DPI Tunnel

😐 Конец интернета — или прекращение работы DNS в России 🎣 С конца августа у части абонентов сломался не сайт, а DNS. Открываете YouTube — «Не удаётся открыть эту страницу», внизу мелким шрифтом DNS_PROBE_FINISHED_NXDOMAIN. Вот и приехали. Домен, разумеется, существует. Просто ваш запрос к 8.8.8.8 или 1.1.1.1 до Google и Cloudflare не доехал: на ТСПУ его перехватывают и отправляют на резолвер НСДИ — государственную систему доменных имён. Отвечает уже она. На заблокированные сайты — «не знаю такого, мамой клянусь», на все остальные — настоящие адреса, поэтому со стороны выглядит, будто интернет цел, а YouTube просто исчез. 🔍 Доказать подмену можно тремя способами, и все три воспроизводятся руками. В ответе стоит флаг aa — «я хозяин этой зоны», которого у Google для чужих доменов не бывает. Если отправить запрос с маленьким TTL, в ICMP-ошибке видно настоящего получателя пакета: 195.208.5.1, он же b.res-nsdi.ru. А служебный домен whoami.akamai.net честно показывает, чья сеть на самом деле ходила за ответом — вместо Google там оказывается MSK-IX. 🙃 Работает всё это криво. Перехват срабатывает через раз: обновили страницу — и она вдруг открылась. Пять одинаковых запросов подряд дают ошибку только на первый. По TCP запросы проходят нетронутыми. У одного оператора заворачивают даже трафик к самим серверам НСДИ. 🇷🇺 Карта пёстрая: в ЦФО у людей ничего не изменилось, на Северо-Западе подмена есть, у Йоты в Сибири чисто, в Москве у одного провайдера подменяют только IPv6-запросы. Отсутствие проблемы у вас ничего не говорит о соседе на другом операторе — и наоборот. 🧿 Параллельно бьют по шифрованному DNS (DoH): рвут TLS-соединения к dns.google, cloudflare-dns.com, dns.adguard.com и другим — по имени сервера в SNI. Вот это как раз лечится запреткой через хостлист. А подмену открытого DNS запретка не чинит: там ломается не соединение, а маршрут пакета. ❓ И отдельно про DNSSEC, о котором сейчас много пишут. Он ловит подделку только на подписанных зонах — а youtube.com, rutra