Как блокируют сайты: технические методы цензуры в интернете

Представьте: вы пытаетесь открыть новостной сайт, и вместо статей видите ошибку «сайт недоступен». Но ваш друг в соседней стране открывает его без проблем. Что произошло? Сайт не исчез, его адрес не изменился — просто между вами и сервером встал фильтр. Вопрос в том, как именно этот фильтр работает и почему разные страны используют разные способы блокировки.

В этой статье мы разберём семь основных техник, которые государства и провайдеры используют для блокировки сайтов. Каждый метод имеет собственную логику, стоимость и уязвимости. Понимание того, как они работают, поможет вам не просто обойти блокировку, но по-настоящему разобраться в том, как устроен интернет.

ДНС-фильтрация: телефонный справочник, который лжёт

Когда вы вводите адрес сайта в браузер, компьютер не знает, где находится этот сайт. Вместо этого он спрашивает специальный сервер — DNS-сервер — «где живёт example.com?». DNS работает как телефонный справочник интернета: вы даёте ему имя, он возвращает номер (IP-адрес).

ДНС-фильтрация — самый дешёвый и простой метод блокировки. Провайдер или государство контролирует DNS-сервер и просто отказывает отвечать на запросы о заблокированных сайтах. Или возвращает неправильный адрес — например, адрес страницы с надписью «сайт заблокирован».

Почему это дешево? Потому что требует минимум оборудования — всего несколько серверов и список адресов для блокировки. Почему это просто обойти? Потому что вы можете спросить DNS-ответ у кого-то другого. Если ваш провайдер врёт, вы можете спросить у публичного DNS-сервера, например Google или Cloudflare, и получить правильный ответ. На это указывает даже название метода — это не шифрование, не скрытие: просто ложь.

IP-блокировка: перекрытие дороги

IP-адрес — это адрес сервера в интернете, как почтовый адрес дома. Если DNS-фильтрация — это ложь на уровне справочника, то IP-блокировка — это буквально перекрытие дороги к дому.

Провайдер настраивает маршрутизаторы так, чтобы они отбрасывали все пакеты данных, идущие на определённые IP-адреса. Технически это работает на уровне пограничных маршрутизаторов, через которые проходит весь интернет-трафик страны.

Этот метод дороже DNS-фильтрации, потому что требует более мощного оборудования для проверки каждого пакета. Но он более надёжен: вы не можете просто спросить у другого провайдера, потому что все маршруты ведут через государственный пограничный маршрутизатор. Однако обойти IP-блокировку тоже возможно — например, используя прокси-сервер или более сложные методы, которые маскируют ваш пункт назначения.

SNI-инспекция: чтение адреса на конверте

Здесь становится интереснее. Когда вы подключаетесь к сайту по защищённому протоколу HTTPS (с замочком в браузере), данные внутри шифруются. Но есть одна проблема: компьютер должен знать, какой сайт вы хотите открыть, *до* того как установится шифрование.

Для этого служит расширение TLS, которое называется SNI (Server Name Indication). В начале соединения ваш компьютер отправляет название сайта в *незашифрованном* виде. Это как отправить письмо в конверте, на котором видно, кому оно идёт, даже если содержимое запечатано.

Большие провайдеры и государства видят эту информацию и блокируют соединение на основе имени сайта. Это более продвинуто, чем IP-блокировка, потому что позволяет блокировать несколько сайтов, размещённых на одном сервере (один IP-адрес может хранить тысячи сайтов).

Обойти SNI-фильтрацию сложнее, но возможно — нужно использовать методы, которые скрывают само имя сайта, например специальные расширения HTTPS или VPN-сервисы.

Глубокая инспекция пакетов: чтение содержимого писем

DPI (Deep Packet Inspection) — это анализ содержимого всех ваших данных в поисках определённых паттернов. Если SNI — это чтение адреса на конверте, то DPI — это открытие конверта и чтение письма внутри.

Теоретически DPI может обнаружить любой контент: не только имя сайта, но и конкретные слова в сообщениях, видео с определённым содержимым, даже шаблоны поведения. На практике это требует огромных вычислительных мощностей и создаёт серьёзные технические проблемы. DPI замедляет интернет, потому что каждый пакет нужно разобрать и проанализировать.

Китай и некоторые другие страны используют DPI масштабно, но даже там это не идеально. DPI очень сложно настроить на обнаружение шифрованного трафика, потому что, по определению, содержимое шифрованных данных невозможно прочитать без ключа.

BGP-вмешательство и перенаправление трафика

BGP (Border Gateway Protocol) — это протокол, который определяет маршруты пакетов через интернет. Это как система дорожных знаков для данных. Вмешательство в BGP позволяет государству перенаправить весь трафик, идущий на определённый сервер, в никуда или на цензурный сервер.

Этот метод редкий, потому что очень опасен: неправильно настроенный BGP может разрушить работу большой части интернета. Но в некоторых случаях государства намеренно используют BGP-атаки для полной блокировки серверов.

Дросселирование: замедление вместо блокировки

Вместо полной блокировки некоторые провайдеры просто замедляют трафик на определённые сайты. Это означает, что соединение остаётся живым, но происходит так медленно, что сайт становится практически неиспользуемым. Это более скрытный метод и сложнее доказать, что происходит именно блокировка, а не просто плохое соединение.

Полное отключение интернета

Иногда во время политических кризисов государства просто отключают интернет целиком или в определённых регионах. Это наиболее радикальный и явный метод. Технически это просто — нужно дать приказ провайдерам отключить соединение. Но политически это очень заметно и дорого в экономическом смысле.

Сравнение методов

Каждый метод имеет свой баланс между эффективностью, стоимостью и видимостью. DNS-фильтрация — самая дешёвая и незаметная, но легко обходится. DPI — самая мощная, но потребляет огромно ресурсов и замедляет интернет для всех. IP-блокировка требует среднее количество ресурсов и довольно эффективна против неподготовленных пользователей.

Важно помнить: нет идеального метода блокировки. Каждый имеет свои слабые места, и комбинация нескольких методов намного эффективнее, чем один. Именно поэтому государства обычно используют несколько способов одновременно.

Дальше стоит изучить, как работают VPN и прокси-серверы, как провайдеры пытаются блокировать сами эти инструменты, и как работает криптография, которая лежит в основе защиты данных от инспекции.