, и пакет попадает в ближайшую. Так работают 1.1.1.1 и CDN.

Looking glass

Публичный интерфейс к маршрутизатору чужой сети: показывает, какой маршрут до твоего префикса видит эта сеть.

MTU

Максимальный размер пакета в канале. Туннель съедает часть байт, и если MTU не уменьшить, получается «пинг есть, сайты не грузятся».

Подробнее

BBR

Алгоритм управления скоростью TCP от Google. Лучше держит скорость на дальних каналах с потерями; на нодах его включают первым делом.

Подробнее

CGNAT

NAT на стороне оператора: у множества абонентов один внешний IP. Из-за него к домашнему устройству нельзя подключиться снаружи.

L3 / L4 / L7

Уровни модели OSI: L3 — IP-адреса, L4 — TCP/UDP и порты, L7 — сами приложения (HTTP). «Защита от DDoS L3/L4» не спасёт от атаки на L7.

DoH

DNS-over-HTTPS (и DNS-over-TLS): DNS-запросы внутри шифрованного соединения, чтобы провайдер их не видел и не подменял.

Хостинг и серверы

VPS / VDS

Виртуальный сервер: кусок физической машины с гарантированными ресурсами и root-доступом. Разницы между VPS и VDS на практике нет.

Подробнее

Дедик dedicated

Выделенный физический сервер целиком, без соседей по железу.

Steal CPU steal, стил

Время, которое гипервизор отдал другим виртуалкам, пока твоя ждала процессор. Высокий steal — признак оверселла.

Оверселл oversell

Хостер продал ресурсов больше, чем есть на железе, в расчёте, что не все нагрузят сразу. Отсюда просадки CPU, диска и канала в пиковые часы.

KYC

Know Your Customer: проверка личности клиента (паспорт, селфи, карта). Многие зарубежные хостеры и платёжки требуют её от граждан РФ.

Уник

В чате так называют «уникальный» IP, аккаунт или подсеть, которыми до тебя не пользовались и которые ещё не в банах.

Заглушка маскировочный сайт

Обычный сайт на сервере с VPN. Его видят проверяющие и случайные посетители, чтобы сервер выглядел как хостинг сайта.

Реверс-прокси

Веб-сервер (nginx, Caddy, HAProxy), который принимает запросы снаружи и раздаёт их внутренним сервисам: панели, сабке, ботам.

YABS

Скрипты-бенчмарки для нового VPS: проверяют процессор, диск и скорость сети до разных городов.

DDoS

Распределённая атака на отказ: сервер или канал заваливают трафиком с множества источников, пока он не перестанет отвечать.

Деньги

Платёжка

Платёжный провайдер, через который бот принимает оплату. «Белая» работает официально с полным KYC, «серая» — без лицензии и с риском блокировки.

Подробнее

Эквайринг

Приём оплаты банковскими картами через банк-эквайер. Платёжка обычно работает поверх эквайринга какого-то банка.

СБП

Система быстрых платежей: перевод по QR или номеру телефона. Для приёма оплат часто дешевле карт.

P2P

Оплата переводом «с карты на карту» живому человеку-посреднику, а не через эквайринг. Дёшево, но с риском блокировок и мошенничества.

Рекуррент

Автоматические повторные списания с сохранённой карты: подписка продлевается без участия пользователя.

Вебхук webhook, callback

Запрос, который платёжка сама отправляет в бот, когда статус оплаты изменился. Самое частое место для багов с зачислениями.

Подробнее

Чарджбэк chargeback

Возврат платежа через банк по заявлению плательщика. Деньги списываются с продавца, а частые чарджбэки приводят к блокировке мерчанта.

Юнит-экономика

Сколько приносит один пользователь после вычета комиссий, стоимости серверов и рекламы.

Подробнее