ТСПУ (технические средства противодействия угрозам) — это оборудование операторов связи, через которое по закону «о суверенном Рунете» проходит трафик в России. С помощью DPI (глубокого анализа пакетов) ТСПУ читает поле SNI и заголовок Host, чтобы фильтровать соединения. Замедление (throttling) — это искусственное снижение скорости к ресурсу, а не полная блокировка.
Эта статья объясняет владельцам сайтов и администраторам, как устроены ТСПУ и DPI, чем замедление трафика отличается от блокировки и обычного технического сбоя, по каким признакам это распознать и как провести внешнюю диагностику доступности без использования средств обхода. Правовая рамка — 90-ФЗ и 149-ФЗ; речь идёт только о диагностике собственного ресурса.
Что такое ТСПУ и «суверенный Рунет»
ТСПУ — оборудование, устанавливаемое на сетях операторов связи проверку блокировки РКН. Правовая основа — Федеральный закон от 01.05.2019 № 90-ФЗ, внёсший поправки в закон «О связи» и закон «Об информации» (149-ФЗ). Формально цель — обеспечение устойчивой работы Рунета при внешних угрозах, поэтому за законом закрепилось разговорное название «суверенный Рунет».
Ключевое отличие ТСПУ от классической блокировки по реестру запрещённых сайтов в том, что фильтрация происходит централизованно на уровне оператора, а не по спискам, которые оператор загружает и применяет сам. Оператор обязан пропускать трафик через ТСПУ и не имеет прямого управления логикой фильтрации. Подробнее о механике реестровых блокировок — в материале как работает блокировка Роскомнадзора.
Юридические тексты доступны официально: 90-ФЗ на портале правовой информации и 149-ФЗ «Об информации». Проверить наличие домена или IP в реестре можно на официальном сервисе blocklist.rkn.gov.ru.
Как работает DPI
DPI (Deep Packet Inspection, глубокий анализ пакетов) — технология, которая смотрит не только на IP геолокацию и проверку портов, но и на содержимое сетевых пакетов. В контексте ТСПУ DPI анализирует несколько уровней соединения, чтобы принять решение: пропустить трафик, замедлить его или разорвать соединение.
Что именно читает DPI
- SNI (Server Name Indication) — имя хоста, которое клиент отправляет открытым текстом в начале TLS-рукопожатия. Даже при SSL/TLS проверку SNI по умолчанию не шифруется, поэтому DPI видит, к какому домену вы обращаетесь.
- Заголовок Host — для незашифрованного HTTP имя сайта передаётся в открытом виде и легко читается.
- IP-адрес назначения — базовый уровень; блокировка по IP задевает все сайты на одном адресе.
- Характеристики пакетов — размер, тайминги, паттерны, по которым распознаются протоколы, даже если содержимое зашифровано.
Как принимается решение
После разбора соединения DPI сопоставляет извлечённые признаки с правилами. Дальше возможны разные реакции: разрыв TLS-рукопожатия (сброс соединения, RST-пакеты), «чёрная дыра» — пакеты просто не доставляются, или искусственное ограничение полосы. Последний вариант и есть замедление: соединение формально устанавливается, но данные идут медленно.
Чем замедление отличается от блокировки
Блокировка делает ресурс полностью недоступным: страница не открывается, соединение сбрасывается или уходит в таймаут. Замедление оставляет сайт доступным, но резко снижает скорость — страницы грузятся десятки секунд, видео буферизуется, крупные файлы скачиваются с ограниченной полосой. Технически это разные механизмы, и распознавать их нужно по-разному.
Отдельная задача — не спутать оба сценария с обычным техническим сбоем на стороне сайта: перегрузкой сервера, ошибкой конфигурации, проблемой у хостинга или CDN. Ошибка вида «этот сайт не может быть открыт» чаще связана с DNS или сетью, чем с фильтрацией — разбор причин есть в материале как исправить ошибку «этот сайт не может быть открыт».
Сравнительная таблица
| Признак | Полная блокировка | Замедление (throttling) | Обычный технический сбой |
|---|---|---|---|
| Доступность страницы | Не открывается совсем | Открывается, но очень медленно | Может не открываться или открываться нестабильно |
| Поведение соединения | RST / таймаут / сброс на рукопожатии | Соединение есть, но узкая полоса | Ошибки 5xx, отказ TCP, DNS-ошибки |
| Зависимость от географии | Недоступен из РФ, доступен из-за рубежа | Медленно из РФ, нормально из-за рубежа | Одинаково для всех регионов |
| Ключевая метрика | Статус-код / факт соединения | PageSpeed анализ, время до первого байта | Код ответа сервера, время отклика |
| Наличие в реестре | Часто есть в реестре РКН | Может отсутствовать | Отсутствует |
| Как обнаружить | Сравнить доступность РФ vs зарубеж | Сравнить скорость РФ vs зарубеж | Проверить логи сервера, статус хостинга |
Признаки замедления трафика
Замедление проявляется характерно. Стоит заподозрить именно его, если наблюдается сочетание симптомов, а не единичный сбой:
- Сайт открывается, но время до первого байта (TTFB) из России в разы больше, чем из зарубежных точек.
- Скорость скачивания файлов из РФ упирается в стабильный «потолок» — например, держится на одном уровне независимо от канала пользователя.
