Но при этом сохраняется 16 КБ блокировка?
Да (только на тех где онa есть изначально: DO, OVH, …)
49453 Global Layer B.V. Похоже тоже.
AS3320 Deutsche Telekom
После передачи первых 64 кб соединения обрывается
какой айпи адрес? там есть несколько подсеток когента типа 149.5.225.0/24 которая блочится, но с остальным проблем не вижу
80.149.64.52 На этом ip адресе размещен сайт
не вижу блока
root@vb:~/rkn# curl -o /dev/null "https://mail.henkel-kg.com/SOGo.woa/WebServerResources/fonts/FiraSans-Book.woff"
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
100 181k 100 181k 0 0 428k 0 --:--:-- --:--:-- --:--:-- 428k
У меня соединения по каким то причинам уходит в таймаут после передачи первых 64 кб данных
В сторону 8560 IONOS SE у меня не сохраняется, работает хорошо с удалённым SNI.
ну так 16кб блокнута только часть AS из списка (digitalocean, ovh, …)
У меня на Билайне (и домашнем, и мобильном) блокировка OVH и DigitalOcean вообще не связана с DHT, торрентом и P2P-соединениями. Она просто всегда есть - её никак без VPN не обойти. Причём блокируется не только TLS 1.3, но и 1.2.
Они уже некоторое время назад перекочевали из динамического блока в постоянный. Есть основания полагать, что это будет и с остальными.
С 27 декабря блок стал постоянным, если быть точным.
всмысле? tls 1.2/3 блочатся 16кб, но tls 1.1 работает? ещё бы найти веб сервер который поддерживает tls 1.1…
Нет, я имел в виду, что блокируется не только TLS 1.3 (как указано в начале обсуждения), но и 1.2. Просто более ранние версии нет смысла говорить - они точно не поддерживаются.
После триггера echo -n "hello" | socat - UDP:23.251.49.123:443
В таймаут на 10 минут улетают: DigitalOcean, OVH, Contabo(как минимум 1 ссылка), Constant, Vultr, и некоторые vds хостинги: Alexhost AS200019, H2nexus AS215730
Например 2ip.ru
Подскажите как можно защитится от этого триггера?
Не отправлять ничего не указанные адреса и не использовать ПО, которое может отправить что-то на указанные адреса.
Под указанными адресами имеется ввиду подсети из списка динамически блокируемых хостеров? Я не совсем понял по какому правилу работает этот триггер. Если мой хостер находится за пределами этого списка смогу ли я получить блок просто отправляя что-то на указанные в этом списке подсети? Или вообще факт использования ВПН в данном случае не важен и можно получить блок просто отправив пару пакетов udp на какой-нибудь ip’шник той же datacamp?