ТСПУ, день шестой: ИТ-паблики проснулись, хостеры советуют Firefox, народ шаманит с TLS. Что ж…😮‍💨

Гайз, сегодня крупные ИТ-паблики, как в том анекдоте про индейца Зоркого Глаза, обнаружили, что у их сарая нет одной стены, начав сообщать о проблемах в Рунете, связанных с ТСПУ 😳

Только вот рунет имеет проблемы уже с 5-го числа.
Сегодня, напомню, 10-е.

Удивил и неприятно FirstVDS: сделали статью «о частичной недоступности», где среди советов смена IP, которая «иногда помогает, но не гарантирует, потому что фильтруют целыми подсетями». (Тут претензий нет)
Но за эту негарантированную смену они, на минуточку, хотят доп. денег (я спрашивал) 🙃

Там же: «попробуйте Firefox» и «отключите QUIC в браузере». То есть мне что, обзвонить всех клиентов сервисов и попросить поставить Firefox? 👍

И больше всего смутила цитата: «Мы продолжаем следить за ситуацией и остаёмся на связи с регулятором».

Так раз вы на связи, регулятор-то что говорит? «Це не мі!»?

Пятый день «на связи» и ноль информации клиентам. Молчание — тоже ответ?

Тем временем по сети ходят «бабушкины рецепты», как это лечить. С версией TLS попробовал и мне не помогло, но список оглашу(вдруг вам поможет):

Уно) «Откатите сервер на TLS 1.2, проблема уйдёт».
Моё имхо, ClientHello клиент шлёт до того, как сервер вообще одщение начнет. Серверный конфиг на него повлиять не может физически. А у меня на дампе режут именно ClientHello. Сам автор совета, к его чести, нашёл людей с TLS 1.2 и той же бедой.

Дос) «Вынесите сайт за прокси / на S3 / смените IP». Работает, пока IP чистый. Фильтруют подсетями, так что это на удачу.

Трес) «Включите HTTP/2-only». Единственное, что стоит проверить. Есть теория: ТСПУ триггерится на частоту TLS-соединений (несколько штук за интервал и бан на ~120 секунд).

Браузер по HTTP/1.1 открывает 6+ параллельных коннектов и бан, а по HTTP/2 всё идёт в одном. Это объясняет «плавающий характер», про который я писал в прошлых постах. Проверка простая: curl -Iv https://ваш-сайт. Если в ответе HTTP/2, то уже не поможет.

Я ещё осуществил подачу заявки на внесение подсети в белые списки ТСПУ (фишка для юрлиц и ИП).

То есть официальный механизм исключения из фильтрации существует.
У Selectel такое, вроде, даже автоматом подготавливается, но я ручками писал. Пока в статусе «частично принята».

И добавлю к портрету эпохи: по чатам уже ходят кадры, продающие IP из белых списков. Государственный фильтр породил чёрный рынок исключений из самого себя. Импортозаместили коррупцию 🫠

Тем временем перетаскиваю областные сервисы на селфхост — поднял старый физический Supermicro. Прикиньте, если за этим будущее? Будем каждый со своей железкой в чулане, потому что до дата-центра не достучаться 😐

Что радует: несколько человек уже взяли мой шаблон обращения в РКН. Вода камень точит. Шаблон отдаю всем желающим, если что (да и в постах есть)

З.Ы. Ну, говорят, Роблокс в РФ заработал. Жаль, что моим клиентам больше 14 лет, а то бы подобрели и перестали меня пинать за косяки РКН 😥