Конец интернета — или прекращение работы DNS в России
С конца августа у части абонентов сломался не сайт, а DNS. Открываете YouTube — «Не удаётся открыть эту страницу», внизу мелким шрифтом DNS_PROBE_FINISHED_NXDOMAIN. Вот и приехали.Домен, разумеется, существует. Просто ваш запрос к 8.8.8.8 или 1.1.1.1 до Google и Cloudflare не доехал: на ТСПУ его перехватывают и отправляют на резолвер НСДИ — государственную систему доменных имён. Отвечает уже она. На заблокированные сайты — «не знаю такого, мамой клянусь», на все остальные — настоящие адреса, поэтому со стороны выглядит, будто интернет цел, а YouTube просто исчез.
Доказать подмену можно тремя способами, и все три воспроизводятся руками. В ответе стоит флаг aa — «я хозяин этой зоны», которого у Google для чужих доменов не бывает. Если отправить запрос с маленьким TTL, в ICMP-ошибке видно настоящего получателя пакета: 195.208.5.1, он же b.res-nsdi.ru. А служебный домен whoami.akamai.net честно показывает, чья сеть на самом деле ходила за ответом — вместо Google там оказывается MSK-IX.
Работает всё это криво. Перехват срабатывает через раз: обновили страницу — и она вдруг открылась. Пять одинаковых запросов подряд дают ошибку только на первый. По TCP запросы проходят нетронутыми. У одного оператора заворачивают даже трафик к самим серверам НСДИ.
Карта пёстрая: в ЦФО у людей ничего не изменилось, на Северо-Западе подмена есть, у Йоты в Сибири чисто, в Москве у одного провайдера подменяют только IPv6-запросы. Отсутствие проблемы у вас ничего не говорит о соседе на другом операторе — и наоборот.
Параллельно бьют по шифрованному DNS (DoH): рвут TLS-соединения к dns.google, cloudflare-dns.com, dns.adguard.com и другим — по имени сервера в SNI. Вот это как раз лечится запреткой через хостлист. А подмену открытого DNS запретка не чинит: там ломается не соединение, а маршрут пакета.
И отдельно про DNSSEC, о котором сейчас много пишут. Он ловит подделку только на подписанных зонах — а youtube.com, rutracker.org и facebook.com не подписаны, там валидатор ничего не заметит. Проверять надо на torproject.org: он подписан, и там подделка видна сразу.
Что помогает сегодня: DNS по TCP, DoT и DoH при обращении по прямому IP (по имени режут), DoH через запретку. Надёжно — только резолвинг внутри туннеля: там ТСПУ не видит ни адреса резолвера, ни самого вопроса. И помните про приватность: если перехват включён, на государственный сервер уходят все ваши запросы, а не только к заблокированным сайтам.https://wiki.zapret.moe/DPI/tspu-dns-nsdi-dnat-august-2026
Скачать | Premium (донаты) | Android, MacOS и др. ссылки
