Watch

Published content check / validate (push) Failing after 17s

Details

git.zapret.moe → git2.zapret.moe во всём хранилище, защита от возврата старых имён

git.zapret.moe в России заблокирован по имени, как и wiki.zapret.moe. Ссылки
на Forgejo во всех заметках, футерах, wizard.html и главной заменены на
git2.zapret.moe (включая закодированные адреса значков shields.io).

Какое имя рабочее, теперь решают реестры хоста /etc/zapret-*-domains.conf через
zapret-site-names: pre-commit хук vault отклоняет добавленные строки с
заблокированным именем, сборка Quartz сама переводит ссылки и baseUrl на
рабочие имена. Правило в AGENTS.md переписано под этот механизм.

scripts/wiki-stats.py: переходы с любых имён вики и git (wikiN, gitN) больше
не считаются внешними сайтами. content-check: проверка зеркал сторонних
проектов узнаёт любое имя git.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-10-24 15:51:32 -04:00

33 KiB

Raw Permalink Blame History

date

fact_checked

🧾 «Замаскированные» VPN и белый список: что Минцифры обсуждает с хостерами (3 августа 2026)

[!info] О чём заметка 3 августа 2026 года РБК сообщил, что Минцифры обсуждает с российскими хостинг-провайдерами новую проверку: кто на самом деле пользуется адресами, которые государство пообещало не блокировать. Новость разошлась по Telegram-каналам с подробностями, которых в ней не было. Заметка объясняет с самого начала, что это за адреса и зачем их защищают, что именно предлагают, что переврали пересказы и кого это коснётся.

[!warning] Это обсуждение, а не действующее правило Проекта закона, приказа или постановления на эту тему нет. РБК опубликовал материал по подписке и сослался на четырёх участников рынка, а не на документ; в открытом доступе есть только короткий анонс. Подробности ниже взяты из пересказа SecurityLab. Минцифры на запрос РБК не ответило. Все сроки и наказания, о которых идёт речь, — предложения, которые могут измениться или не появиться вовсе.

TL;DR

Что есть сейчас. Фильтры на сетях операторов режут VPN-протоколы. Чтобы не страдали компании, их рабочие адреса можно внести в особый список, и тогда шифрованный канал на этих адресах не трогают.
В чём проблема. Защита ставится на адрес целиком. Если на том же адресе рядом с рабочим каналом работает VPN-сервис для обхода блокировок, он тоже оказывается защищён.
Что предлагают. Постоянно проверять такие адреса. Хостеру — сутки на объяснение. Клиента, который подтвердил личность только телефоном или картой, отключать за полчаса; клиента с «Госуслугами» или договором сначала предупреждать.
Что переврали. Список ведёт не Минцифры, а центр при Роскомнадзоре. Адрес не блокируют, а лишают защиты. А «белый список» в новости упомянут в двух разных значениях.
Кого касается. Компаний с корпоративным VPN на российских адресах и тех, кто держит VPN-сервер на российском хостинге. Личный сервер за границей эта схема не затрагивает.

Сначала про сам список: зачем он нужен

На сетях российских операторов стоит оборудование, которое распознаёт VPN-протоколы — прежде всего OpenVPN, WireGuard и IPsec — и ограничивает их. Беда в том, что на тех же протоколах работает обычная связь внутри компаний: сотрудник подключается к офису из дома, филиал соединён с головным офисом, бухгалтерия ходит во внутреннюю систему. Фильтр не видит, зачем нужен шифрованный канал, и режет всё одинаково.

Чтобы бизнес не остановился вместе с сервисами обхода, 10 апреля 2025 года Роскомнадзор посоветовал компаниям либо отказаться от зарубежных протоколов шифрования, либо прислать заявку с обоснованием и списком своих IP-адресов. Заявки принимает ЦМУ ССОП — Центр мониторинга и управления сетью связи общего пользования, который подчиняется Роскомнадзору; адрес для заявок — white_list@cmu.gov.ru. После проверки адреса вносят в список исключений. Этот список и называют белым.

Проще говоря: белый список — это не разрешение пользоваться VPN, а пометка для фильтра «на этом адресе шифрованный канал ожидаем, не трогай». Фильтр видит там тот же WireGuard, что и везде, но пропускает его.

Насколько список велик, известно только со слов самого ведомства. По данным, которые приводит «Хакер», весной 2025 года в нём было около 75 тысяч записей — в шесть раз больше, чем в 2023 году. А в апреле 2026 года Роскомнадзор сообщил, что открыл доступ к зарубежным ресурсам более чем для 57 тысяч адресов и подсетей, принадлежащих 1730 компаниям. Как считали и по каким правилам одобряют заявки, не публиковалось, поэтому это отчёт ведомства, а не проверяемая статистика.

