todo/DPI/subnet-whitelist-blocking-2026.md

---
date: 2026-06-23
tags:
  - dpi
  - rkn
  - cloudflare
  - amazon
  - whitelist
  - zapret
  - blocking
link: https://t.me/nerdpapers/3220
aliases:
  - Блокировка подсетей по белому списку
  - Discord и Twitch — сопутствующие жертвы
  - Почему банят Cloudflare и Amazon, а не Discord
  - Белый список подсетей ТСПУ
  - Серые списки против белых списков
  - Ковровый блок облаков
description: "Почему ТСПУ блокируют подсети Cloudflare и Amazon по белому списку, а Discord и Twitch ломаются заодно: механизм, примеры и рабочие обходы."
---

> [!mirror] Резервное зеркало
> Актуальная версия этой страницы — на основной вики: [wiki2.zapret.moe/DPI/subnet-whitelist-blocking-2026](https://wiki2.zapret.moe/DPI/subnet-whitelist-blocking-2026)

# 🕸️ Блок подсетей Cloudflare и Amazon по белому списку: почему Discord и Twitch — сопутствующие жертвы

> [!info] О чём заметка
> Разбор механизма, при котором ТСПУ (Технические Средства Противодействия Угрозам — российские системы DPI) блокируют не конкретный сервис, а **целые подсети облачных провайдеров** (Cloudflare, Amazon/AWS и др.), пропуская наружу лишь то, что внесено в **белый список**. Из-за этого «умирают» популярные сервисы вроде Discord или Twitch — но **не потому, что их выбрали целью**, а потому что они физически размещены на задетых облаках и попали под раздачу. Конкретная хроника, как это проявилось 23 июня 2026, — в отдельной заметке [[tspu-whitelist-cloudflare-june-2026|Инцидент 23 июня 2026]]. Это **другой** «белый список», чем в [[Белые списки|белых списках на мобильных сетях]] — про различие см. раздел в конце.

> [!warning] Статус: реконструкция по наблюдениям сообщества
> Описанный механизм собран из публичных наблюдений и обсуждений (в т.ч. в Telegram-канале [«Канал для умных манулов» (@nerdpapers)](https://t.me/nerdpapers/3220)) и из поведения блокировок, а **не** из официальных данных или прямого доступа к конфигурации ТСПУ. Внутреннее устройство фильтров публично не подтверждено, оборудование настраивается неравномерно по операторам и регионам. Поэтому относитесь к тексту как к наиболее правдоподобному объяснению, а не как к доказанному факту; отдельные детали со временем меняются.

## TL;DR
- Цель блока — **облачные подсети** (Cloudflare, Amazon/AWS), а **не** сами Discord, Twitch, YouTube. Сервисы ломаются «по касательной», потому что хостятся на этих облаках.
- Сменилась модель фильтрации: с **«серых списков»** (резали только заведомо плохое или то, чего нет в известных подсетях) на **«белые списки»** — теперь рубится **всё, чего нет в списке разрешённого**. Для оборудования так проще и «надёжнее» с точки зрения цензора.
- Cloudflare задели, возможно, в попытке мешать VPN-сервисам на его инфраструктуре (например, WARP) — но это **слабая гипотеза**; зачем так держатся за Amazon/CloudFront, непонятно, он даже не использовался в фейках.
- Обход смещается в сторону **«вернуть домен под дурение / подменить IP на незаблокированный / уйти в VPN»**, а не «подобрать хитрый сплит»: против блока целой подсети чистый DPI-десинк помогает не всегда.
- Конкретное рабочее решение для видео Twitch (см. ниже) — пример того, что «лечится» это часто простым возвращением домена сервиса в обрабатываемые списки.

## Главная мысль: цель — облако, а не сервис
Когда «падает Discord» или «не грузится Twitch», интуитивно кажется, что заблокировали именно их. По наблюдениям, картина обратная: блокируют **диапазоны IP облачных провайдеров**, на которых эти сервисы живут, — а сервис просто оказывается внутри задетого диапазона.

> [!example] На пальцах: перекрыли не магазин, а весь торговый центр
> Представьте, что нужный вам магазин закрылся. Вы думаете «закрыли магазин» — а на деле перекрыли **весь торговый центр**, в котором он арендует угол, потому что в этом ТЦ замечен кто-то «неблагонадёжный». Магазин ни при чём, но войти в него нельзя, пока он там. Так и Discord/Twitch: их «угол» — в облаке Cloudflare или Amazon, и когда перекрывают облако, перекрывается и они.

