Детекция блокировок ISP/DPI
PingZen определяет, когда сайт заблокирован интернет-провайдером с помощью DPI (Deep Packet Inspection) или подмены DNS. Заблокированные сайты действительно недоступны из России, но могут работать из других стран. Это особенно актуально для мониторинга из России, где тысячи сайтов фильтруются провайдерами по требованию РКН.
Что мы определяем
Ошибки TLS/соединения
Сброс соединения при рукопожатии, повреждение записи TLS, поддельные сертификаты — признаки вмешательства DPI в шифрованные соединения.
Обрыв рукопожатия по имени сайта (SNI)
Рукопожатие TLS остаётся без ответа или обрывается сразу после ClientHello с именем сайта — так ТСПУ блокирует по SNI, и проверка выглядит как обычный таймаут. PingZen делает контрольное рукопожатие на тот же IP без SNI и затем повторяет его с SNI: блокировка засчитывается, только если сервер ответил на первое и снова промолчал на второе. Мёртвый или перегруженный сервер такую проверку не проходит и не помечается.
Подмена DNS
Доменное имя резолвится в IP-адрес блок-страницы провайдера вместо реального сервера.
Редирект на блок-страницу
Провайдер перенаправляет запрос на свою страницу блокировки (например, warning.rt.ru, blocked.mts.ru).
Контент блок-страницы
Тело ответа содержит маркеры блок-страниц провайдеров (например, ссылки на rkn.gov.ru, Роскомнадзор).
Как это выглядит в PingZen
- Затронутые проверки подписаны «Блокировка у провайдера»: в списке мониторов (у недоступного монитора), в строках чекеров и проверок на странице монитора и в инциденте, который блокировка открыла. MCP-инструменты пишут то же в строках
Reason:иCause:. - На странице монитора показывается предупреждение с рекомендациями.
- Оповещения включают предупреждение о фильтрации с рекомендациями.
Рекомендации
- Переключитесь на протокол TCP или Ping — они проверяют доступность порта без HTTP-контента, обходя большинство фильтров провайдера.
- Отключите проверку SSL (verify_ssl=false) — избегает вмешательства DPI-устройств в TLS-рукопожатие.
- Приостановите оповещения для заблокированных мониторов — предотвращает усталость от ожидаемых блокировок.
Поддерживаемые провайдеры
PingZen определяет блокировку основными российскими провайдерами:
| Провайдер | Метод |
|---|---|
| Ростелеком | Подмена DNS, редирект на блок-страницу |
| МТС / МГТС | Подмена DNS, редирект на блок-страницу |
| Билайн | Подмена DNS, блок-страница |
| Мегафон | Редирект, поддельный сертификат |
| Теле2 | Подмена DNS, редирект на блок-страницу |
| Дом.ру (ER-Telecom) | Двойная блокировка DNS + DPI |
| ТТК | Подмена DNS, редирект на блок-страницу |
| Йота | Редирект на блок-страницу |
FAQ
PingZen подавляет оповещения для заблокированных сайтов?
Нет. PingZen аннотирует результат проверки меткой «ISP Filter» и обогащает уведомления рекомендациями, но не подавляет оповещения. Вы можете вручную приостановить оповещения для конкретных мониторов.
Насколько точна детекция блокировок?
Детекция основана на 30+ известных IP блок-страниц, 20+ URL редиректов провайдеров и 14+ маркерах контента из исследований OONI. Ложные срабатывания редки, но возможны для сайтов с самоподписанными сертификатами.
Работает ли это для провайдеров других стран?
В настоящее время паттерны детекции ориентированы на российских провайдеров. Детекция ошибок TLS может отловить вмешательство DPI других стран, но детекция блок-страниц специфична для России.