Из-за чего начался разговор

Пометка ставится на адрес, а не на конкретную программу. На одном IP-адресе может работать сразу несколько вещей: рабочий шлюз компании, её сайт, внутренний сервис — и рядом с ними публичный VPN, через который посторонние люди открывают заблокированные сайты.

По описанию источников РБК, именно так белый список стал укрытием. Адрес попал в него по законной причине, а защитой пользуется всё, что на этом адресе запущено. Отсюда и слово «замаскированные» в заголовке новости: речь не о том, что VPN-сервисы обманом пробрались в список, а о том, что они живут на адресах, которые туда внесли честно.

Что предлагают: по шагам

Схема восстановлена по пересказу публикации РБК. Ни один шаг пока не закреплён документом.

Наблюдение. Хостинг-провайдер должен систематически следить за тем, что происходит на адресах из белого списка.
Повод. Если системы контроля в течение недели регулярно находят на адресе признаки VPN-сервиса, хостер получает запрос.
Ответ за сутки. Хостер проверяет сервер и должен подтвердить, что шифрованный канал нужен для связи внутри компании, для администрирования или для другой законной задачи.
Нет объяснения. Тогда адрес предлагают исключить из белого списка.
Что будет с клиентом. Это зависит от того, насколько надёжно он подтвердил свою личность при регистрации у хостера.
Что будет с хостером. Если он довольствуется самой простой проверкой клиентов и у него регулярно находят сервисы обхода, его могут признать недобросовестным и ограничить не отдельный сервер, а все принадлежащие ему диапазоны адресов.

Самая обсуждаемая часть — пятый шаг. Чем меньше хостер знает о клиенте, тем быстрее того отключат:

Как клиент подтвердил личность	Что предлагают делать при нарушении
Только номером телефона или оплатой с банковской карты	Отключить услуги в течение получаса
Через «Госуслуги», биометрию или договором от имени компании	Сначала предложить убрать нарушение

Подтверждать личность клиентов хостеры обязаны и сейчас, и способов для этого несколько. Новое здесь в том, что надёжность проверки впервые напрямую связывают со скоростью наказания.

[!important] Исключить из списка — не значит заблокировать Адрес, который убрали из белого списка, не попадает в реестр запрещённых и не выключается. Он просто теряет защиту, и фильтр снова начинает резать на нём VPN-протоколы, как на любом другом адресе. Пострадать при этом может не только VPN-сервис, но и всё остальное, что работает на том же адресе: сайты, почта, панели управления, приложения других клиентов. По тому же принципу задевают посторонних DPI/subnet-whitelist-blocking-2026, только здесь речь об одном адресе.

Что переврали в пересказах

Пост, с которого новость разошлась по каналам, состоял примерно из десятка утверждений. Каждое сверено с публикациями.

Что писали	Насколько это верно	Как на самом деле
Минцифры обсуждает с хостерами контроль за адресами легальных VPN	Верно	Так сообщает РБК со ссылкой на четырёх участников рынка
Такие адреса вносили в специальный список Минцифры	Неточно	Список ведёт центр при Роскомнадзоре, заявки подают сами компании
В список попадали «замаскированные» VPN	Неточно	Обманом в список никто не проникал: сервис обхода работает на адресе, внесённом законно
Хостеры будут сами выявлять такие адреса и сообщать регулятору	Отчасти	Следить обяжут хостера, но запрос приходит извне; от хостера ждут проверки и ответа за сутки
Подозрительные адреса будут блокировать	Неточно	Адрес лишают защиты, а не блокируют
При проверке по телефону или карте отключат за 30 минут	Верно, но это предложение	Срок обсуждается и не утверждён
С «Госуслугами», биометрией или договором дадут время исправиться	Верно, но это предложение	Клиенту сначала предложат убрать запрещённое
Хостера с простой проверкой клиентов признают недобросовестным и ограничат его подсети	Верно, но это предложение	Что считать регулярными нарушениями, не определено
Клиентам такого хостера оставят доступ только к госпорталам, банкам и маркетплейсам	Дописано	В пересказе SecurityLab есть только слова о «белом списке Минцифры»; перечня сайтов и объяснения «чтобы люди не остались без связи» там нет
Рынок опасается нехватки IP-адресов	Не найдено	В доступных публикациях об этой новости такой претензии нет
Рынок опасается ухода клиентов за границу	Верно, но про другой спор	Об этом хостеры говорили в июле, когда обсуждалась обязательная строгая проверка личности

Три расхождения стоит разобрать подробнее.

