DPI МТС с опцией "Доступный интернет"

DPI МТС с опцией "Доступный интернет"

*Сводка по всем экспериментам: 08.06.26, 20.06.26, 21.06.26*

---

## 🎯 Краткое резюме

DPI МТС на опции "Доступный интернет" использует **экстремально узкий whitelist с многоуровневой фильтрацией**. Система блокирует трафик на уровне IP-адресов, доменных имён (SNI для HTTPS, Host для HTTP) и сигнатур протоколов. Шифрованный DNS (DoH/DoT) полностью заблокирован. UDP-трафик в целом открыт, но VPN-протоколы (WireGuard/AmneziaWG) распознаются по сигнатурам.

**Главная причина падения большинства методов обхода:** приложения пытаются авторизоваться или подключиться к техническим доменам (`calls.okcdn.ru`, `hb.ru-msk.vkcloud-storage.ru`, `storage.yandexcloud.ru`), которые **не входят в белый список**, и DPI сбрасывает соединение на этапе TLS-хэндшейка.

---

## ✅ Whitelist (подтверждённые факты)

Всего **3 домена** из тысяч российских сайтов:

| Домен | Категория |
|-------|-----------|
| `gosuslugi.ru` | Госуслуги |
| `vk.ru` | ВКонтакте |
| `lk.mts.ru` | Личный кабинет МТС |

**Дополнительно работают:**
- Приложение "Мой МТС" (частично — без VoIP и бота техподдержки)
- Kate Mobile для ВК
- Whitelisted IP-подсети (Selectel, Reg.ru, TimeWeb и др.)

---

## ❌ Blacklist (подтверждённые факты)

### Сайты и сервисы:
- Банки: `sberbank.ru`, `tinkoff.ru`, `alfabank.ru`, `qiwi.com`, ЮMoney
- Российские IT: `yandex.ru`, `mail.ru`, `ok.ru`, `rutube.ru`
- Маркетплейсы: `ozon.ru`, `wildberries.ru`, `avito.ru`
- Государственные: `kremlin.ru`
- Конкуренты: `lk.megafon.ru`
- Все зарубежные сайты

### Технические домены (используемые для обхода):
- `hb.ru-msk.vkcloud-storage.ru` — VK Cloud S3
- `storage.yandexcloud.ru` — Yandex Object Storage
- `calls.okcdn.ru` — VK Calls

### DNS-серверы:
- Все публичные DNS через DoH (порт 443) — Google, Cloudflare, Яндекс, Quad9, AdGuard
- Все публичные DNS через DoT (порт 853)

---

## 🔬 Механизмы блокировки (по уровням)

### Уровень 1: Фильтрация по IP-адресу
DPI блокирует **все соединения** (HTTP, HTTPS, любой протокол) к IP-адресам, которые не входят в whitelist подсетей.

### Уровень 2: Фильтрация по домену (HTTPS)
```
Клиент → TLS Client Hello (SNI=X)
DPI → Анализ SNI
DPI → Если X не в whitelist → TCP RST (connection reset by peer)
```
- Блокировка происходит **до HTTP-запроса**, на этапе handshake
- Domain Fronting не работает — DPI проверяет соответствие SNI и сертификата

### Уровень 3: Фильтрация по Host-заголовку (HTTP)
Для нешифрованного HTTP DPI читает **Host-заголовок** и блокирует запросы к доменам вне whitelist. **HTTP-сайты вне whitelist тоже не открываются.**

### Уровень 4: Сигнатурный анализ UDP
- **Обычный UDP работает**: DNS (53), TURN ВК (19302), QUIC (443)
- **VPN-протоколы блокируются**: WireGuard, AmneziaWG, Cloudflare WARP — DPI распознаёт сигнатуры (148-байтные handshake-пакеты)

### Уровень 5: Блокировка TLS на нестандартных портах
- Даже на порту 853 (DoT) DPI обрывает TLS handshake
- Порт открыт на уровне TCP, но TLS не устанавливается

---

## 🧪 Эксперименты с обходом

### 1. ByeByeDPI (Android 1.6.9 + ByeDPI 0.17.3)
- **Проверено 60 встроенных стратегий** — ни одна не сработала
- Включая TLS Fragment, SNI spoofing, различные размеры пакетов
- **Причина**: на Android без root нет доступа к raw sockets для модификации пакетов на уровне ядра

