API tools faq
paste
Guest User

DPI оператора Мегафон с опцией "Доступный интернет"

a guest
Jun 29th, 2026
88
0
Never
Add comment
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 22.04 KB | None | 0 0
raw download clone embed print report
  1. # 📊 Отчёт: DPI оператора Мегафон с опцией "Доступный интернет"
  2.  
  3. *Исследование проведено 29.06.26.*
  4.  
  5. ---
  6.  
  7. ## 🎯 Краткое резюме
  8.  
  9. DPI Мегафон на опции "Доступный интернет" использует **широкий whitelist с избирательной фильтрацией** и **агрессивной блокировкой публичных DNS и VPN-протоколов**. Whitelist включает десятки доменов (VK, банки, госуслуги), но технические поддомены (login.vk.ru, calls.okcdn.ru, VK Cloud S3) и **вся инфраструктура Cloudflare** блокируются. Все публичные DNS (UDP 53, DoH, DoT) полностью заблокированы на уровне IP. WireGuard и его обфусцированные варианты (AmneziaWG) распознаются по сигнатурам.
  10.  
  11. **Главное открытие:** DPI Мегафон использует многоуровневую защиту с DNS-level блокировкой (NXDOMAIN), полной блокировкой публичных DNS, распознаванием WireGuard-сигнатур и блокировкой всей инфраструктуры Cloudflare.
  12.  
  13. ---
  14.  
  15. ## ✅ Whitelist (подтверждённые факты)
  16.  
  17. Всего **множество доменов**:
  18.  
  19. | Категория | Домены |
  20. |-----------|--------|
  21. | **VK** | `vk.ru`, `vk.com`, `api.vk.com` |
  22. | **Мегафон** | `lk.megafon.ru`, `megafon.ru` |
  23. | **Госуслуги** | `gosuslugi.ru`, `freeinternet.gosuslugi.ru` |
  24. | **Банки (работают)** | `tbank.ru` (Тинькофф), `vtb.ru` (301 redirect), Альфа-Банк, ВТБ, ВБРР |
  25. | **Прочее** | `kremlin.ru` (нестабильно) |
  26.  
  27. **Дополнительно работают приложения:**
  28. - Альфа-Банк ✅
  29. - Тинькофф (полностью, включая СБП-переводы) ✅
  30. - Т-инвестиции ✅
  31. - ВТБ ✅
  32. - ВБРР ✅
  33.  
  34. ---
  35.  
  36. ## ❌ Blacklist (подтверждённые факты)
  37.  
  38. ### Сайты и сервисы:
  39. - **Яндекс**: `yandex.ru`, `ya.ru` и все сервисы Яндекса
  40. - **Cloudflare**: `api.cloudflareclient.com`, `connectivity.cloudflareclient.com`, все IP Cloudflare
  41. - Банки: `sberbank.ru` (403), `qiwi.com`, ЮMoney
  42. - Маркетплейсы: `ozon.ru`
  43. - Зарубежные: `google.com`, `youtube.com`, `facebook.com`, `twitter.com`, `instagram.com`
  44. - Все не-whitelisted домены
  45.  
  46. ### Технические домены (используемые для обхода):
  47. - `login.vk.ru` — VK авторизация (блокирует qWDTT)
  48. - `hb.ru-msk.vkcloud-storage.ru` — VK Cloud S3 (блокирует fedarisha)
  49. - `storage.yandexcloud.net` — Yandex Object Storage
  50. - `calls.okcdn.ru` — VK Calls (блокирует qWDTT)
  51. - `mail.ru` — Mail.ru
  52.  
  53. ### DNS-серверы (полная блокировка!):
  54. - Все публичные DNS через UDP 53 — Google (8.8.8.8), Cloudflare (1.1.1.1), Яндекс
  55. - Все публичные DNS через DoH (порт 443)
  56. - Все публичные DNS через DoT (порт 853)
  57.  
  58. ### VPN-протоколы (полная блокировка!):
  59. - **WireGuard** — блокируется по сигнатуре (148-байтные handshake-пакеты)
  60. - **Cloudflare WARP** — блокируется полностью (WireGuard + IP Cloudflare не в whitelist)
  61. - **AmneziaWG** — блокируется (DPI распознаёт WireGuard-подобные сигнатуры)
  62. - **AmneziaVPN (бесплатный)** — фактически использует WARP/Cloudflare, блокируется
  63.  