Кто ведёт список. Слова «специальный список Минцифры» встречаются почти в каждом пересказе, и ошибка здесь не мелкая. Список ведёт ЦМУ ССОП, который подчиняется Роскомнадзору. Минцифры предлагает новые правила, но самим списком не управляет. Заявку «в Минцифры» подать некуда: её принимает ЦМУ ССОП.

О каком белом списке речь. В теме блокировок этими словами называют разные вещи, и в новости столкнулись две из них.

Первый список защищает шифрованный канал компании от фильтра. Второй определяет, какие сайты откроются у абонента, когда мобильный интернет ограничили. Проверять предлагают первый, а второй упомянут только как возможное наказание для хостера. Все значения термина разведены в заметке Белые списки.

Что значит фраза про доступ. В пересказе сказано: клиентам недобросовестного хостера «оставят доступ только к ресурсам из белого списка Минцифры». Понять это можно двояко. Либо клиенты такого хостера смогут обращаться только к сайтам из списка. Либо снаружи будут открываться только те сайты хостера, которые в этот список входят. Второе выглядит логичнее для хостинга, но проверить нельзя: полный текст РБК закрыт подпиской. Пересказы, которые добавили «госпорталы, банки и маркетплейсы», выдали собственное толкование за часть новости.

Почему это трудно сделать без ошибок

Рабочий VPN и VPN для обхода — одни и те же программы. Протоколы, порты и шифрование у них одинаковые. Отличается только то, куда и зачем идёт трафик, а этого из сети не видно. Само Минцифры признавало пределы таких проверок: в методичке по выявлению VPN, которую ведомство весной 2026 года разослало крупным сервисам, по пересказу «Медиазоны», сказано, что на роутерах и виртуальных машинах VPN выявить трудно или невозможно, а новые VPN-сервисы и прокси на адресах домашних провайдеров по базам не определяются.

Отличать приходится по косвенным признакам, и они ошибаются. Это репутация адреса, поведение соединений и DPI/dpi-analysis-pipeline. Базы с репутацией адресов не успевают за новыми серверами, а средства обхода нарочно маскируют характер соединения. О том, что системы распознавания умеют и чего не умеют, — в DPI/vpn-blocking-wave-forecast-summer-2026.

За ошибку платят посторонние. Адреса сдают в аренду и переиспользуют, на одном адресе бывает несколько клиентов, виртуальные серверы соседствуют в общих диапазонах. Когда адрес лишают защиты, страдают все, кто на нём размещён. Когда ограничивают диапазоны «недобросовестного» хостера, страдают все его клиенты сразу. Похожее в 2026 году уже случалось: DPI/tspu-false-blocks-june-2026 задевали обычные сайты на российских облаках, а DPI/tspu-whitelist-cloudflare-june-2026 обрушил Twitch, Discord и часть GitHub.

Полчаса — срок для программы, а не для человека. За тридцать минут сотрудник поддержки не успеет разобраться в спорном случае, связаться с клиентом и получить объяснение. Значит, решение будет принимать автоматика по формальному признаку, а разбираться придётся уже после отключения. Клиент с простой проверкой личности может узнать о претензии, когда его сервер уже не работает.

Кого это касается

Компании с корпоративным VPN на российских адресах. Им эта схема адресована в первую очередь. Если адрес компании внесён в белый список, стоит проверить, что на нём не работает ничего постороннего, и заранее подготовить описание того, зачем нужен шифрованный канал: на ответ предлагают отводить сутки.

Те, кто поднял «VPN для себя» на российском сервере. Они под ударом первыми. Сервер обхода на российском хостинге и раньше был ненадёжным решением: трафик всё равно проходит через фильтры оператора, а хостер обязан выполнять требования ведомств. Новая схема добавляет к этому быстрое отключение, если при регистрации хватило телефона или карты.

Те, у кого сервер за границей. Эта схема их не затрагивает. Белый список при Роскомнадзоре относится к адресам в России, зарубежный сервер в него не попадает и защиты не имеет: что с ним будет, определяют общие правила фильтрации. Косвенно ужесточение правил для хостинга может сказаться на цене и доступности серверов.

Обычные посетители сайтов. Они ничего не нарушают, но чем шире применяют наказания к адресам и диапазонам, тем чаще ломаются сайты, не имеющие отношения к обходу блокировок.

