В России начали блокировать протоколы DoH и DoT

С середины августа у абонентов «Билайна», «Ростелекома», «Дом.ру» и других зашифрованный DNS от Google и Cloudflare перестал отвечать.

Дальше начинается странное. Автор берёт DoT, шлёт запрос и получает мгновенный RST, обрыв сессии. Берёт DoH — TCP поднимается, ClientHello уходит, а потом тишина. Ни ответа, ни сброса. Клиент просто ждёт и падает по таймауту. Одна и та же цель, оба протокола шифрованные, а ломаются совершенно не одинаково.

Разгадка в том, что видно фильтру снаружи шифрования. Один протокол торчит на своём отдельном порту, второй прячется в общем потоке HTTPS, и вылавливать его приходится по косвенным признакам. И то, за что DPI цепляется во втором случае, — это поле, которое сам протокол оставляет открытым.