  64. ### Приложения (не работают):
  65. - Сбербанк ❌
  66. - QIWI ❌
  67. - А-инвестиции ❌
  68. - Халва-Совкомбанк ❌
  69. - ЮMoney ❌
  70. - Яндекс Пэй ❌
  71. - МТС Деньги ❌
  72. - Озон ❌
  73. - **Cloudflare WARP** ❌
  74. - **AmneziaVPN (бесплатный)** ❌
  75.  
  76. ---
  77.  
  78. ## 🔬 Механизмы блокировки (по уровням)
  79.  
  80. ### Уровень 1: Фильтрация по SNI (HTTPS)
  81. ```
  82. Клиент → TLS Client Hello (SNI=X)
  83. DPI → Анализ SNI
  84. DPI → Если X не в whitelist → TCP RST
  85. ```
  86. - Блокировка происходит **до HTTP-запроса**, на этапе handshake
  87. - Технические домены VK (login.vk.ru, calls.okcdn.ru) блокируются, хотя api.vk.com работает
  88.  
  89. ### Уровень 2: Фильтрация по IP-адресу
  90. DPI блокирует **все соединения** к IP-адресам, которые не входят в whitelist подсетей:
  91. - IP Cloudflare (`8.6.112.0`, `2606:4700:...`) — блокируются
  92. - IP зарубежных сервисов — блокируются
  93.  
  94. ### Уровень 3: Фильтрация по Host-заголовку (HTTP)
  95. Для нешифрованного HTTP DPI читает **Host-заголовок** и блокирует запросы к доменам вне whitelist.
  96.  
  97. ### Уровень 4: Полная блокировка публичных DNS
  98. - **UDP 53** к внешним DNS (8.8.8.8, 1.1.1.1) → timeout/блокировка на уровне IP
  99. - **DoH (порт 443)** → блокируется для всех публичных DNS
  100. - **DoT (порт 853)** → блокируется (errno=103 connection abort)
  101. - **Принудительное использование DNS Мегафон** (DNS hijacking)
  102.  
  103. ### Уровень 5: Сигнатурный анализ VPN-протоколов
  104. ```
  105. Клиент → WireGuard handshake (148 байт)
  106. DPI → Анализ сигнатуры
  107. DPI → WireGuard detected → DROP
  108. ```
  109. - **WireGuard** блокируется по сигнатуре
  110. - **AmneziaWG** (обфусцированный WireGuard) **тоже распознаётся**
  111. - **Cloudflare WARP** блокируется (WireGuard + IP Cloudflare)
  112.  
  113. ### Уровень 6: DNS-level блокировка (NXDOMAIN)
  114. **DNS Мегафон возвращает NXDOMAIN** для DNSTT-доменов:
  115. ```
  116. ** server can't find <dnstt-domain>: NXDOMAIN
  117. ```
  118. Это стандартная техника блокировки на уровне DNS — сервер "врёт", что домен не существует.
  119.  
  120. ---
  121.  
  122. ## 🧪 Эксперименты с обходом
  123.  
  124. ### 1. Nekobox с подписками для обхода белых списков
  125. - **Протестированные подписки**: Goyda-VPN, Zieng2, EtoNeYaProject, GoodbyeWL, Vless-Reality-White-Lists-Rus-Mobile, Generation Liberty, olc
  126. - **Результат**: ни одна подписка не сработала
  127. - **Причина**: DPI блокирует TLS handshake к не-whitelisted доменам
  128.  
  129. ### 2. ByeByeDPI (Android 1.6.9 + ByeDPI 0.17.3)
  130. - **Проверено 60 встроенных стратегий** — ни одна не сработала
  131. - **Причина**: на Android без root нет доступа к raw sockets для модификации пакетов на уровне ядра
  132.  
  133. ### 3. qWDTT (VK Calls tunnel) — **НЕ РАБОТАЕТ**
  134. ```
  135. [STREAM 100] [VK Auth] Failed with client_id=8202606:
  136. Post "https://login.vk.ru/?act=get_anonym_token":
  137. dial tcp: lookup login.vk.ru: i/o timeout
  138. ```
  139. - **Причина падения**: Домен `login.vk.ru` **блокируется** DPI Мегафон
  140. - **Дополнительно**: `calls.okcdn.ru` тоже блокируется
  141. - **Вывод**: qWDTT **не работает** на Мегафон
  142.  
  143. ### 4. fedarisha (S3 bypass, Darkbit) — **НЕ РАБОТАЕТ**
  144. - **Причина падения**: Домен `hb.ru-msk.vkcloud-storage.ru` **блокируется** DPI Мегафон
  145. - TLS handshake обрывается на этапе Client Hello
  146. - **Yandex Object Storage** (`storage.yandexcloud.net`) тоже блокируется
  147. - **Вывод**: fedarisha **не работает** на Мегафон
  148.  
