Что такое ТСПУ и как оно определяет VPN-трафик

Если VPN в России то подключается, то нет, без видимой причины — почти наверняка дело в ТСПУ. Это не отдельная блокировка конкретного сервиса, а оборудование, которое стоит между вами и интернетом на уровне сети оператора и анализирует весь проходящий трафик целиком.

Откуда взялось ТСПУ

ТСПУ — технические средства противодействия угрозам. Правовую основу для их установки дал закон о «суверенном рунете» 2019 года: с сентября 2020 года операторов связи обязали ставить это оборудование в своих сетях. Действующие технические условия закреплены приказом Роскомнадзора № 25 от 19 февраля 2024 года.

Важная деталь: сами операторы не имеют доступа к этим устройствам — управляет ими централизованно Роскомнадзор. Оператор фактически не может ни отключить, ни настроить ТСПУ в своей сети самостоятельно.

Как это устроено технически

ТСПУ — это, по сути, DPI-комплексы (Deep Packet Inspection), похожие на оборудование, которое операторы связи используют десятилетиями для приоритизации трафика (например, чтобы голосовые звонки не «тормозили» из-за загрузки файлов). Роскомнадзор централизованно управляет DPI-узлами через единые политики: сигнатуры, списки доменов, IP-адресов, протоколов и шаблонов поведения трафика.

По каким признакам ТСПУ вычисляет VPN

DPI анализирует трафик на разных уровнях, и то, что доступно для анализа, зависит от того, зашифрован трафик или нет:

• Для незашифрованных протоколов (обычный HTTP, DNS без шифрования) — система видит содержимое пакетов целиком.
• Для зашифрованных протоколов (TLS и подобные) — анализ ограничен метаданными: адресами источника и назначения, портами, флагами TCP, размером и частотой пакетов, паттернами handshake (первичного «рукопожатия» при установке соединения).

Именно по этим метаданным ТСПУ и распознаёт VPN, даже не имея доступа к содержимому трафика: у большинства протоколов VPN есть узнаваемый «рисунок» — характерный размер и ритм пакетов, специфическая структура handshake, которая отличается от обычного просмотра сайтов. Система не «читает» переписку — она сопоставляет форму трафика с уже известными сигнатурами VPN-протоколов.

Что происходит, когда трафик распознан как VPN

Реакция ТСПУ может быть разной: полный обрыв соединения, резкое падение скорости или выборочное блокирование отдельных типов запросов, из-за чего сайт может открываться частично или «зависать». При этом оборудование не всегда работает стабильно: при высокой нагрузке ТСПУ иногда переходит в аварийный режим и временно пропускает трафик без проверки — этим объясняется ситуация, когда VPN у одного и того же пользователя то работает, то нет без всякой закономерности.

Почему одни протоколы «видны» ТСПУ легче, чем другие

Раз распознавание строится на характерном рисунке трафика, то устойчивость протокола к такому анализу зависит от того, насколько его handshake и структура пакетов похожи на обычный зашифрованный веб-трафик (HTTPS). Классические протоколы вроде OpenVPN или WireGuard без дополнительной обфускации имеют узнаваемую сигнатуру. Протоколы с обфускацией — например, VLESS REALITY и Hysteria2, которые использует PassBy VPN, — маскируют handshake под обычное TLS-соединение, из-за чего их сложнее выделить среди фонового трафика по чисто статистическим признакам.

Коротко

• ТСПУ — DPI-оборудование, установленное по закону во всех сетях операторов, управляется централизованно Роскомнадзором.
• Оно анализирует не содержимое, а форму трафика: размер пакетов, ритм, структуру handshake.
• При перегрузке система может временно пропускать трафик без проверки — отсюда нестабильная работа VPN.
• Устойчивость протокола к распознаванию зависит от того, насколько его трафик похож на обычный HTTPS.