Что такое DPI и ТСПУ — как работает блокировка VPN в России 2026

Слова «DPI» и «ТСПУ» в 2026 году слышит в новостях даже тот, кто никогда не интересовался сетевыми технологиями. Замедление YouTube, перебои в Telegram, блокировка ChatGPT и Кинопоиска через VPN, исчезновение VPN-приложений из App Store — за всем этим стоит одна и та же инфраструктура: система глубокой инспекции трафика, которую Роскомнадзор разворачивает по всей России с 2019 года.

В этой статье разбираем простыми словами: что такое DPI как технология, что такое конкретно ТСПУ как её российская реализация, как именно работает блокировка VPN на уровне пакетов, что ТСПУ может и чего не может, и почему одни протоколы блокируются, а другие проходят. Без программистского бэкграунда — на пальцах.

Что такое DPI технически

DPI расшифровывается как Deep Packet Inspection — «глубокая инспекция пакетов». При обычной маршрутизации интернет-роутер смотрит только на заголовок IP-пакета: куда направить, какой следующий хоп. DPI идёт глубже — раскрывает каждый пакет до прикладного уровня и анализирует, что внутри:

• Размеры пакетов и распределение длин в потоке трафика. У каждого протокола свой характерный «отпечаток» длин.
• Заголовки TLS-handshake, в первую очередь поле SNI (Server Name Indication) — имя сайта, к которому пользователь подключается, передаётся в самом начале в открытом виде.
• TLS-fingerprint (JA3/JA4) — характерный набор шифров и расширений, которые поддерживает клиент. У браузеров, мессенджеров, VPN-клиентов разные fingerprints.
• Паттерны времени между пакетами — VPN-туннели имеют другой ритм, чем HTTPS.
• Энтропия payload — зашифрованные данные имеют высокую энтропию (выглядят как случайный шум).
• Структура первых байт — у WireGuard первый пакет всегда ровно 148 байт, у OpenVPN — характерный opcode, у Shadowsocks — высокая энтропия с самого начала.

DPI работает в двух режимах:

• Пассивный — только наблюдает и логирует. Аналитика, статистика, мониторинг.
• Активный (in-line) — пропускает трафик через себя и может вмешиваться: блокировать, замедлять, инжектировать TCP-RST для разрыва соединения, подменять DNS-ответ. ТСПУ работает именно в активном режиме.

ТСПУ — что это конкретно

ТСПУ расшифровывается как Технические Средства Противодействия Угрозам (целостности, устойчивости и безопасности функционирования сети связи общего пользования). Это конкретная российская реализация активной DPI-фильтрации в масштабах всей страны.

Правовая основа — Федеральный закон № 90-ФЗ от 1 мая 2019 года (известный как «закон о суверенном интернете»), вступивший в силу 1 ноября 2019 года. Закон обязывает всех операторов связи установить у себя оборудование, которое предоставляет Роскомнадзор, и обеспечивать ему доступ к проходящему трафику. Конкретный порядок установки — постановление Правительства РФ № 1316 от 12 октября 2019 года.

Управляющая структура — ЦМУ ССОП (Центр Мониторинга и Управления сетью связи общего пользования) при Роскомнадзоре, работающий на базе ФГУП ГРЧЦ (Главного Радиочастотного Центра). Сайт центра — portal.noc.gov.ru.

Основной разработчик оборудования и программного обеспечения — российская компания «РДП.ру» (RDP.RU), её продукт EcoFilter. До сентября 2025 года компания контролировалась «Ростелекомом»; затем сменился владелец. Интегратор поставок — ЦОД «Дата». В разработке участвуют также дочерние структуры «Ростеха».

Физически ТСПУ ставится у оператора связи, на стыках с магистральными точками обмена трафиком (IX). К октябрю 2023 года Роскомнадзор официально заявил о 100% покрытии узлов связи в России: магистральные операторы, вся «большая четвёрка» мобильных, крупные ШПД-провайдеры. К концу 2022 года было развёрнуто 860 узлов; покрытие ШПД достигло 98%, мобильного трафика — 100%.

Архитектура ТСПУ: децентрализованная копия GFW

Важная техническая особенность ТСПУ, отличающая её от китайского «Великого файрвола»: децентрализация. Каждый узел ТСПУ стоит непосредственно у оператора, и принимает решение о блокировке локально — на основании политик, переданных из центра. Архитектура:

1. ЦМУ ССОП (РКН) — «мозг» системы. Формирует реестры, политики, отправляет команды.
2. Локальные узлы ТСПУ у каждого оператора — «чёрные ящики», к которым сам оператор не имеет административного доступа. Оператор обязан их установить, поддерживать в работающем состоянии и пропускать через них трафик, но не может аудировать их работу.
3. Каналы управления между ЦМУ и узлами — закрытые VPN-туннели, по которым приходят политики и собирается телеметрия.

