DNS-блокировка: самый дешёвый способ цензуры в интернете

Представьте: вы набираете адрес сайта в браузер, нажимаете Enter, и... ничего не загружается. Сайт словно исчез. Но если вы позвоните другу в другой стране, он скажет, что сайт работает идеально. Это может быть DNS-блокировка — один из самых распространённых и наименее затратных способов, которым правительства и интернет-провайдеры ограничивают доступ к информации. В отличие от более дорогостоящих методов, DNS-блокировка не требует сложного оборудования или больших инвестиций. И всё же она работает лишь в том случае, если людей не научили её обходить.

Что такое DNS и почему он важен

Перед тем как понять, как работает блокировка, нужно знать, что такое DNS. Когда вы вводите адрес типа example.com в браузер, ваш компьютер не знает, где находится этот сайт. Компьютеры общаются между собой через числовые адреса, называемые IP-адресами — примерно как почтовые индексы в системе обычной почты. DNS (Domain Name System, система доменных имён) — это служба, которая переводит понятные людям названия сайтов (example.com) в числовые IP-адреса (например, 192.0.2.1). Без этого перевода ваш браузер не знал бы, куда отправлять запрос.

Обычно, когда вы подключаетесь к интернету через интернет-провайдера, тот автоматически назначает вам так называемый DNS-резолвер провайдера — службу, которая выполняет этот перевод. Это похоже на телефонный справочник, предоставляемый вашей телефонной компанией. Вы звоните, говорите имя человека, а справочник возвращает номер телефона.

Как работает DNS-блокировка

Вот здесь и начинается цензура. Вместо того чтобы вернуть правильный IP-адрес для blocked-site.com, провайдер настраивает свой DNS-резолвер так, чтобы тот возвращал неправильный адрес или вообще никакой ответ. В результате ваш браузер не может найти сайт и выводит ошибку «сайт недоступен».

Технически это выглядит просто. Провайдер добавляет в список запретов адреса доменов, которые нужно заблокировать. Когда пользователь пытается получить доступ к одному из них, DNS-резолвер провайдера даёт неверный ответ. Никакого сложного оборудования, никаких больших вычислительных мощностей — только конфигурационный файл, который можно обновлять ежедневно или даже ежечасно.

Почему этот метод так популярен

Для понимания популярности DNS-блокировки нужно вспомнить одно слово: экономия. В отличие от других способов цензуры, эта блокировка почти ничего не стоит. Не нужно покупать дорогостоящее оборудование для глубокой инспекции трафика, не нужно анализировать содержимое каждого пакета данных в реальном времени. Просто меняешь записи в базе данных — и сайт недоступен для миллионов пользователей.

Также DNS-блокировка очень гибкая. Если правительство хочет заблокировать новый сайт, оно просто добавляет его в список. Если сайт переехал на новый адрес, список обновляют. Всё это можно делать централизованно — из одного места управляется блокировка для всех пользователей, подключённых к DNS-резолверам провайдера.

Кроме того, DNS-блокировка выглядит для обычного пользователя как естественный отказ в доступе, а не как намеренная цензура. Вы видите ошибку сети, как если бы сайт просто не существовал. Многие люди даже не подозревают, что доступ заблокирован целенаправленно.

Почему этот метод ненадёжен

Несмотря на популярность, DNS-блокировка имеет критический недостаток: её можно легко обойти. И это требует очень мало знаний и ресурсов.

Самый простой способ — использовать другой DNS-резолвер. Вместо того чтобы полагаться на DNS-резолвер вашего провайдера, вы можете вручную настроить браузер или компьютер на использование публичного DNS-резолвера, например того, что предоставляет компания Google (8.8.8.8) или Cloudflare (1.1.1.1). Эти резолверы находятся вне вашей страны, поэтому они не содержат заблокированные записи. Запрос уходит напрямую на публичный резолвер, тот возвращает правильный адрес, и вы получаете доступ к сайту. Это как пригласить друга из другого города помочь вам со справочником, потому что ваш локальный справочник содержит поддельную информацию.

Другой метод — использовать зашифрованные DNS-протоколы, такие как DoH (DNS over HTTPS) или DoT (DNS over TLS). В этих случаях DNS-запросы передаются в зашифрованном виде, что затрудняет мониторинг и блокировку запросов на промежуточных узлах сети. Провайдер видит, что вы что-то запрашиваете, но не видит, что именно.

Как страны реагируют на обход блокировки

Страны, полагающиеся на DNS-блокировку, со временем заметили, что люди используют внешние резолверы. В ответ на это некоторые из них пошли дальше: они блокируют сами публичные DNS-резолверы на уровне IP-адреса. Это усложняет ситуацию, но опять же требует более дорогостоящих методов контроля. Вам нужно анализировать весь исходящий трафик и блокировать запросы к определённым IP-адресам — это уже не просто обновление списка доменов.

Заключение

DNS-блокировка остаётся популярной именно потому, что она дёшева и легка в реализации. Для большинства пользователей, которые не знают о её существовании, она работает эффективно. Но это не означает, что она безопасна или надёжна. Как только человек узнаёт о способах обхода, эта защита рассыпается. Это хороший пример того, как безопасность через темноту (когда люди просто не знают о существовании проблемы) не работает на длительную перспективу в открытом мире интернета.

Если вы хотите разобраться глубже, изучите, как работает маршрутизация трафика, что такое зашифрованные протоколы и почему правительства выбирают разные методы контроля в зависимости от своих возможностей и целей.