Хостинг-провайдер как цензор: блокировки VPN переносят на арендодателя

Что произошло 4 августа

Больше двадцати популярных VPN-сервисов одновременно перестали работать у российских пользователей. Среди пострадавших называли Amnezia, Paper VPN, VPN Legend, GaMMa VPN и другие. Блокировали не протоколы и не приложения: в чёрные списки попали IP-адреса и целые подсети крупных хостинг-провайдеров, на которых стояли серверы сразу многих сервисов. Леонид Волков назвал это крупнейшей атакой на средства обхода блокировок за всю историю. Роскомнадзор произошедшее не комментировал.

Что предлагает Минцифры

Параллельно обсуждается схема, которая меняет саму механику ограничений. У Центра мониторинга и управления сетью связи общего пользования (ЦМУ ССОП) есть список исключений — адреса, которые не блокируются: корпоративные VPN, технологические каналы компаний. Вместо статичного списка предлагается непрерывный мониторинг.

• Если в течение недели на «белом» адресе обнаружится VPN-инфраструктура, хостинг-провайдер получает запрос — и 24 часа на ответ.
• Не подтвердил технологическое назначение серверов — адрес исключают из списка, то есть он перестаёт быть защищённым от блокировки.
• Число способов подтверждения личности клиента сокращается с десяти до трёх: ЕСИА, биометрия, паспорт.
• Клиенту с полной идентификацией сначала предложат устранить нарушение. Клиента, опознанного только по номеру телефона или банковской карте, могут отключить за 30 минут.

По состоянию на июль 2026 года в реестре хостинг-провайдеров Роскомнадзора состояло 584 компании; сам реестр ведётся с февраля 2024 года. Участники рынка предупреждают о ложных срабатываниях: IPv4-адреса регулярно переходят от одного владельца к другому, и «грязная» история адреса достаётся новому арендатору вместе с адресом.

Почему это важнее, чем очередная блокировка протокола

Раньше борьба шла на уровне трафика: система фильтрации пыталась распознать VPN по «форме» пакетов, а сервисы отвечали обфускацией. Это гонка, в которой у обороняющейся стороны есть шансы. Новая схема переносит точку принуждения с провода на арендодателя — с трафика на договор аренды.

Разница фундаментальная. Глубокая инспекция трафика дорогая, часто ошибается и постоянно проигрывает новым способам маскировки. Хостинг-провайдер — дешёвый рычаг: конкретное юридическое лицо в реестре, которому есть что терять. Когда хостер обязан под угрозой санкций поручиться за то, что работает на каждом его IP-адресе, качество маскировки трафика перестаёт что-либо решать. Вас не распознают — вас выселяют. Против выселения не помогают ни шифрование заголовков, ни имитация обычного HTTPS.

Наблюдение из практики: решение принимается по адресу

15 августа мы столкнулись с этим напрямую. Один из наших узлов полностью перестал пропускать трафик — со стороны это выглядело как блокировка протокола на уровне хостера. Мы сменили на том же самом сервере только IP-адрес: то же железо, тот же провайдер, тот же протокол, та же конфигурация. Узел заработал сразу.

Вывод простой и практический: ограничение было привязано к конкретному адресу, а не к сети провайдера и не к типу трафика. Это ровно та картина, которую предполагает новая схема: субъектом блокировки становится адрес и тот, кто за него отвечает.

Что в такой логике действительно помогает

• Разнесение по разным хостерам и автономным системам, а не по странам. Три сервера у одного провайдера в трёх странах гибнут от одной записи в списке. География — это не разнообразие.
• Возможность быстро сменить адрес. Если узел переадресуется за минуты, а не переезжает неделю, выселение перестаёт быть катастрофой.
• Автоматическое переключение на стороне приложения. Пользователь не должен узнавать о блокировке по бесконечному «Подключение…» — клиент обязан сам увести его на рабочий узел.
• Обфускация протокола по-прежнему нужна — но как защита от другой атаки, распознавания трафика. Это два разных уровня, и работать должны оба.

Как с этим у HamikVPN

Мы держим собственные серверы на разных площадках и у разных провайдеров — это не перепродажа доступа к одному хостингу. Трафик идёт по AmneziaWG с обфускацией. Приложение получает упорядоченный список узлов и при отказе основного само переключает пользователя на следующий рабочий.

Честная оговорка: гарантии «нас не заблокируют никогда» не существует ни у кого, и тот, кто её даёт, вводит вас в заблуждение. Но когда точка давления смещается к арендодателю, выигрывает не тот, у кого хитрее протокол, а тот, у кого адреса разнесены и кто умеет переезжать быстро. Мы строим сервис именно так — и случай 15 августа показал, что это работает.