Как работает ТСПУ: почему сайт открывается у одного оператора и не у другого
ТСПУ — это технические средства противодействия угрозам, оборудование для фильтрации трафика, которое устанавливается у операторов связи в России. Когда сайт открывается у одного оператора и не открывается у другого, чаще всего дело именно в ТСПУ: устройство стоит на пути ваших пакетов и решает, что пропустить, а что заблокировать.
ТСПУ ставит Роскомнадзор по закону 90-ФЗ «О суверенном Рунете». Само устройство — это «чёрная коробка» оператора с правилами фильтрации, которые приходят централизованно. При этом сам оператор также может применять собственные технические правила маршрутизации и приоритетов. Получается двухслойная система, и именно поэтому результат различается между операторами.
Ниже разберём механику без лозунгов: как трафик идёт через ТСПУ, что в нём может произойти и почему «одинаковая блокировка для всех» — это упрощение, не отражающее реальности.
Коротко
- ТСПУ — оборудование РКН на стороне магистральных и крупных операторов связи.
- Цепочка прохождения трафика: пользователь → оператор → ТСПУ-фильтр → дальше в интернет.
- Списки правил приходят централизованно, но конфигурация и приоритеты у разных операторов могут отличаться.
- ТСПУ умеет блокировать по IP, по DNS, по SNI и по сигнатуре протокола (DPI).
- Поэтому один и тот же сайт может открываться у МТС и не открываться у МегаФона.
- На результат также влияет маршрутизация: до сайта можно идти разными путями, и не все они проходят через одинаково настроенные узлы.
Как устроена цепочка прохождения трафика
Когда вы открываете сайт, ваш запрос проходит через несколько слоёв сети, и блокировка может сработать на любом из них.
Шаг 1. Устройство → оператор
Пакет уходит из вашего устройства к точке доступа оператора связи. На этом этапе никаких фильтров ещё нет — это просто сеть доступа (LTE/5G/оптика).
Шаг 2. Оператор → ТСПУ
Внутри оператора трафик попадает на узел, где стоит ТСПУ. Здесь происходит первичный разбор: тип соединения, адрес назначения, имя домена в SNI, сигнатура протокола. По заранее загруженным правилам устройство решает — пропустить, замедлить, оборвать или ответить подменой.
Шаг 3. ТСПУ → магистраль → сайт
Если ТСПУ пропускает трафик, он уходит дальше через магистральных провайдеров к серверу сайта. Здесь возможна и обратная сторона: некоторые сервисы сами ограничивают доступ российских IP, и блокировка «сверху».
Почему разные операторы дают разный результат
Списки сайтов, подлежащих ограничению, общие — они формируются на уровне реестра РКН. Но техническая реализация у каждого оператора своя: разная аппаратная начинка ТСПУ, разные приоритеты ручных правил, разные пути маршрутизации до целевого сайта. В итоге один оператор режет жёстко по SNI, второй — мягче по DNS, третий вообще пропускает в обход ТСПУ через зарубежный канал. Сайт открывается избирательно — и это нормальное поведение системы, а не ошибка.
Как понять, что именно сломалось
| Симптом | Возможная причина | Что проверить |
|---|---|---|
| Сайт открывается у МТС, не открывается у МегаФона | Разная конфигурация ТСПУ у операторов | Сравнить замеры через Freedom Checker |
| Сайт не открывается ни на одном операторе | Внесён в реестр РКН или собственная блокировка сайтом | Проверить адрес в открытом реестре |
| Сайт открывается с домашнего, не открывается с мобильного | Разные ТСПУ у мобильного и домашнего сегмента | Сменить оператора / переключиться на Wi-Fi |
| Открывается медленно, с разрывами | Замедление трафика на ТСПУ | Замерить скорость до известного незаблокированного сайта |
| Ошибка ERR_CONNECTION_RESET сразу после ClientHello | SNI-фильтрация на ТСПУ | Попробовать запрос через ECH/прокси |
| В одном регионе работает, в другом — нет | Разные узлы фильтрации в разных регионах | Сверить замеры с другим регионом |
Как проверить прямо сейчас
Чтобы отделить «не работает только у меня» от системной операторской фильтрации, нужны замеры с разных точек. Freedom Checker запускает однотипные проверки доступности сайтов и сервисов с пробников у нескольких операторов связи и в разных регионах. По результатам видно, виноват ли локальный сбой, конфигурация ТСПУ конкретного оператора или общая блокировка.
Если одна и та же страница недоступна у всех проверенных операторов — почти наверняка задействован реестр запрещённых сайтов. Если же доступ различается оператор к оператору — это признак разной конфигурации ТСПУ. Технические детали работы оборудования подробно описаны в материале на Хабре.
Сбой или блокировка?
Сбой — это когда узел оператора временно недоступен, упал маршрут или у магистрального провайдера авария. Симптом: проблема резкая, исчезает сама через час-два, у части пользователей работает.
Блокировка через ТСПУ — стабильная, привязана к оператору и сайту, появляется после волны обновлений правил и сама не уходит. Если у одного оператора сайт стабильно не открывается, а у соседнего стабильно открывается — это уже не сбой, а различие конфигурации фильтрации.
На что обратить внимание
- Один и тот же сайт может пройти через разные узлы ТСПУ, в зависимости от маршрута оператора.
- ТСПУ умеет действовать тонко: не только блокировать, но и замедлять, и обрывать по таймауту.
- Разный результат у разных операторов — это норма системы, а не ошибка.
- Региональные различия — следствие того, что узлы фильтрации стоят локально, а не централизованно.
- DNS-проверка не всегда показательна: если ТСПУ работает по SNI, DNS-запрос проходит, а соединение режется уже после.
- Замеры с одного устройства всегда менее показательны, чем сравнение между операторами.
- Конфигурации правил периодически обновляются, поэтому картина «вчера работало — сегодня нет» — типична.
Вывод
ТСПУ — это операторская фильтрация трафика, реализованная по единому замыслу, но с локальными различиями в конфигурации и приоритетах. Поэтому ответ на «почему у меня сайт не открывается, а у соседа — открывается» почти всегда упирается не в реестр, а в то, какой именно оператор у вас и как у него настроены правила ТСПУ.
Самый быстрый способ это увидеть — сравнить замеры по операторам. После этого становится понятно, имеете ли вы дело с системной блокировкой или с локальной особенностью одной сети.