Из этого следует важное: **«поломка» Discord-видео или Twitch — не признак, что взялись именно за них.** По сообщениям профильных ресурсов, в бан шли **все подсети**, в том числе Cloudflare, Amazon и другие крупные; затронутая часть Discord (видео/медиа) попала под раздачу именно потому, что хостится на задетом облаке.

## От «серых списков» к «белым»: что изменилось
Ключевое изменение — в **логике** фильтра, и его стоит понять отдельно.

- **Раньше — «серый список».** Блокировалось выборочно: либо заведомо запрещённые ресурсы, либо то, что не относилось к известным «нормальным» подсетям. Всё остальное по умолчанию **пропускалось**.
- **Теперь — «белый список».** На «подозрительных» облачных диапазонах по умолчанию рубится **всё**, и наружу пропускается только то, что **явно разрешено** (внесено в белый список), — конкретные сайты или их «фейки» (поддельные SNI, которыми притворяется обходной трафик).

> [!important] Почему цензору это выгодно
> Модель «блокируй всё, кроме разрешённого» **проще для оборудования** и **надёжнее закрывает** нежелательное: не нужно вести и постоянно обновлять огромный чёрный список — достаточно держать сравнительно короткий белый. Поэтому переход к белым спискам выглядит логичным шагом, а не случайностью. Обратная сторона — массовый сопутствующий ущерб: любой ресурс на том же облаке, не попавший в белый список, перестаёт открываться.

Этот же механизм объясняет, почему во время сбоев на 23 июня 2026 одни ресурсы внезапно открывались, а другие отваливались: перетряхивали именно **списки исключений/разрешений** для облачных подсетей. Подробная хроника — в [[tspu-whitelist-cloudflare-june-2026|инциденте 23 июня 2026]].

## Почему именно Cloudflare и Amazon (и при чём тут WARP)
- **Cloudflare** — на его инфраструктуре работает множество обходных и VPN-сервисов, в том числе **WARP** (VPN от Cloudflare). Одна из версий: подсети Cloudflare давят, **пытаясь мешать WARP и подобным туннелям**. Сами авторы наблюдений считают это **маловероятным основным мотивом** — слишком велик сопутствующий ущерб, — но как один из факторов не исключают.
- **Amazon / CloudFront** — здесь мотив ещё менее понятен: по наблюдениям, эти подсети «нигде толком не использовались» в обходных фейках, и зачем за них так держатся — неясно. Тем не менее под блок они тоже попали, и вместе с ними — сервисы на AWS/CloudFront (например, видеоинфраструктура Twitch).

> [!note] Почему результат «плавающий»: замедление по IP и роль DNS
> У части ресурсов **одни IP заблокированы/замедлены, другие — работают**, и какой достанется, зависит от DNS-резолвера (подробно — в [[tspu-whitelist-cloudflare-june-2026#Почему «половина адресов работает, половина — нет» и при чём тут DNS|разделе про DNS в инциденте]]). Практический вывод тот же: иногда достаточно **перенаправить домен на другой, незамедленный IP** того же провайдера — и ресурс начинает работать, хотя домен и стратегия не менялись.

## Тонкость: белый список привязан к провайдеру и устаревает
Белый список — это не просто «домен разрешён», а связка **домен + конкретные IP/подсеть провайдера**. Если сервис переезжает с одного облака на другое, старая запись указывает на **прежнего** провайдера и перестаёт совпадать с реальностью: домен оказывается «разрешён там, где его уже нет, и заблокирован там, где он теперь живёт».

> [!example] DeepSeek: разрешён для старого Cloudflare, заблокирован для актуального Amazon
> По наблюдениям, `chat.deepseek.com` ведёт себя ровно так. Если вручную привязать его к **старым** IP Cloudflare, на которых он сидел раньше, — **RST не прилетает, разрыва нет**, но сайт всё равно не отдаётся: приходит ошибка Cloudflare (сервиса там уже нет). А на **актуальном** Amazon, где DeepSeek живёт сейчас, он заблокирован. Вывод наблюдателей: РКН **разрешил** `chat.deepseek.com`, но по устаревшей информации — **только для Cloudflare**, а для нового Amazon разрешение не выписали. Это «кривая привязка»: белый список не поспел за переездом сервиса между облаками.

