О чём этот разбор
Редакция VRS VPN · техническая справка · проверено 18 октября 2026
Под запросом «как РКН блокирует VPN» обычно объединяют разные ограничения, которые пользователь наблюдает в сети оператора. Ниже — схема механизмов, а не утверждение о конкретном оборудовании у каждого провайдера. Мы не проводили измерения всех российских сетей на дату публикации.
OONI в обзоре от 5 мая 2026 года подчёркивает: недоступность может быть вызвана и цензурой, и обычной неисправностью сервера, DNS или сети. Поэтому нужны сравнения между сетями и контрольные измерения. Источник: OONI.
Путь соединения: где может возникнуть ограничение
Имя сайта → DNS → IP-адрес → соединение → TLS → передача данных
Это упрощённая схема для обычного HTTPS-сайта. Клиент может использовать кеш DNS, а HTTP/3 работает поверх QUIC вместо TCP. Для диагностики важно не название кнопки в приложении, а этап, на котором прекращается обмен.
DNS: когда имя не приводит к нужному адресу
DNS помогает получить адрес по имени сайта. Если ответ подменён, не получен или содержит заглушку, приложение может не дойти до настоящего сервера. Но ошибка DNS бывает и результатом неверных настроек, истёкшей регистрации домена или сбоя резолвера. Как устроен DNS — Cloudflare.
Смена DNS решает только часть проблем этого уровня. Она не делает доступным IP-адрес, если доступ к нему отдельно ограничен, и не устраняет фильтрацию другого этапа соединения.
IP-адрес: когда сервер недоступен целиком
Ограничение может применяться к сетевому адресу или диапазону. Тогда правильное разрешение домена не поможет: пакеты до сервера всё равно не проходят. Если адрес разделяют несколько сайтов, последствия могут затронуть разные домены.
OONI документировала DNS- и TLS-ограничения доступа к своему Explorer в российских сетях в августе–сентябре 2024 года. Это пример измеренного случая, а не доказательство нынешней причины любого сбоя. Отчёт OONI с периодом измерений.
DPI и SNI: HTTPS не скрывает все признаки соединения
DPI — анализ признаков сетевого обмена. В обычном TLS-соединении без ECH начальное сообщение ClientHello может раскрывать имя сервера через расширение SNI и параметры рукопожатия. Само содержимое HTTPS при этом не становится открытым. Стандарт TLS 1.3, RFC 8446.
Классификация трафика не обязательно означает расшифровку: для решения о пропуске могут использоваться адрес, параметры начала соединения и другие наблюдаемые признаки. Какая комбинация реально используется в конкретной сети, устанавливается измерениями, а не по одной ошибке клиента.
ECH предназначен для защиты ClientHello, но требует поддержки участников соединения. Нельзя считать его включённым в любом браузере, на любом домене или у любого VPN. Описание механизма ECH в документе IETF.
Замедление: соединение есть, страница не загружается
Ограничение может снижать полезную передачу данных, не разрывая соединение немедленно. Cloudflare в публикации от июня 2025 года описала наблюдения в российских сетях: обрывы, потери пакетов и ограничение передачи примерно первыми 16 КБ для затронутых ресурсов.
Это конкретное наблюдение компании о своей инфраструктуре и определённом периоде. Переносить число «16 КБ» на все сайты, всех операторов и любую текущую проблему нельзя. Первичный отчёт Cloudflare.
Белый список отличается от запрета отдельных сайтов
При запретительном подходе ограничивают выбранные назначения. При разрешительном подходе доступ сохраняют только к определённому набору направлений. Для VPN важен первый участок — достижим ли сам сервер, через который пойдёт дальнейший обмен.
Если сеть не даёт установить связь с VPN-сервером, шифрование внутри будущего соединения ещё не успевает помочь. Название известного сайта в поле SNI само по себе не предоставляет доступ к произвольному IP-адресу.
Практическая проверка описана отдельно: VPN при белых списках и проверка мобильного интернета.
Как проверить проблему без поспешных выводов
- Убедитесь, что подписка активна, а ссылка и клиент актуальны.
- Сравните тот же сервер в Wi-Fi и мобильной сети.
- Проверьте другую локацию и несколько сайтов.
- Запишите время, оператора, приложение и точную ошибку.
- Передайте результаты поддержке, скрыв личную ссылку подписки.
Разница между сетями — полезный диагностический признак, но ещё не доказательство конкретного метода блокировки. Не отключайте защиту устройства целиком и не меняйте параметры сервера наугад.
Дальше: как VPN, VLESS и REALITY меняют путь соединения и что проверить при ошибке Happ.
Вопросы и ответы
Можно ли по тайм-ауту определить блокировку РКН?
Нет. Тайм-аут бывает при фильтрации, недоступности сервера, проблемах маршрута и других неисправностях. Нужны сравнения и дополнительные данные.
DPI видит содержимое любого HTTPS?
Нет. Анализ метаданных и признаков соединения не равен расшифровке HTTPS. У обычного TLS часть начальных параметров может быть видна, а содержимое защищено шифрованием.