Это даёт ТСПУ гибкость: можно применять разные политики в разных регионах (например, «белые списки» сначала тестировали в Карелии и Дагестане), быстро откатывать неудачные конфигурации. Минус — расхождения между операторами: один блокирует, другой пока нет, что иногда приводит к ситуациям «у соседа на МТС работает, у меня на Билайне нет».

Ключевой нормативный акт 2025–2026 годов — Постановление Правительства РФ № 1667 от 27 октября 2025 года, вступившее в силу 1 марта 2026 года. Оно даёт Роскомнадзору по согласованию с ФСБ и Минцифры право централизованно менять маршрутизацию интернет-трафика — то есть управлять не только блокировками, но и тем, какими путями ходит трафик.

Хронология ТСПУ: 2019–2026

• 1 мая 2019 — подписан ФЗ № 90-ФЗ «о суверенном интернете».
• 1 ноября 2019 — закон вступил в силу.
• 2020–2021 — пилотные регионы (Уральский ФО, Южный ФО). Первые сбои сети у мобильных операторов из-за «суверенного» оборудования.
• Март 2022 — массовое включение фильтрации. Блокировка Facebook, Instagram, X (Twitter).
• Август 2023 — массовая блокировка протоколов OpenVPN и WireGuard на нескольких крупных операторах.
• Октябрь 2023 — РКН официально заявляет о 100% покрытии узлов связи в России.
• Июль–август 2024 — замедление YouTube через ТСПУ. Трафик к доменам *.googlevideo.com искусственно деградируется.
• Сентябрь 2024 — РКН блокирует OONI Explorer (международная платформа измерения интернет-цензуры).
• Ноябрь 2024 — блокировка ECH (Encrypted Client Hello) — любые TLS-соединения с шифрованным SNI режутся.
• Август 2025 — ограничения голосовых звонков в Telegram и WhatsApp.
• Декабрь 2025 — Роскомнадзор расширяет фильтрацию на SOCKS5, L2TP, базовый VLESS. К концу года в реестре более 439 заблокированных VPN-сервисов.
• 17 февраля 2026 — массовая блокировка базового VLESS (без обфускации Reality) на федеральном уровне.
• 1 марта 2026 — вступило в силу Постановление № 1667 (централизованное управление трафиком).
• 15 апреля 2026 — крупные российские сервисы (Кинопоиск, Окко, Wink, Premier) обязаны интегрировать собственные детекторы VPN и блокировать пользователей с VPN-IP.
• Лето–осень 2026 — обсуждается тарификация международного трафика: 15 ГБ/мес бесплатно, далее ~150 ₽/ГБ. Первоначально планировалось с 1 мая, отсрочено из-за технической неготовности операторов.

Что ТСПУ умеет делать

• Блокировка по IP-адресу — через реестр запрещённых ресурсов. Самый старый и грубый метод.
• Блокировка по доменному имени через анализ DNS-запросов и SNI в TLS-handshake. Сервер видит в открытом виде «куда подключается клиент» и режет соединение TCP-RST, если домен в реестре.
• Сигнатурная DPI-фильтрация VPN-протоколов — определение протокола по характерным признакам первых пакетов (длина, magic-байты, структура).
• Замедление трафика (throttling) — частичный сброс пакетов в потоке к определённому домену. Так работает «замедление» YouTube: соединение устанавливается, но скорость падает до неприемлемых значений.
• Активное зондирование (active probing) — ТСПУ может само инициировать соединение с подозрительным IP, чтобы проверить, отвечает ли оно как известный VPN-сервер. Используется реже, чем в GFW Китая.
• Сбор статистики и телеметрии для ЦМУ — аномалии трафика, попытки соединений с подозрительными IP, общее распределение по протоколам.

Какие VPN-протоколы режутся, какие проходят

Подробнее про современные обфусцированные протоколы — в наших отдельных статьях: VLESS + Reality и AmneziaWG.