Тот же корень и у эффекта «ручные исключения пропали»: всё, что операторы заносили в разрешённое вручную, при перетряске списков слетело или перестало совпадать с актуальными адресами провайдеров.

## Как это бьёт по конкретным сервисам
- **Discord** — отвалились текстовые чаты и картинки (медиа-инфраструктура на задетых облаках). Что чинить и в каком порядке — в [[tspu-whitelist-cloudflare-june-2026#💬 Discord: отвалились чаты и картинки|разделе про Discord]].
- **Twitch** — `CONNECTION_RESET` на видео; пострадал HLS-домен раздачи видео `cloudfront.hls.ttvnw.net` (CloudFront/AWS). Характерная деталь: проверочные сайты вроде `twitch-check.rte.net.ru` могут показывать «всё работает», потому что проверяют основной домен, а сломана именно **отдельная видеоподсеть**. Решение и полная история — в [[twitch-block-2026|отдельной заметке про Twitch]] (и кратко ниже).
- **YouTube** — по сообщениям, тоже лихорадило в те же часы; механика та же (облачные подсети + троттлинг).
- **OpenStreetMap** — `openstreetmap.org` периодически резолвится на `151.101.1.55` (Fastly), который в блоке; отсюда «то работает, то нет». Тянется ещё с марта — начала апреля 2026.
- **7TV** (эмоуты для Twitch: `7tv.app`, `7tv.io`, `api.7tv.app`; хостинг Hetzner) — заблокированы **3 из 4 IP**: `95.217.169.88` и `95.217.169.233` полностью, а на `65.109.41.220` не проходит ClientHello (рабочий «белый» SNI подобрать не удалось). У части пользователей `7tv.app` при этом **работает по QUIC** — проверьте, покрывает ли ваша стратегия QUIC. Похоже на триггерный «16к-блок» (срабатывает на соединение). Рецепт обхода — ниже.

## Что с этим делать (обход)
Поскольку режется подсеть/адрес, а не имя сайта, упор смещается с «подобрать сплит» на три приёма:

1. **Вернуть домен сервиса под обработку (в «общий» список), убрав его из исключений.** Если домен раньше был в списке-исключении (его не трогали, считая «и так разрешённым»), а теперь разрешение слетело — его нужно вернуть в обрабатываемые, чтобы Zapret снова применял к нему [[desync|дурение]] (фейк с «хорошим» SNI и т.п.).
2. **Подменить IP на незаблокированный/незамедленный** адрес того же провайдера через [[Что такое файл hosts|hosts]] — работает, если у ресурса много адресов и не вся подсеть закрыта.
3. **Уйти в VPN/прокси** — самый надёжный путь, когда режут именно IP/подсеть и манёвра с адресами нет.

Подробные пошаговые рецепты под каждый случай — в [[tspu-whitelist-cloudflare-june-2026#Как это чинить|разделе «Как это чинить»]] инцидентной заметки.

> [!tip] Рабочий рецепт для 7TV (по сообщениям)
> Совмещение приёмов 2 и 1 — подмена IP на чистый адрес Hetzner плюс «белый» SNI. В [[Что такое файл hosts|hosts]] прописать `95.217.175.63 7tv.app`, плюс стратегия Zapret 1:
> ```
> --dpi-desync=fake --dpi-desync-fake-tls-mod=sni=gitlab.archlinux.org --dpi-desync-fooling=ts
> ```
> Здесь `sni=gitlab.archlinux.org` — «хороший» разрешённый SNI, которым притворяется ClientHello, а `fooling=ts` — подделка timestamp в пакете-обманке. Помогает не у всех (зависит от того, какой IP/SNI у вас «чистый»), но показывает логику: дать незаблокированный адрес и притвориться разрешённым именем.

> [!tip] Рабочее решение для видео Twitch (по сообщениям)
> Для сборок на основе хостлистов (Flowseal `zapret-discord-youtube`): **удалить `ttvnw.net` из `list-exclude`** и **добавить `cloudfront.hls.ttvnw.net` в `list-general` (или `list-general-user`)**. Смысл — вернуть видеодомен Twitch из «исключённых» в «обрабатываемые», чтобы к нему снова применялась стратегия. Помогает **не на всех стратегиях** (у автора решения заработало на `ALT11`). Полный разбор всех решений (история с апреля 2026, противоречивые рецепты, подбор стратегии) — в отдельной заметке [[twitch-block-2026|Блокировка Twitch в России (2026)]]. Источник: issue https://github.com/Flowseal/zapret-discord-youtube/issues/15298 и [Канал для умных манулов](https://t.me/nerdpapers/3220).
>
> То, что сервис «лечится простым добавлением домена», и подтверждает главный тезис: его не блокировали адресно — он просто выпал из белого списка вместе с облаком.

