В России блокировки VPN затронули личные серверы

Блокировки VPN в России затронули не только крупные сервисы. По данным независимых исследователей, требования отключить защищённые соединения получают и владельцы личных серверов, которые не предоставляют публичного доступа посторонним.

Один из таких случаев описала 12 октября «Теплица социальных технологий». По её данным, владелец арендованного сервера использовал WireGuard для связи двух собственных локальных сетей. Публичного VPN-сервиса на машине не было. Тем не менее российский хостинг получил указание Центра мониторинга и управления сетью связи общего пользования (ЦМУ ССОП), связанное с противодействием обходу блокировок.

Хостер потребовал полностью выключить WireGuard. Поддержка сообщила клиенту, что критерии, по которым регулятор определил назначение сервера, ей неизвестны. Владелец перенёс работу к другому провайдеру. Это описанный исследователями отдельный случай, а не доказательство того, что Роскомнадзор целенаправленно проверяет каждое соединение между двумя людьми.

Технология VPN гораздо шире привычного приложения для доступа к иностранным сайтам. Защищённые туннели используют компании для подключения сотрудников, администраторы — для удалённой работы с оборудованием, а частные пользователи — для объединения домашних сетей. Снаружи такие соединения могут иметь признаки, похожие на трафик публичного сервиса обхода ограничений.

Другой механизм действует без определения конкретного пользователя. В августе и сентябре операторы VPN сообщали о блокировках целых диапазонов IP-адресов хостинг-провайдеров. Если личный сервер расположен в той же подсети, что и популярный VPN, он может стать недоступным вместе с соседними машинами. В интервью «Медузе» представители нескольких сервисов подтверждали, что волна затронула и небольшие самостоятельно развёрнутые VPN.

Проблема сохранялась в октябре. «Теплица» опубликовала результаты измерений от 25 октября: с нескольких российских точек не удавалось завершить защищённое соединение с двумя не связанными между собой серверами одного хостинга. Исследователи расценили это как признак фильтрации части адресного диапазона, а не доказательство неисправности обоих серверов.

Фильтрацию выполняют установленные у операторов технические средства противодействия угрозам — ТСПУ. Помимо адресов серверов, ограничения могут опираться на особенности сетевого обмена. Однако публичных данных о едином алгоритме для всех регионов нет: один и тот же туннель может работать через домашнего провайдера и сбоить в мобильной сети.

В октябре «Коммерсантъ» сообщил о предложении использовать искусственный интеллект для выявления VPN с заявленной эффективностью до 95%. Минцифры уточнило, что такой меры нет в актуальной версии проекта национального плана развития ИИ. Поэтому говорить, что новый механизм уже запущен и обеспечивает указанную точность, нельзя.

Сложность для частных пользователей заключается в отсутствии очевидной границы между коммерческим сервисом обхода блокировок и обычной защищённой связью. Технический отказ соединения сам по себе не означает, что его владелец нарушил закон. Но для доступа к личному серверу достаточно ограничения его адреса, блокировки протокола или требования хостера отключить программу.

Поэтому даже туннель, которым пользуется один человек для связи двух домашних сетей, не защищён от перебоев только потому, что он частный. Масштаб таких случаев неизвестен: описанные эпизоды показывают риск, но не дают оснований утверждать, что в России целенаправленно отключают все личные VPN.

Изображение: редакция ИЗНАНКИ.