🔍 Как устроены чёрные ящики РКН изнутри

На просторах сети всплыл шикарный обучающий материал, детально разбирающий архитектуру тех самых ТСПУ (но материал не самый свежий). И с инженерной точки зрения это весьма масштабный и грамотно спроектированный комплекс. Если кому лень смотреть пятичасовой видос на ютубах, то читаем ниже 🎩

Физически система состоит из нескольких сущностей... аппаратных байпасов, балансировщиков на базе мощных чипов Tofino (переваривающих до 3.2 Тбит/с) и самих серверов фильтрации. Железо под DPI-ноды выбрано грамотное... платформы на 24-ядерных Xeon Gold с сотнями гигабайт оперативки. Ставятся эти коробки в разрыв операторского линка, причем продумано несколько схем установки. Идеальный для товарища майора вариант - это когда до CGNAT, где системе видны серые IP конкретных абонентов, но можно воткнуть и после, разбирая уже транслированный белый трафик провайдера 👮‍♂️

Вся магия происходит на балансировщиках. Чтобы система DPI могла нормально разбирать сессии на седьмом уровне модели OSI, ей нужно видеть пакеты в обе стороны. Балансировщик берет на себя выравнивание асимметричного трафика, раскидывая его по конкретным ядрам фильтров на основе хеша от IP-адресов и портов. Сами фильтры работают на прошивках EcoFilter и EcoDPI, получая списки блокировок из центральной системы управления через изолированный ГОСТовый VPN Континент. И да, в настройках есть встроенная опция деградации протоколов (от 0 до 100), которая позволяет изящно увеличивать процент дропнутых пакетов 😭. Именно этой опцией условный Ютуб или Телега элегантно превращают в нерабочее.

Интересна и защита от падений самого ТСПУ. Разработчики понимали, что их серверы будут ложиться под нагрузкой или кривыми апдейтами, поэтому запилили немного отказоустойчивости. Если фильтр не отвечает на keepalive-пакеты или дропает больше 20% сессий от перегруза, балансировщик автоматически пускает трафик в обход без флапа линков у провайдера. А если в стойке тупо пропадает питание, срабатывает оптическое реле в пассивном байпасе, аппаратно замыкая линию связи напрямую. То есть, если ТСПУ умирает, интернет не пропадает, он просто становится кристально свободным как юные годы

По итогу получился вполне себе серьезный программно-аппаратный конвейер. Со своей подсистемой мониторинга (умеют даже деградацию оптики на SFP-трансиверах смотреть), продвинутым CLI и двойным резервированием. Этот глобальный бэкенд сформировал поверх сетей провайдеров еще одну параллельную, централизованно управляемую инфраструктуру гигантских масштабов. Изучая эти логи, понимаешь, что плясать с бубном с этим на уровне любительских прокси будет всё сложнее, потому что по ту сторону работает очень качественный сетевой инжиниринг... было бы любопытно взглянуть на самые свежие разборы с новыми фичами ТСПУ, но увы.

Зависла Телега на отправке? Спонсор этого картизола - packet drop 40%, изящно примененный в соседней стойке 😶

Типичный 🥸 Сисадмин