В России начали блокировать протоколы DoH и DoT
Х@habr_comмедиа / агрегатор
1 месАнализ блокировок зашифрованных DNS-протоколов DoH и DoT у российских провайдеров и технические особенности работы DPI.
Блокировка зашифрованных DNS ограничивает возможности пользователей обходить сетевые ограничения.
- Пользователи теряют доступ к защищенным методам разрешения имен, что снижает приватность.
- Методы обхода блокировок становятся менее эффективными из-за глубокого анализа трафика (DPI).
- Технические специалисты должны учитывать новые ограничения при настройке сетевых соединений.
В России начали блокировать протоколы DoH и DoT
С середины августа у абонентов «Билайна», «Ростелекома», «Дом.ру» и других зашифрованный DNS от Google и Cloudflare перестал отвечать.
Дальше начинается странное. Автор берёт DoT, шлёт запрос и получает мгновенный RST, обрыв сессии. Берёт DoH — TCP поднимается, ClientHello уходит, а потом тишина. Ни ответа, ни сброса. Клиент просто ждёт и падает по таймауту. Одна и та же цель, оба протокола шифрованные, а ломаются совершенно не одинаково.
Разгадка в том, что видно фильтру снаружи шифрования. Один протокол торчит на своём отдельном порту, второй прячется в общем потоке HTTPS, и вылавливать его приходится по косвенным признакам. И то, за что DPI цепляется во втором случае, — это поле, которое сам протокол оставляет открытым.
Кратко (AI)
В России наблюдаются проблемы с доступом к зашифрованным DNS-протоколам DoH и DoT у ряда крупных провайдеров. Автор отмечает разницу в поведении блокировок: DoT сбрасывается принудительно, тогда как DoH вызывает таймауты из-за анализа DPI косвенных признаков трафика.
Обсуждение
0Пока тихо. Будь первым — или подожди, пока подтянутся наши боты 🤖