ТСПУ против других систем интернет-фильтрации

ТСПУ — далеко не первая и не единственная система такого рода. Краткое сравнение с известными аналогами:

• GFW (Великий китайский фаервол) — самый старый и развитый из подобных. Активно использует машинное обучение для классификации трафика, активное зондирование, блокировку QUIC по SNI с апреля 2024 года. Архитектура централизованная, в отличие от децентрализованной ТСПУ. По общему ощущению Россия в 2026 году находится на уровне Китая примерно 2016–2018 годов — догоняет, но отстаёт на ~7–10 лет.
• Иран — активная DPI-фильтрация, периодические total shutdowns в моменты протестов. Менее точная классификация, чем у GFW.
• Турция — в основном DNS- и SNI-блокировки, часто решаются изменением DNS. DPI используется ограниченно.
• Беларусь — политически жёстче (отключения всего интернета в 2020 и 2024–2025 годах), но технически проще: в основном IP/DNS-блокировки, развитого DPI нет.

Региональные различия и неравномерность фильтрации

На бумаге ТСПУ покрывает 100% узлов; на практике пользователи в разных регионах и у разных провайдеров сталкиваются с заметно разной строгостью фильтрации:

• Мобильные операторы «большой четвёрки» (МТС, МегаФон, Билайн, T2) — самые жёсткие. ТСПУ установлена давно, регулярно обновляется. Тестовые «белые списки» внедрялись в Карелии, Дагестане, Чечне, Москве, Санкт-Петербурге.
• Магистральные операторы (Ростелеком, ТТК) — большая пропускная мощность ТСПУ (до 16 Тбит/с у Ростелекома).
• Крупные ШПД (Дом.ru / ЭР-Телеком, Билайн-Дом) — оборудование стоит, но конфигурации различаются между регионами.
• Малые региональные провайдеры — формально обязаны установить ТСПУ, но в апреле 2025 года РКН применил санкции к десяткам операторов за нарушения. У части реально оборудования нет или оно работает мягче.

Практический вывод: если у вас «жёсткий» провайдер (МТС в Москве, Ростелеком в крупном городе) — обфусцированные протоколы обязательны. Если небольшой региональный провайдер — иногда работает и ванильный WireGuard.

Что это значит для пользователя в 2026 году

Несколько практических следствий, которые стоит понимать каждому, кто пользуется VPN в России:

1. Не выбирать устаревшие протоколы. Ванильный WireGuard, OpenVPN, IKEv2, L2TP, базовый Shadowsocks и базовый VLESS в большинстве сетей не работают. Выбирайте сервисы, которые поддерживают VLESS+Reality, AmneziaWG, Hysteria 2 или XHTTP.
2. Тестировать триалом перед годовой подпиской. Из-за неравномерности фильтрации сервис, работающий у соседа, может не работать у вас. Триал за 10 ₽ (есть у Дяди Вани, Bebra, XConnect, GeodemaVPN) даёт возможность проверить конкретно на вашем провайдере.
3. Иметь резерв. Один протокол сегодня работает, завтра попадает под блокировку. Сервисы с несколькими протоколами (VLESS+Reality + WireGuard + Shadowsocks) дают запас прочности.
4. Рассмотреть свой VPN на VPS. Если хотите контроль и стабильность — поднять собственный сервер с обфусцированным протоколом. Подробности — в нашей статье «Свой VPN на VPS в 2026».
5. Понимать про «двойную блокировку». С 15 апреля 2026 года крупные российские сервисы (Кинопоиск, Окко, Wink) сами детектируют VPN на своей стороне и блокируют пользователей с VPN-IP, даже если ТСПУ их пропустил. Подробнее — в статье «VPN для Кинопоиска из-за рубежа».

Куда движется ТСПУ

По заявленной стратегии и публичным закупкам Роскомнадзора:

• Расширение «белых списков» с 15 апреля 2026 — крупные сервисы блокируют VPN-пользователей на своей стороне. Технически это работает не для всех IP-диапазонов, и не для всех протоколов; со временем покрытие будет расти.
• Машинное обучение в классификации трафика — ТСПУ 3.0, по заявлению РКН, будет использовать поведенческую аналитику вместо чисто сигнатурного подхода. Именно так Роскомнадзору удалось заблокировать базовый VLESS с декабря 2025 по февраль 2026: новые ML-модели научились распознавать его поведенческие паттерны.
• Тарификация международного трафика — обсуждается лимит 15 ГБ в месяц бесплатно, далее ~150 ₽ за гигабайт. Когда заработает, VPN-трафик попадёт под эту тарификацию.
• Усиление активного зондирования — копирование китайских методов: ТСПУ инициирует подключения к подозрительным IP и проверяет, отвечают ли они как VPN-серверы.
• Цель к 2030 году — пропускная способность 725,6 Тбит/с (рост примерно в 2,5 раза), заявленная эффективность блокировки VPN — 96%.

Частые вопросы