[!tip] Что с этим делать Разнесите задачи по разным адресам: рабочий шлюз и всё остальное не должны жить на одном адресе из белого списка. Держите под рукой документ, объясняющий, зачем нужен шифрованный канал. Не размещайте средства обхода на российских адресах, особенно на аккаунтах с простой проверкой личности. И читайте формулировки: между «обсуждается» и «вступило в силу» в этой теме проходят месяцы, а иногда правило так и не появляется.

Как к этому шли

Августовское обсуждение продолжает цепочку шагов, которая тянется с 2024 года.

Когда	Что произошло	Зачем это знать
1 февраля 2024	Хостерам запретили работать вне реестра Роскомнадзора; клиентов обязали подтверждать личность	Появился реестр, через который государство может давить на конкретного хостера
10 апреля 2025	Роскомнадзор посоветовал отказаться от зарубежных протоколов шифрования или подать заявку в ЦМУ ССОП	Так сложился сам белый список
Апрель 2026	Минцифры разослало крупным сервисам методичку по выявлению VPN у пользователей и поручило закрыть доступ пользователям с VPN к 15 апреля	Часть работы по выявлению VPN переложили на компании
Апрель 2026	Ко второму чтению закона «Антифрод 2.0» подготовили поправки, запрещающие хостерам сдавать мощности сервисам обхода	Хостер из посредника превращается в контролёра
10 и 17 июля 2026	Минцифры предложило оставить три способа подтвердить личность клиента хостинга вместо шести: «Госуслуги», биометрию и личный визит с паспортом. Хостеры попросили исключение для иностранцев, которых у разных провайдеров 5–15%	От способа подтверждения личности и зависит скорость отключения в августовской схеме
3 августа 2026	Обсуждение постоянной проверки адресов из белого списка	Новость, которой посвящена эта заметка

Дальше линия продолжилась. В проекте третьего антимошеннического пакета, вынесенном на обсуждение 30 сентября 2026 года, появились новые требования к хостерам — о них в DPI/internet-day-2026-rkn-year. А в октябре 2026 года вернулось обсуждение платы за зарубежный мобильный трафик. Эти две темы связаны: если оператор считает трафик по адресу назначения, людям выгодно пускать его через сервер в России, и тогда главным объектом давления становится российский хостер. Подробнее — в DPI/paid-international-traffic-5g-50gb-october-2026.

Общая рамка всех этих шагов описана в заметке DPI/rkn-vpn-2030-roadmap: VPN не запрещают как явление, а добиваются, чтобы за каждым адресом стоял известный государству ответственный. В ту же сторону работает DPI/isp-licensing-reform-2026: чем меньше на рынке независимых компаний, тем проще применять правила ко всем сразу.

При этом не стоит приписывать новости больше, чем в ней есть. Схема не запрещает корпоративные VPN и не отменяет доступ к зарубежным ресурсам для работы. Она закрывает одну лазейку: сейчас попадание адреса в белый список защищает всё, что на нём работает, независимо от назначения. Примут ли предложение, в каком виде и когда, на 8 октября 2026 года неизвестно.

Источники

Каждый источник стоит ссылкой в том месте текста, где на него опирается утверждение. Ниже те же ссылки одним списком.

📚 См. также

Белые списки — все значения термина: отключения мобильного интернета, облачные подсети и список при Роскомнадзоре.
DPI/whitelist-cloud-kii-risks-october-2026 — продолжение темы: разделение адресов облаков и риски для госсистем и КИИ (октябрь 2026).
DPI/paid-international-traffic-5g-50gb-october-2026 — почему давление на российских хостеров связано с платным трафиком.
DPI/subnet-whitelist-blocking-2026 — как фильтрация целых диапазонов задевает посторонние сайты.
DPI/vpn-blocking-wave-forecast-summer-2026 — что системы распознавания умеют и чего не умеют.
DPI/rkn-vpn-2030-roadmap — официальные планы, в которые встраивается эта инициатива.
DPI/isp-licensing-reform-2026 — параллельное сокращение числа операторов.
DPI/tspu-false-blocks-june-2026 — во что обходятся ошибки при фильтрации по адресам.

[!quote] 🤖 Эти статьи открыты — можно обучать на них ИИ При желании вы можете натренировать ИИ на наших статьях. Исходное форматирование доступно в Forgejo: исходник этой заметки · скачать весь репозиторий одним zip-архивом.

33 KiB Raw Permalink Blame History Unescape Escape