  149. ### 5. Cloudflare WARP — **НЕ РАБОТАЕТ** ❌
  150. ```
  151. Starting WARP tunnel
  152. WarpTunnel: Warp config: peers=[WarpPeer(publicKey=bmXOC+F1FxEMF9dyiK2H5/1SUtzH0JuVo51h2wPfgyo=,
  153. endpoint=8.6.112.0:0)]
  154. <-- HTTP FAILED: java.net.SocketTimeoutException: Read timed out
  155. failed to retrieve registration data
  156. Tunnel container is null? = true
  157. ```
  158. - **Причины падения**:
  159. 1. DPI Мегафон распознаёт WireGuard-сигнатуру (публичный ключ Cloudflare)
  160. 2. IP `8.6.112.0` (Cloudflare) не в whitelist — блокируется на уровне IP
  161. 3. `api.cloudflareclient.com` не в whitelist — timeout при получении registration data
  162. 4. Все попытки подключения к `api.cloudflareclient.com` заканчиваются `SocketTimeoutException`
  163. - **Вывод**: Cloudflare WARP **полностью не работает** на Мегафон
  164.  
  165. ### 6. AmneziaVPN (бесплатный) — **НЕ РАБОТАЕТ** ❌
  166. ```
  167. container is amnezia-awg
  168. addAddress: 2606:4700:110:8fff:80d3:aa37:3035:c230/128 ← IP Cloudflare!
  169. addDnsServer: /1.1.1.1 ← Cloudflare DNS
  170. addDnsServer: /1.0.0.1 ← Cloudflare DNS
  171. Wireguard: awg-go backend v0.2.18
  172. ```
  173. - **Критическое открытие**: бесплатный сервер AmneziaVPN **фактически является обёрткой над Cloudflare WARP**
  174. - IP-адрес сервера (`2606:4700:...`) принадлежит Cloudflare
  175. - DNS-серверы `1.1.1.1` и `1.0.0.1` — это Cloudflare DNS
  176. - **Причины падения**:
  177. 1. DPI Мегафон распознаёт WireGuard-подобные сигнатуры (даже с AmneziaWG)
  178. 2. IP Cloudflare не в whitelist
  179. 3. DNS Cloudflare заблокирован
  180. - **Вывод**: AmneziaVPN в бесплатном режиме **бесполезен на Мегафон**, потому что использует инфраструктуру Cloudflare
  181.  
  182. ### 7. AmneziaVPN (свой VPS с AmneziaWG) — **НЕ ТЕСТИРОВАЛСЯ**
  183. - **Гипотеза**: если использовать свой VPS с AmneziaWG, DPI может не распознать сигнатуру
  184. - **Проблема**: требует VPS ($5/мес) и сложной настройки
  185.  
  186. ### 8. DNS-тесты
  187. - **Обычный DNS к публичным серверам (UDP 53)**: ❌ **полностью заблокирован** (timeout к 8.8.8.8, 1.1.1.1)
  188. - **DoH (порт 443)**: ❌ блокируется для всех DNS-серверов
  189. - **DoT (порт 853)**: ❌ блокируется (connection abort)
  190. - **DNS Мегафон**: ✅ работает (UDP 53 к внутренним DNS-серверам Мегафон)
  191. - **NXDOMAIN для DNSTT-доменов**: ✅ возвращается DNS Мегафон
  192.  
  193. **Вывод**: Принудительное использование DNS Мегафон — критическая особенность тарифа.
  194.  
  195. ### 9. DNSTT + SSH через различные клиенты — **НЕ РАБОТАЕТ**
  196. - HTTP Injector не смог установить соединение
  197. - SlipNet с различными профилями не даёт стабильного соединения
  198. - Платные SSH-серверы не работают
  199.  
  200. ---
  201.  
  202. ## 📊 Итоговая таблица: что работает, что нет
  203.  
