#26

Руководителям подведомственных
Минобрнауки России организаций

15.06.2021 № MH-19/394
На № ____ от ____
Об использовании протоколов VPN
и VPN сервисов

Уважаемые коллеги!

Во исполнение письма Роскомнадзора № 07ТО-558-ДСП от 23.04.2021 г. об использовании протоколов VPN и VPN сервисов, а так же в целях противодействия угрозам устойчивости, безопасности и целостности функционирования на территории Российской Федерации информационно-телекоммуникационной сети «Интернет» и сети связи общего пользования, Центр мониторинга и управления сетью связи общего пользования Роскомнадзора планирует осуществить комплекс мер по ограничению использования сервисов VyprVPN, Opera VPN работающих по протоколам openvpn и Wireguard.

С целью исключения VPN соединений, работающих по протоколам openvpn и Wireguard из политик ограничения доступа Роскомнадзора, Минобрнауки России просит в срок до 30.06.2021 г. заполнить отчетную форму, размещенную в информационной системе «Система формирования сводной отчетности Минобрнауки России», расположенную в сети Интернет по адресу https://svod.minobrnauki.gov.ru/WebSVOD/parusjs/.

Руководство пользователя по заполнению отчетной формы дополнительно размещено в сети Интернет по адресу https://svod.minobrnauki.gov.ru/index.php?do=cat&category=novosti-po-vedomstvennoy-otchetnosti.

Приложение: Руководство пользователя по заполнению формы «Роскомнадзор_21» в информационной системе «Система формирования сводной отчетности Минобрнауки России» на 11 л. в 1 экз.

To the heads of organizations subordinated to the
Ministry of Education and Science of Russia

15.06.2021 № MH-19/394
At № ____ from ____
On the use of VPN protocols
and VPN services

Dear colleagues!

Pursuant to Roskomnadzor letter № 07ТО-558-ДСП from 23.04.2021 on the use of VPN protocols and VPN services, and in order to counter threats to the stability, security and integrity of the Russian Federation information and telecommunications network Internet and public communication network, the Monitoring and Control Center of public communication network Roskomnadzor plans to implement a set of measures to restrict the use of services VyprVPN, Opera VPN working on protocols openvpn and Wireguard.

In order to exclude VPN connections working via openvpn and Wireguard protocols from the access restriction policy of Roskomnadzor, the Ministry of Education and Science of Russia requests filling in the reporting form posted in the information system “System of consolidated reporting of the Ministry of Education and Science of Russia” located on the Internet at https://svod.minobrnauki.gov.ru/WebSVOD/parusjs/ (archive) until June 30, 2021.

The User’s Guide for completing the reporting form is additionally available on the Internet at https://svod.minobrnauki.gov.ru/index.php?do=cat&category=novosti-po-vedomstvennoy-otchetnosti (archive).

Appendix: User’s Guide for filling in the form “Roskomnadzor_21” in the information system “System of consolidated reporting of the Ministry of Education and Science of Russia” on 11 pages, 1 copy.

I understand from this that Roskomnadzor plans next to block OpenVPN and WireGuard protocols, and the Ministry of Education and Science is asking organizations under its purview that might be affected by the blocks to submit a form by 2021-06-30.

#27

С недавних пор, используется DPI, МТС. Помогает goodbyedpi. В последней версии Оперы 77.0.4054.146 уже сами разработчики Оперы отключают свой псевдо VPN для российских IP.

#28

На текущий момент Роскомнадзор уже ведёт поэтапную процедуру блокировки VPN-сервисов. В первую очередь были введены ограничения работы сервисов Opera VPN и VyprVPN. Представители Роскомнадзора заявили, что VPN представляют собой угрозу для безопасности и стабильности российского сегмента интернета. Сейчас в список кандидатов на блокировку входят более двухсот техпроцессов российских компаний.
В июне 2021 года Роскомнадзор разместил на своём официальном сайте релиз о мерах, которые планируется предпринять в отношении упомянутых сервисов.
В релизе VPN упомянуты как «сервисы, используемые для обхода ограничений доступа пользователей к противоправному контенту».
В релизе указывается, что основанием для блокировки является регламент реагирования на подобные угрозы. Под «угрозой» подразумеваются алгоритмы, которые позволяют обходить ограничения на доступ к запрещенному контенту (призывы к суициду, детская порнография, реклама наркотиков и прочие противоправные материалы). Процедура блокировки сервисов Opera VPN и VyprVPN начиналась 17 июня 2021 года. Роскомнадзор обосновал свои действия Постановлением Правительства Российской Федерации от 12 февраля №127.
В релизе также было отмечено, что введенные ограничительные меры не коснутся тех российских компаний, которые применяют VPN в непрерывных техпроцессах.

