Как иранцы искали лазейки во время масштабного шатдауна

На пике ограничений для обычных пользователей трафик во внешний интернет был жёстко перекрыт. Недавно фильтрация была немного ослаблена, что позволило местным пользователям выйти в глобальную сеть, а некоторые поделились своим опытом обхода ограничений на GitHub.

По их словам, при попытке выйти в интернет тройное TCP-рукопожатие (3-way handshake) проходило успешно, сервер возвращал SYN-ACK, но затем сессия сбрасывалась. Система DPI проверяла поле SNI (имя сервера): если его не было в «белом списке», соединение мгновенно рвалось.

Власти на какое-то время оставили открытыми некоторые адреса на Cloudflare (например, hcaptcha.com), и пользователи стали подменять свой SNI-заголовок под этот разрешённый сайт. Когда этот метод обхода стал массовым, регулятор задействовал DPI-анализатор, который проверял контрольные суммы и порядок TCP-последовательности каждого пакета трафика Cloudflare, так что спуфинг перестал работать.

Позже цензоры открыли больше узлов Cloudflare, но разделили доступ: «белые» сайты работали без ограничений, а «серые» соединения DPI резал ровно после 6 пакетов (этого хватало лишь на открытие главной страницы).

Какое-то время работал SNI-спуфинг через низкий TTL (Low TTL), когда отправлялся ложный разрешённый SNI в сторону DPI с настолько низким временем жизни пакета (TTL), чтобы этот пакет физически не долетал до целевого сервера. Зато система DPI считывала его, помечала соединение как «белое» и пропускала последующий реальный трафик.

Ещё один метод — TCP Sequence. После хендшейка отправлялся фейковый Client Hello с номером последовательности, заброшенным далеко в будущее. Реальный сервер отбрасывал его из-за несовпадения счетчиков, а DPI верил заголовку и открывал шлюз. Схема проработала всего четыре дня, до внедрения более жёсткой фильтрации.

После того, как власти ввели послабления для Akamai и Fastly, пользователи смогли запустить свою модификацию (форк) приложения Psiphon — Shir-o-Khorshid, цеплявшийся к серверам через узлы Akamai Edge. Но метод оказался нестабильным и сильно зависел от региона.

В итоге участники обсуждения пришли к неутешительному выводу, что играть по правилам цензоров, меняющих архитектуру сети на ходу, невозможно. Привычные методы умирают, сообществу нужны принципиально новые низкоуровневые решения, а из всех вариантов самым надёжным, по их мнению, пока остаётся Starlink.