  204. | Метод | Статус | Подтверждение |
  205. |-------|--------|---------------|
  206. | HTTP к whitelisted | ✅ Работает | Факт |
  207. | HTTPS к whitelisted | ✅ Работает | Факт |
  208. | HTTP к другим доменам | ❌ Блокируется | Факт |
  209. | HTTPS к другим доменам | ❌ Блокируется | Факт |
  210. | DNS Мегафон (UDP 53) | ✅ Работает | Факт (но NXDOMAIN для DNSTT-доменов) |
  211. | Публичные DNS (UDP 53) | ❌ Блокируются | Факт (timeout к 8.8.8.8, 1.1.1.1) |
  212. | DoH (порт 443) | ❌ Блокируется | Факт |
  213. | DoT (порт 853) | ❌ Блокируется | Факт |
  214. | WireGuard | ❌ Блокируется | Факт (сигнатурный анализ) |
  215. | **Cloudflare WARP** | ❌ **Блокируется** | **Факт (WireGuard + IP Cloudflare)** |
  216. | **AmneziaWG** | ❌ **Блокируется** | **Факт (распознаётся DPI)** |
  217. | **AmneziaVPN (бесплатный)** | ❌ **Блокируется** | **Факт (использует Cloudflare)** |
  218. | TURN ВК (UDP 19302) | ❌ Блокируется | Факт (calls.okcdn.ru не в whitelist) |
  219. | **fedarisha (S3 bypass)** | ❌ **Не работает** | **Факт (login.vk.ru блокируется)** |
  220. | **qWDTT (VK Calls)** | ❌ **Не работает** | **Факт (login.vk.ru блокируется)** |
  221. | Nekobox (подписки) | ❌ Не работают | Факт |
  222. | ByeByeDPI (60 стратегий) | ❌ Блокируется | Факт |
  223. | **DNSTT + SSH** | ❌ **Не работает стабильно** | **Факт** |
  224. | VLESS Reality | ❓ Гипотеза | Нет подтверждения |
  225. | Hysteria2 / TUIC | ❓ Гипотеза | Нет подтверждения |
  226. | AmneziaVPN (свой VPS) | ❓ Гипотеза | Нет подтверждения |
  227.  
  228. ---
  229.  
  230. ## 🎯 Финальная модель DPI Мегафон
  231.  
  232. ```
  233. ┌─────────────────────────────────────────────────────────┐
  234. │ DPI Мегафон "Доступный интернет" │
  235. ├─────────────────────────────────────────────────────────┤
  236. │ Фильтрация по SNI (HTTPS): │
  237. │ ├─ SNI в whitelist (vk.ru, api.vk.com, tbank.ru) → ✅ │
  238. │ └─ SNI не в whitelist → ❌ TCP RST │
  239. ├─────────────────────────────────────────────────────────┤
  240. │ Фильтрация по IP: │
  241. │ ├─ IP в whitelist подсетей → ✅ PASS │
  242. │ ├─ IP Cloudflare → ❌ DROP │
  243. │ └─ IP не в whitelist → ❌ DROP │
  244. ├─────────────────────────────────────────────────────────┤
  245. │ Фильтрация по Host (HTTP): │
  246. │ ├─ Host в whitelist → ✅ PASS │
  247. │ └─ Host не в whitelist → ❌ DROP │
  248. ├─────────────────────────────────────────────────────────┤
  249. │ DNS (полная блокировка публичных!): │
  250. │ ├─ DNS Мегафон → ✅ Работает │
  251. │ │ └─ NXDOMAIN для DNSTT-доменов → ❌ │
  252. │ ├─ Публичные DNS (8.8.8.8, 1.1.1.1) → ❌ Блокируются │
  253. │ ├─ DoH → ❌ Блокируется │
  254. │ └─ DoT → ❌ Блокируется │
  255. ├─────────────────────────────────────────────────────────┤
  256. │ Сигнатурный анализ VPN: │
  257. │ ├─ WireGuard → ❌ Блокируется │
  258. │ ├─ AmneziaWG → ❌ Блокируется (распознаётся) │
  259. │ ├─ Cloudflare WARP → ❌ Блокируется │
  260. │ └─ Cloudflare IP → ❌ Блокируется │
  261. └─────────────────────────────────────────────────────────┘
  262. ```
  263.  
  264. ---
  265.  
  266. ## 💡 Ключевые выводы
  267.  
  268. 1. **DPI Мегафон использует многоуровневую модель фильтрации**
  269. - Широкий whitelist (десятки доменов)
  270. - Полная блокировка публичных DNS
  271. - Полная блокировка Cloudflare (IP, DNS, WARP)
  272. - Распознавание WireGuard-сигнатур (включая AmneziaWG)
  273. - DNS-level блокировка (NXDOMAIN) для DNSTT-доменов
  274.  
  275. 2. **Технические домены VK/Яндекс блокируются**
  276. - `login.vk.ru` — блокирует qWDTT
  277. - `calls.okcdn.ru` — блокирует qWDTT
  278. - `hb.ru-msk.vkcloud-storage.ru` — блокирует fedarisha
  279. - Но `api.vk.com` работает (в whitelist)
  280. - **Яндекс полностью заблокирован** (включая `yandex.ru`, `ya.ru`)
  281.  
