Цензура по регионам: почему один и тот же инструмент так по-разному ведет себя в разных странах

Фильтр региона на странице рейтинга — не украшение. Инструмент, который летает в России, может ни разу не завершить рукопожатие в материковом Китае, а протокол, непробиваемый в Китае, ничего не значит в Иране во время отключения. Причина прозаична: системы цензуры в каждой стране строили разные люди, на разном оборудовании, по разной политике. Эта статья проходит по тому, что примерно делает каждый регион, а затем объясняет, почему эти различия напрямую попадают в столбцы скорости и стабильности.

Материковый Китай: слои плюс активное зондирование

Великий китайский файрвол — не столько стена, сколько несколько сит, поставленных друг на друга. Внешнее — DNS. Запросите домен из списка, и получите поддельный ответ, обычно приходящий раньше настоящего, — отравление DNS. Это дешево, грубо и обходится проще всего, именно поэтому за ним стоят другие слои.

Далее — блокировка на уровне IP: определенные диапазоны адресов маршрутизируются в «черную дыру», пакеты уходят, и ничего не возвращается. Третий слой читает рукопожатие TLS. Каждое HTTPS-соединение начинается с открытого поля SNI с именем нужного хоста, и когда цензурирующее устройство видит имя из черного списка, оно вбрасывает пакеты RST, разрывая соединение. Старая фильтрация HTTP по ключевым словам работала так же; с почти полным исчезновением открытого HTTP главной зацепкой стал SNI.

Что по-настоящему мешает инструментам обхода блокировок — последний слой: подозрение к трафику, который не удается классифицировать. GFW активно зондирует предполагаемые прокси — притворяется клиентом, подключается к вашему серверу и пытается понять, говорит ли тот по Shadowsocks или на каком-то диалекте VPN. В последние годы исследователи также задокументировали эвристическую блокировку «полностью зашифрованного» трафика: соединение, которое с первого пакета выглядит как случайные байты и не похоже ни на TLS, ни на какой-либо известный протокол, может быть отрезано на некоторое время. Именно это давление стоит за нынешним поколением протоколов, которые так стараются выглядеть как обычный HTTPS.

Есть и временное измерение. Вокруг чувствительных дат блокировки заметно ужесточаются; узлы, работавшие весь месяц, отваливаются разом и возвращаются через несколько дней. В рейтинге видно, что у группы «материковый Китай» обычно гораздо больше тестов, чем у любого другого региона, поэтому ее медианы сравнительно устойчивы — но сузьте период до «сегодня», и колебания окажутся куда больше, чем в окне 60 дней.

Россия: глубокая инспекция пакетов у оператора

Российский подход — установить единообразное DPI-оборудование на границе сети каждого оператора, обычно называемое ТСПУ («технические средства противодействия угрозам»). Регулятор удаленно загружает правила в эти устройства; операторы отказаться не могут. Его сильная сторона — идентификация протоколов. WireGuard и OpenVPN, чьи паттерны трафика легко узнаваемы, во многих сетях не просто блокируются по домену, а отбрасываются или сильно замедляются.

Другой хорошо задокументированный прием — замедление сервиса вместо блокировки; обычный пример — YouTube. Страница загружается, видео буферизуется бесконечно, и пользователь не может понять, виновато ли его соединение или государство. Для инструментов обхода это означает, что показатель скорости в группе «Россия» иногда говорит больше, чем сама доступность. Тестов из России в таблице заметно меньше, чем из материкового Китая, так что при чтении медиан учитывайте размер выборки.

Иран: ближе к белому списку

Структура Ирана отличается от двух предыдущих. Существует достаточно обособленная внутренняя «национальная информационная сеть», в которой местные сервисы работают гладко, а международные шлюзы душатся отдельно. Обычные протоколы обхода блокируются оптом; выживают, как правило, схемы, намеренно замаскированные под трафик обычных сайтов.

Крайний случай — полное отключение. Во время протестов власти полностью отрезали международный доступ в мобильных сетях или оставляли доступными только домашние сервисы из белого списка. Никакой инструмент тогда не поможет, потому что проблема не в определении протокола — выхода физически нет. В данных группа «Иран» часто содержит лишь горстку тестов, сгруппированных в определенных окнах. Это само по себе сигнал: отправленный тест означает, что в тот день сеть была открыта.

Туркменистан: почти полная блокировка

Интернет в Туркменистане контролируется очень небольшим числом операторов, международная полоса изначально узка, а блокировка близка к тотальной. Для обычных пользователей работают считанные инструменты. У этой группы самая маленькая выборка в таблице, и один новый тест может сильно сдвинуть медиану. Для этого региона полезнее открывать отдельные результаты и смотреть скорость и стабильность, записанные в тот день, чем сравнивать места в рейтинге.

Почему один инструмент так по-разному работает в разных местах

Поставьте механизмы рядом, и разброс перестанет удивлять.

Во-первых, системы нацелены на разное. Материковый Китай в основном спрашивает «это прокси?», Россия — «какой это протокол?», а в Иране часто вообще нет выхода. Протокол, до которого в одной стране никому нет дела, в другой — главная мишень.

Во-вторых, различаются выходные узлы и международная полоса. Токийский и франкфуртский узлы одного провайдера идут по совершенно разным подводным кабелям, а путь из Пекина — не путь из Москвы. Тест скорости измеряет весь маршрут от браузера до тестового сервера; перегрузка в любой его точке оказывается в числе.

В-третьих, QoS местного оператора. Некоторые операторы в вечерние пики ограничивают международный или UDP-трафик. Это не цензура, но из-за этого протоколы на базе QUIC в вечерних тестах из некоторых регионов выглядят заметно медленнее.

В-четвертых, устройство и подключение тестирующего. Телефон на мобильном интернете и настольный компьютер на оптике различаются на порядок еще до участия какого-либо инструмента. GreatFire записывает операционную систему вместе с каждым тестом — именно поэтому в фильтрах можно отделить Android от Windows.

Поэтому читайте таблицу так: сначала выберите регион, потом период, потом проверьте число тестов. Используйте все три фильтра, и полученный рейтинг будет действительно относиться к вашей ситуации. Подробности методики — в статье Как читать рейтинг.

Вопросы и ответы

Почему моя скорость в материковом Китае намного ниже медианы в таблице? Медиана — это среднее значение по всем, кто тестировал в этот период: кто-то на оптике, кто-то в 3 часа ночи. Один результат сильно зависит от времени суток, оператора и устройства. Прежде чем сравнивать, прогоните несколько тестов.

Может ли рейтинг сказать, работает ли инструмент в Иране прямо сейчас? Напрямую — нет. В группе «Иран» мало тестов, а во время отключения никто не может ни одного отправить. Смотрите на метку времени последнего результата: если ей несколько дней, значит, тогда хотя бы кто-то подключился.

Российская цензура мягче китайской? По одной оси не сравнить. Российский DPI очень точно определяет протоколы, но не имеет аналога китайского активного зондирования протоколов, маскирующихся под HTTPS; в Китае слоев больше, и все же некоторые протоколы остаются там рабочими подолгу. Выбирайте инструменты по данным конкретного региона, а не предполагая, что результат из одного переносится на другой.