- Пинг до сервера остаётся нормальным, а реальная скорость передачи данных низкая — то есть задержка не выросла, а именно пропускная способность зажата.
- Проблема воспроизводится у пользователей разных операторов в РФ, но отсутствует при проверке из-за рубежа.
- Мелкие запросы (API документацию, HTML) проходят, а тяжёлый контент (видео, изображения, архивы) деградирует сильнее.
Важно: единичная медленная загрузка — ещё не признак замедления. Диагноз ставится по устойчивой разнице между географиями и по сравнению скорости с задержкой.
Как это проверить снаружи
Внешняя диагностика строится на одном принципе: сравнить поведение ресурса из России и из-за рубежа. Если из РФ ресурс недоступен или медленный, а извне работает штатно — это указывает на сетевую фильтрацию, а не на проблему сервера. Ниже — практический порядок проверки без средств обхода.
Шаг 1. Проверьте реестр
Начните с официального сервиса blocklist.rkn.gov.ru или используйте агрегированную проверку на странице проверки блокировки РКН на enterno.io. Наличие домена или IP в реестре объясняет полную блокировку. Отсутствие в реестре при недоступности из РФ — повод подозревать ТСПУ или замедление.
Шаг 2. Сравните время ответа и доступность
Используйте проверку пинга и доступности и общий чек доступности на главной странице проверки заголовков. Сопоставьте, открывается ли ресурс и какой у него статус-код. Если соединение сбрасывается на этапе TLS — это признак блокировки; если соединение устанавливается, но всё тянется — присмотритесь к скорости.
Шаг 3. Сравните скорость и TTFB по регионам
Ключ к выявлению именно замедления — разница в пропускной способности и времени до первого байта между российскими и зарубежными точками при неизменной задержке. Для системного контроля настройте регулярный мониторинг сайтов — как это делают с учётом требований 152-ФЗ, описано в материале мониторинг сайта в России и 152-ФЗ. Общий обзор темы — в статье доступность сайта в России.
Что может и чего не может сделать владелец сайта
Понимание границ ответственности экономит время. Владелец ресурса управляет своей инфраструктурой, но не логикой ТСПУ.
Что в зоне контроля владельца
- Диагностика: подтвердить, что проблема снаружи, а не на сервере — через сравнение регионов, логи и мониторинг.
- Инфраструктура: убедиться, что сервер, хостинг и CDN исправны, а конфигурация корректна.
- Юридический путь: если ресурс попал в реестр, есть официальные процедуры уточнения и обжалования оснований.
- Прозрачность: информировать пользователей о статусе доступности и альтернативных каналах связи в рамках закона.
Что вне контроля владельца
- Логика фильтрации на ТСПУ — она задаётся централизованно, оператор и тем более владелец сайта ею не управляют.
- Скорость доставки трафика через инфраструктуру операторов при наличии ограничений.
- Обход фильтрации — это выходит за рамки диагностики и не относится к легальной эксплуатации ресурса.
Диагностика по 90-ФЗ и 149-ФЗ для владельца — это законный способ понять причину недоступности собственного сайта и корректно объяснить её аудитории, а не инструмент обхода ограничений.
Частые вопросы
Чем ТСПУ отличается от блокировки по реестру?
Реестровая блокировка применяется оператором по спискам запрещённых ресурсов, которые он загружает и фильтрует сам. ТСПУ — это централизованное оборудование на сети оператора, через которое проходит весь трафик; логика фильтрации задаётся не самим оператором. Реестр можно проверить публично, поведение ТСПУ выявляется только косвенно.
Почему DPI видит домен, если у меня HTTPS?
HTTPS шифрует содержимое страниц, но имя хоста в поле SNI на этапе TLS-рукопожатия по умолчанию передаётся открытым текстом. Именно его читает DPI, чтобы определить, к какому сайту идёт обращение. Поэтому наличие HTTPS само по себе не скрывает факт обращения к конкретному домену от систем анализа трафика.
Как отличить замедление от перегрузки моего сервера?
Перегрузка сервера проявляется одинаково для всех регионов и обычно сопровождается ростом времени отклика или ошибками 5xx в логах. Замедление на уровне сети видно как разница скорости между РФ и зарубежьем при нормальном пинге и чистых серверных логах. Сравнение географий — главный различающий тест.
Может ли владелец сайта убрать замедление своими силами?
Напрямую — нет: логика ограничений задаётся не на стороне сайта. Владелец может подтвердить диагноз, проверить и оптимизировать собственную инфраструктуру, а при попадании в реестр — использовать официальные процедуры уточнения оснований. Обход фильтрации не относится к легальной эксплуатации ресурса и здесь не рассматривается.
Какие метрики важнее всего при диагностике?
Для различения сценариев смотрите три показателя: факт установления соединения и статус-код (блокировка против доступности), пропускную способность и время до первого байта (замедление), а также стабильность разницы между российскими и зарубежными точками. Именно устойчивая географическая разница отделяет сетевую фильтрацию от локального сбоя.
Где посмотреть официальные тексты законов?
Текст 90-ФЗ опубликован на официальном портале правовой информации, а 149-ФЗ «Об информации, информационных технологиях и о защите информации» — в открытых правовых базах. Реестр запрещённых ресурсов ведёт Роскомнадзор и публикует проверку на blocklist.rkn.gov.ru. Ссылки на все три источника приведены в разделе про ТСПУ выше.