Блокировка порта 443 на части хостов DigitalOcean


Утром отлетел SS на сервера оракла. Параноик режим через cloudflare работает

Речь про блокировку на DigitalOcean или конкретно ss?

Привет всем. Наблюдаем аналогичную проблему для своих сайтов на DigitalOcean. Периодически возникает ERR_CONNECTION_TIMED_OUT на провайдерах: Билайн, Дом.Ру, Ростелеком. Проблема длится от минуты до часа. IP-адреса в списке блокировки РКН отсутствуют. Проблема только у пользователей, сервисы проверки доступности сайтов ничего не видят, поисковики ходят как обычно.

Я хотел бы писать официальное обращение-жалобу в Роскомнадзор от имени компании. На Хабре видел предположения, что это баги в работе ТСПУ. Есть ли ещё какая-нибудь техническая информация, на которую я могу сослаться? Есть ли у кого-нибудь желание присоединиться к обращению?

Домру снова сломал sublimetext.com

Пишите обращение. Прикладывайте все трассировки. Проблема действительно в работе ТСПУ.

Не припомню, чтобы Роскомнадзор кому-либо отвечал по существу в последние годы.
По-хорошему, если относиться к этому как к обычной сетевой проблеме, я бы на вашем месте сделал tcp traceroute на порт 443 вашего IP-адреса и рабочих соседних (чтобы можно было сравнить трассу), записал дамп трафика обращений на порт 443 и какой-либо другой с клиентской и серверной стороны, чтобы было видно, что запросы с клиента на порт 443 не доходят, а на любой другой доходят.

Это “баг” только если “зависает” весь адрес вместо сессии, на которую сработало условие в правиле для блокировки. Но правила не пишут вручную, а значит это поведение намеренное, или даже специальное, а из условий там таймер да случай. И блокируют подсеть, а не отдельный адрес.

Но писать надо, конечно, нужно улучшать механизм блокировок, чтобы он не мешал населению смотреть яндекс.новости.

У меня был успешный опыт общения с Роскомнадзором. Ответили относительно быстро и по существу, потому собственно есть надежда. tracetcp, к сожалению, особо ничего не показывает — схожие таймауты и на доступных сайтах видно и на «временно заблокированных». Сначала обращусь с IP-адресом хоста и доменом. Надежда была на «мясо» от провайдера, но там первая линия совсем не туда гнёт (ваш сайт лежит, потеребонькайте провод и пр.). Будем пока копить скриншоты.

Замечено, что «блокировка» работает от секунды до несколких часов — отсюда намёк на автоматическую природу явления. Любопытно, что Билайн Бизнес и Билайн для физиков (LTE) по-разному работают в одной и той же локации.

На запрос в РКН, мне подтвердили, что происходит блокировка порта 443 — ложноположительный результат сигнатуры Lanternvpn. Решения пока нет.

Можете переслать ответ в оригинальном вмде сюда или мне лично?

This post was flagged by the community and is temporarily hidden.

Как личное сообщение отправить?

Написал два обращения здесь https://rkn.gov.ru/treatments/ask-question/ и здесь https://eais.rkn.gov.ru/feedbackForm/, а так же на почту дежурного ЦМУ ССОП. Упомянул массовый характер проблемы и что ошибочная блокировка наносит вред нашему бизнесу и в целом ИТ-отрасли. Буду ждать ответов и отлавливать tracetcp.

This post was flagged by the community and is temporarily hidden.

Я не профи, но IP-адреса наших серверов статические и не меняются годами, наверное мог бы быть некий белый лист для проверенных хостов. :man_shrugging:t2: Чтобы хотя бы по запросу резолвить ложные срабатывания.

This post was flagged by the community and is temporarily hidden.

This post was flagged by the community and is temporarily hidden.

This post was flagged by the community and is temporarily hidden.

Информирую общественность о результатах. Из всех каналов обращения в РКН, переписка с оперативным дежурным ЦМУ ССОП ФГУП «ГРЧЦ» оказалась самой продуктивной. Не в пример многим провайдерам, запросили техническую информацию и отследили результаты. Сейчас у наших серверов проблемы с доступом к DO не наблюдается. Хэппи энд. Респект и уважуха участникам.