> [!quote] Наблюдение: бьёт по «своим»
> Закономерность, которую отмечают: чтобы просто пользоваться нейтральными сервисами, обычным людям теперь приходится **обходить блокировки**, — тогда как те, против кого ограничения в теории направлены, обходят их без труда, а часть из них перемен даже не замечает.

## Не путать с другими «белыми списками»
Слово «белый список» в теме блокировок встречается в **трёх разных** смыслах — их легко перепутать:

1. **Белый список подсетей облаков (эта заметка).** ТСПУ режут диапазоны Cloudflare/Amazon и пропускают только разрешённое; сервисы-жертвы — по касательной.
2. **Белые списки на мобильных сетях** — когда оператор при ограничении мобильного интернета (например, в период веерных шатдаунов) оставляет доступными лишь отдельные «социально значимые» сервисы. Это про мобильный доступ и другой контекст — см. [[Белые списки]] и [[В сети связи «Билайна» заработали «белые списки» (whitelist-unlock) сервисов при ограничении мобильного интернета|whitelist-unlock у Билайна]].
3. **Конкретный инцидент 23 июня 2026** — разовая волна сбоев, когда списки исключений для облаков «слетели» и их откатывали: [[tspu-whitelist-cloudflare-june-2026|Инцидент 23 июня 2026]].

## 📚 См. также

- [[DPI/rkn-tan-ne-strashnaya-oktyabr-2026|РКН-тян не такая страшная, как кажется]] — почему блок подсетей грубее, а не умнее точечной блокировки (октябрь 2026)
- [[DPI/rdp-ecodpi|EcoDPI и компания РДП.РУ — «железо» ТСПУ]] — какое именно оборудование реализует whitelist-режим, и что об этом сказано в официальном руководстве производителя
- [[DPI/olcrtc|OlcRTC — туннель через WebRTC-звонки]] — как обходят белый список: трафик проводят через разрешённый сервис видеоконференций
- [[tspu-whitelist-cloudflare-june-2026|Инцидент 23 июня 2026]] — хроника конкретной волны сбоев и пошаговая починка по сервисам
- [[twitch-block-2026|Блокировка Twitch в России (2026)]] — подробный разбор: почему не грузится плеер и как починить
- [[zapret_not_working|Что делать, если Запрет не работает]] — как отличить IP-блок от DPI-блока и общая диагностика
- [[symptom-not-cause|Почему «не работает» — это симптом, а не причина]] — почему смена логики DPI ≠ поломка программы
- [[desync|Техники дурения]] — стратегии `--lua-desync` (fake, split, disorder), которыми возвращают доступ
- [[Что такое файл hosts|Что такое файл hosts]] — подмена IP на незаблокированный адрес того же провайдера
- [[Белые списки]] — другой смысл «белых списков»: разблокировка сервисов на мобильных сетях
- [[DPI/mincifry-whitelist-vpn-hosting-august-2026|Белый список ЦМУ ССОП и хостеры (август 2026)]] — третий смысл: перечень корпоративных IP, освобождённых от фильтрации иностранных протоколов шифрования
- [[economic-filter-foreign-channels-2026|Экономический фильтр на зарубежный трафик (2026)]] — другой рычаг: давят не сайт, а сам канал и его цену
- 🔗 [Канал для умных манулов (@nerdpapers)](https://t.me/nerdpapers/3220) — наблюдения, на которых основана заметка

---

> [!quote] 🤖 Эти статьи открыты — можно обучать на них ИИ
> При желании вы можете натренировать ИИ на наших статьях. Исходное форматирование и скачивание всего репозитория одним zip-архивом доступны в Forgejo: [исходник этой заметки](https://git2.zapret.moe/zapretdiscordyoutube/todo/src/branch/main/Zapret/subnet-whitelist-blocking-2026.md) · [весь репозиторий](https://git2.zapret.moe/zapretdiscordyoutube/todo/src/branch/main).