Активное зондирование: как ТСПУ проверяет, VPN ли перед ним

Вступление

Блокировки обычно представляют как пассивный фильтр: стоит «решето», трафик проходит, подозрительное отсеивается. Для части методов это верно. Но в арсенале ТСПУ есть кое-что более агрессивное — активное зондирование: система сама инициирует подключение к вашему серверу, чтобы выяснить, кто там живёт.

Коротко. Когда пассивный анализ даёт неоднозначный ответ («похоже на VPN, но не точно»), ТСПУ открывает к вашему серверу отдельное соединение «от имени обычного клиента» и смотрит, как сервер отвечает. Настоящий сайт ведёт себя ожидаемо; VPN без правильного fallback — выдаёт себя. Защита — сервер, который на любой посторонний запрос реагирует как легитимный веб-ресурс.

Что такое активное зондирование

Алгоритм:

Пользователь подключается к серверу — трафик идёт через ТСПУ.
Пассивный анализ даёт неоднозначный результат: «похоже на VPN, но не уверен».
ТСПУ создаёт отдельное соединение от имени «обычного клиента» и подключается к тому же серверу.
Смотрит, как сервер отвечает.
На основе ответа решает: блокировать или нет.

По исследованиям OONI и академическим работам (в т.ч. российских вузов) 2024–2025 годов, после «подозрительного» соединения к серверу в течение 10–30 секунд приходит независимый зондирующий запрос с IP-адресов российских операторов. Сам подход не нов — так годами работал «Великий китайский файрвол» против Tor и Shadowsocks; в РФ его адаптировали.

Что проверяет зондировщик

TLS-сертификат. Настоящий? Соответствует заявленному домену? Reality решает это — проксирует рукопожатие к настоящему сайту-донору.

ASN и IP. Соответствует ли IP диапазонам заявленного сервиса? Сервер с Reality на IP хостинга, притворяющийся крупным сайтом, — это несоответствие на уровне ASN.

HTTP-ответ. Настоящий сайт вернёт предсказуемый ответ на обычный GET. VPN-сервер без fallback может закрыть соединение или отдать ошибку — это и есть флаг.

Как защищается Reality

Когда к серверу приходит запрос без правильного маркера, Reality не закрывает соединение, а проксирует его на настоящий сайт-донор. Зондировщик получает ответ от реального ресурса и не находит ничего подозрительного.

Но есть нюансы, которые Reality не закрывает полностью:

ASN: ваш IP всё равно в диапазоне хостера, а не настоящего владельца домена.
Задержка ответа: проксирование добавляет несколько миллисекунд — теоретически измеримо.
Глубокое сравнение: продвинутый зондировщик может сверить поведение с эталонным сайтом-донором.

Fallback: защита для любого протокола

Fallback — резервная обработка запросов без правильного маркера. В Xray это настраивается так: пришёл TLS-запрос без токена → перенаправить на локальный веб-сервер (например, localhost:80 с настоящим nginx-сайтом).

Зондировщик приходит — и получает настоящую HTML-страницу. Сервер «ведёт себя как сайт». Именно так настраивается устойчивая инфраструктура: каждый узел имеет fallback на работающий веб-сервер с несколькими страницами контента — зондирование не находит зацепок.

Как не попасться (чек-лист для администратора)

Настройте fallback. Сервер без него отвечает нетипично на HTTP-запросы — прямой флаг.
Reality с реальным dest. Сайт-донор должен существовать и реально отвечать.
Порт 443. Зондировщик проверяет его в первую очередь.
Masquerade в Hysteria2. Аналог fallback для QUIC: проксирование зондирующих UDP-запросов на реальный сайт.
ASN. IP из ASN коммерческих дата-центров менее подозрителен, чем из ASN «VPN-хостинга».

Что происходит, если сервер «пойман»

IP вносится в оперативный список ТСПУ автоматически. Блокировка может быть мягкой (повышенные потери пакетов) или жёсткой (полный дроп). Именно «мягкая» объясняет эффект «VPN то работает, то нет» у одних пользователей при полной недоступности у других.

Частые вопросы

Зондирование приходит сразу или с задержкой? По наблюдениям — в течение десятков секунд после подозрительного соединения, с IP российских операторов.

Reality полностью защищает от зондирования? От самого зондирования — да (отдаёт настоящий донор). Но не закрывает несоответствие ASN и поведенческий слой, поэтому это не единственная линия обороны.

Что важнее — fallback или правильный SNI? Оба обязательны. Fallback спасает от HTTP-зонда, согласованный SNI/dest — от проверки сертификата и поведения донора.

Вывод

Активное зондирование меняет модель угроз: проверяется не только ваш трафик, но и сам сервер — его могут «допросить». Правильный ответ — сервер, который на любой внешний запрос реагирует как легитимный веб-сервис. Как это сочетается с остальными слоями детекции — в статье «Что такое DPI».

ORLAN VPN настроен с учётом активного зондирования: каждый узел имеет fallback на работающий веб-сервер, Reality корректно проксирует зондирующие запросы, Hysteria2 настроен с masquerade. Подробнее на orlanvpn.com.