### 2. Nekobox / olcng / Nova
- **Протестированные подписки**: Goyda-VPN, Zieng2, EtoNeYaProject, GoodbyeWL, Vless-Reality-White-Lists-Rus-Mobile, Generation Liberty, olc
- **Результат**: ни одна подписка не дала рабочего соединения
- **Аномалия**: Shadowsocks-сервер в Нидерландах (`108.181.58.239:8388`) проходил URL-тесты на whitelisted сайтах, но не работал на практике для HTTPS-трафика
- **Объяснение**: DPI блокирует именно TLS-хэндшейк к не-whitelisted доменам, а HTTP через прокси проходит (не шифруется)

### 3. qWDTT (VK Calls tunnel) — **авторизация не проходит, потому что домен не в белом списке**
```
Post "https://calls.okcdn.ru/fb.do":
read tcp 192.168.1.10:60722->155.212.204.136:443: read: connection reset by peer
```
- **Причина падения**: Домен `calls.okcdn.ru`, к которому qWDTT пытается авторизоваться, **не входит в белый список МТС**. DPI сбрасывает TLS-соединение на этапе handshake.
- **Важная деталь**: TURN-серверы ВК (`90.156.234.246/247:19302`) **доступны по UDP** (проверено через `nc -u`). То есть сам транспорт мог бы работать, но авторизация падает из-за whitelist.
- **На домашнем интернете**: всё работает, авторизация проходит, TURN-сессии устанавливаются, трафик идёт через WRAP + WireGuard.

### 4. fedarisha (S3 bypass, Darkbit) — **инициализация не проходит, потому что домен не в белом списке**
```
Head "https://hb.ru-msk.vkcloud-storage.ru/qubit-a":
read tcp 192.168.1.10:47456->95.163.53.117:443: read: connection reset by peer
```
- **Причина падения**: Домен `hb.ru-msk.vkcloud-storage.ru`, к которому fedarisha пытается подключиться для инициализации storage backend, **не входит в белый список МТС**. DPI сбрасывает TCP-соединение, модуль `fedarisha` не обрабатывает эту ошибку и вызывает `panic`, который валит всё ядро Xray.
- **Yandex Object Storage** (`storage.yandexcloud.ru`) тоже блокируется — тот же механизм.

### 5. AmneziaVPN (AmneziaWG)
```
AmneziaWG/awg0: peer(bmXO…fgyo) - Handshake did not complete after 5 seconds, retrying (try 2)
```
- **Результат**: бесконечный цикл повторных handshake-попыток
- **Причина**: DPI распознаёт WireGuard-подобную сигнатуру и блокирует UDP-пакеты
- **Вывод**: AmneziaWG **не работает** на МТС

### 6. Cloudflare WARP
- **Результат**: не подключается
- **Причина**: использует WireGuard, который блокируется по сигнатуре
- **UDP порт 51820 к 1.1.1.1**: открыт (проверено через `nc -u`), но трафик WireGuard режется

### 7. DNS-тесты
- **Обычный DNS (UDP 53)**: ✅ работает, IP-адреса не подменяются
- **DoH (порт 443)**: ❌ блокируется для всех DNS-серверов (Google, Cloudflare, Яндекс, Quad9, AdGuard)
- **DoT (порт 853)**: ❌ блокируется для всех DNS-серверов (включая российские Яндекс DNS)
- **Вывод**: шифрованный DNS полностью мёртв на этом тарифе

---

## 📊 Таблица: что работает, что нет

| Метод | Статус | Подтверждение |
|-------|--------|---------------|
| HTTP к whitelisted | ✅ Работает | Факт |
| HTTPS к whitelisted | ✅ Работает | Факт |
| HTTP к другим доменам | ❌ Блокируется | Факт (DPI читает Host) |
| HTTPS к другим доменам | ❌ Блокируется | Факт (DPI читает SNI) |
| Обычный DNS (UDP 53) | ✅ Работает | Факт |
| DoH (порт 443) | ❌ Блокируется | Факт |
| DoT (порт 853) | ❌ Блокируется | Факт |
| UDP общий | ✅ Работает | Факт |
| TURN ВК (UDP 19302) | ✅ Работает | Факт |
| QUIC (UDP 443) | ✅ Работает | Факт |
| WireGuard / AmneziaWG | ❌ Блокируется | Факт (сигнатура) |
| Cloudflare WARP | ❌ Блокируется | Факт |
| **fedarisha (S3 bypass)** | ❌ **Не работает** | **Факт (домен не в whitelist)** |
| **qWDTT (VK Calls)** | ❌ **Не работает** | **Факт (домен не в whitelist)** |
| ByeByeDPI (60 стратегий) | ❌ Блокируется | Факт |
| Публичные подписки | ❌ Не работают | Факт |
| **VLESS Reality** | ❓ Гипотеза | Нет подтверждения |
| **Hysteria2 / TUIC (QUIC)** | ❓ Гипотеза | Нет подтверждения |