  282. 3. **Все популярные методы обхода не работают:**
  283. - Nekobox (подписки) — DPI блокирует TLS handshake
  284. - ByeByeDPI — нет root на Android
  285. - qWDTT — `login.vk.ru` не в whitelist
  286. - fedarisha — VK Cloud S3 не в whitelist
  287. - HTTP Injector — не работает
  288. - **Cloudflare WARP** — WireGuard + IP Cloudflare блокируются
  289. - **AmneziaVPN (бесплатный)** — использует Cloudflare, блокируется
  290. - **DNSTT + SSH** — нестабильно или не работает
  291.  
  292. 4. **Критическое открытие про AmneziaVPN:**
  293. > Бесплатный сервер AmneziaVPN **фактически является обёрткой над Cloudflare WARP**. IP-адрес сервера принадлежит Cloudflare, DNS-серверы — Cloudflare. Это значит, что AmneziaVPN в бесплатном режиме **бесполезен** на Мегафон, потому что использует полностью заблокированную инфраструктуру.
  294.  
  295. 5. **Главный паттерн:**
  296. > Технические домены и IP-адреса, необходимые для работы обходных методов, **не входят в whitelist Мегафон**. DPI блокирует их по SNI, IP и сигнатурам, и приложение не может инициализироваться.
  297.  
  298. ---
  299.  
  300. ## 🔮 Неподтверждённые гипотезы
  301.  
  302. ### 1. VLESS + Reality с SNI `api.vk.com`
  303. **Теория**: Reality маскирует TLS handshake под легитимное подключение к `api.vk.com` (в whitelist).
  304. **Почему перспективно**:
  305. - `api.vk.com` в whitelist (TLS handshake проходит)
  306. - Reality не использует DNS (нет проблем с NXDOMAIN)
  307. - Не использует WireGuard (нет проблем с сигнатурами)
  308. - Высокая скорость и стабильность
  309. **Проблема**: Не тестировалось, требует VPS ($5/мес)
  310.  
  311. ### 2. Hysteria2 / TUIC (QUIC-based)
  312. **Теория**: Используют QUIC (UDP на порт 443), который DPI не распознаёт как VPN.
  313. **Проблема**: UDP 443 не тестировался, реальный тест Hysteria2/TUIC не проводился.
  314.  
  315. ### 3. AmneziaWG с собственным VPS
  316. **Теория**: Если использовать свой VPS с AmneziaWG (не бесплатный сервер Cloudflare), DPI может не распознать сигнатуру.
  317. **Проблема**: Требует VPS ($5/мес) и сложной настройки. Не тестировалось.
  318.  
  319. ---
  320.  
  321. ## 📝 Итоговая рекомендация
  322.  
  323. **На этом тарифе Мегафон полноценный обход цензуры НЕВОЗМОЖЕН.**
  324.  
  325. ### Что работает:
  326. - Только сайты из whitelist (VK, госуслуги, некоторые банки)
  327. - Telegram, YouTube, Google и другие зарубежные сервисы **не работают**
  328.  
  329. ### Альтернативы (перспективные):
  330. - **VLESS Reality** с SNI `api.vk.com` — требует VPS ($5/мес), но может дать высокую скорость и стабильность
  331. - **AmneziaWG с собственным VPS** — может обойти сигнатурный анализ
  332. - Сменить тариф на обычный (без опции "Доступный интернет")
  333. - Сменить оператора
  334.  
  335. ### Что ТОЧНО не работает:
  336. - ❌ Cloudflare WARP
  337. - ❌ AmneziaVPN (бесплатный)
  338. - ❌ Nekobox с публичными подписками
  339. - ❌ ByeByeDPI
  340. - ❌ qWDTT
  341. - ❌ fedarisha
  342. - ❌ HTTP Injector
  343. - ❌ DNSTT + SSH
  344.  
  345. ---
  346.  
  347. **Заключение**: Мегафон с опцией "Доступный интернет" — это **ограниченный доступ к десяткам российских сервисов** с активной защитой от обхода. Все популярные VPN-сервисы (Cloudflare WARP, AmneziaVPN, Nekobox) **не работают** из-за блокировки инфраструктуры Cloudflare и WireGuard-сигнатур. Для полноценного интернета рекомендуется сменить тариф, настроить VLESS Reality или сменить оператора.
Advertisement
Add Comment
Please, Sign In to add comment
Public Pastes
We use cookies for various purposes including analytics. By continuing to use Pastebin, you agree to our use of cookies as described in the Cookies Policy.  OK, I Understand
Not a member of Pastebin yet?
Sign Up, it unlocks many cool features!