---

## 🔮 Гипотезы (требуют фактического подтверждения)

### 1. VLESS + Reality с SNI `gosuslugi.ru` или `vk.ru`
**Теория**: Reality маскирует TLS handshake под легитимное подключение к whitelisted сайту, DPI не может отличить от реального трафика.
**Проблема**: Тестировались подписки Vless-Reality-White-Lists-Rus-Mobile — ни одна не сработала. Возможно:
- SNI не был whitelisted (использовались `cloudflare.com`, `speedtest.net` вместо `gosuslugi.ru`)
- IP-адреса серверов засвечены
- Неправильная настройка Reality

### 2. Hysteria2 / TUIC (QUIC-based)
**Теория**: Используют QUIC (UDP на порт 443), который DPI не распознаёт как VPN.
**Проблема**: UDP 443 работает (проверено через `nc`), но реальный тест Hysteria2/TUIC не проводился. DPI может распознавать QUIC-сигнатуры.

### 3. qWDTT с проксированием авторизации
**Теория**: Если авторизацию через `calls.okcdn.ru` пропустить через Reality-прокси, TURN-туннель заработает (TURN доступен по UDP).
**Проблема**: Требуется работающий Reality-прокси, которого пока нет.

---

## 🎯 Ключевые выводы

1. **DPI МТС — один из самых агрессивных среди российских операторов**
   - Экстремально узкий whitelist (только 3 домена)
   - Блокировка на уровне IP + SNI + Host
   - Сигнатурный анализ UDP (WireGuard, AmneziaWG)
   - Блокировка шифрованного DNS (DoH/DoT)

2. **Все популярные методы обхода не работают:**
   - ByeByeDPI (нет root)
   - S3 bypass (fedarisha) — **падает из-за блокировки домена `hb.ru-msk.vkcloud-storage.ru`**
   - VK Calls (qWDTT) — **падает из-за блокировки домена `calls.okcdn.ru`**
   - AmneziaWG / Cloudflare WARP (сигнатурный анализ)
   - Публичные подписки (Nekobox, olcng, Nova)

3. **Главный паттерн падения приложений:**
   > Авторизация или инициализация не проходит, потому что технические домены, к которым приложение пытается подключиться, **не входят в белый список МТС**. DPI сбрасывает соединение на этапе TLS-хэндшейка, и приложение не может продолжить работу.

4. **Единственные подтверждённые лазейки:**
   - HTTP (порт 80) — но только к whitelisted доменам
   - HTTPS к whitelisted доменам
   - UDP-трафик (кроме VPN-протоколов)
   - Обычный DNS (UDP 53)

---

## 💡 Итоговая рекомендация

**На этом тарифе МТС практический обход цензуры крайне затруднён.** Все популярные инструменты (ByeByeDPI, AmneziaVPN, WARP, публичные подписки, S3 bypass, VK Calls) блокируются из-за того, что их технические домены не входят в whitelist.

**Варианты действий:**
1. **Сменить тариф** на обычный (без опции "Доступный интернет") — самый простой путь
2. **Сменить оператора** — у других (даже с DPI) обход обычно проще
3. **Тестировать гипотезы**:
   - Найти подписку с VLESS Reality и SNI строго `gosuslugi.ru` или `vk.ru`
   - Попробовать Hysteria2/TUIC через QUIC
4. **Использовать только whitelisted ресурсы** (ВК, Госуслуги) без VPN

**Вывод**: МТС с опцией "Доступный интернет" — это не полноценный мобильный интернет, а **ограниченный доступ к 3 сайтам** с активной защитой от обхода. Для задач, требующих полноценного интернета, этот тариф не подходит.