#29

https://rkn.gov.ru/news/rsoc/news73720.htm
Следующие VPN (Hola!VPN, ExpressVPN, KeepSolid VPN Unlimited, Nord VPN, Speedify VPN, IPVanish VPN). Блокировка (фильтрация) видимо также будет идти через DPI ТСПУ.

#30
#31

It’s strange to me that RKN lists the names of VPN services. @libneko made the same observation earlier. I had the impression that at least some of these VPN services are multi-modal: they are not built on only a single protocol, but may use many protocols (possibly obfuscated) in different situations. The VPN service’s name is just a “brand” for a combination of protocols. To me, it doesn’t make much sense to say simply “block ExpressVPN”. From a technical point of view, it would be more like: “block ExpressVPN in configuration A”, “block ExpressVPN in configuration B”, etc.

These observations make me think that the VPN plans are not so much about protocol detection and DPI. (Maybe in simple cases they are.) Rather, I see two more likely possibilities:

  1. IP address enumeration. It may be that a VPN service has a relatively small number of server IP addresses. If the VPN uses that pool of IP addresses for all its connections, even obfuscated ones, you can block the VPN service entirely by blocking some IP address ranges.

  2. Out-of-band pressure. The authorities could approach the VPN companies in real life, and say, “we want you to stop giving service to users in Russia” with threats of what will happen if they don’t. As far as I can tell, Opera VPN was not directly blocked by RKN/TSPU; rather Opera themselves made the VPN stop working in Russia. The proof is "blacklisted_locations":["cn","ru"] in a configuration file. You can also see posts to that effect by moderators on the Opera forums:

    https://forums.opera.com/post/254959

    Only in Russia. The VPN was always “where allowed by law”, so if the legal authority tells them to turn it off it is gone.

    https://forums.opera.com/post/254957

    Opera’s VPN was always “where allowed by law”, so if the Russian government tells them to disable it in Russia that is what happens. :disappointed:

#32

At ExpressVPN, they will not cooperate with RKN, they are full of nonsense, since they are representatives of Roskomnadzor, they were threatened with blocking me three years ago, I liked their VPN, I also use VPN Unlimited. But they also said that we are working fine in China and we will cope with Roskomnadzor and they will fight for our digital rights.

#33

An acquaintance of mine lives in China and has been working there for over a year. He calmly uses VPN Unlimited and ExpressVPN using special protocols, and for ExpressVPN servers, only special ones can be selected that are given by technical support bypassing the Great Firewall helps, although it happens sometimes that ip servers are jammed only later, developers fix problems after updating DPI locks. Some prohibitions all around. Soon we will have a second North Korea, but understand one thing - those who do this want to control everything! And in order to punish and fine, prohibit, there is no logic in the actions, it will be worse further, they will come home and allow you to watch a movie, allow you to love your wife, allow you to eat and feed your children. And everything else will be banned. We bury ourselves … by introducing total censorship over our citizens.

#34

Yes, this RKN release also looks strange to me. While for blocking “VPN Opera” is just a proxy, the provider’s DPI is used for the api.sec-tunnel.com authorization addresses and the pool of their proxy addresses. By using goodbyeDPI, blocking these addresses is bypassed.
As far as disabling the VPN setting from the Opera side, yes, it was bypassed by editing the config files. Problems appeared in the last two versions of the normal Opera installation (not portable). Now it is also possible to enable the Opera VPN setting from Russian IP addresses, but it is a little more complicated. I think that in this particular topic it is offtopic.

#35

Intresting that there have been close to zero messages about Vyrp’s performance after the block. I have seen basically only 3 guys (one of them on Megafon) who said that it stopped working for them. Others were either silent or OK. Also I wonder if people for whom it stopped working contacted Vyrp in any way? Like if they advertise that they work in China, Russian DPI should be an easy thing?

#36

Очередные VPN сервисы под вопросом.
Psiphon, Tunnelbear, Thunder и Redshield

#37

Да тут понятно уже, что будут бомбить

#38

Провайдеры с ТПСУ начали сегодня блокировать сеть DHT целиком. Видимо эхо от новых блокировок VPN сервисов. Ни один торрент-клиент не подключается и соответственно ничего не качает.

Техподдержка прямо говорит, что виноват ТПСУ, но ничего они сделать не могут, а следовательно предлагают искать способы обхода самостоятельно.

#39

Я тебе больше скажу: они вроде как начали блокировать doh сервер от гугла. Почитай соседнюю тему

Для сети dht, кстати, кроме vpn можно что-нибудь сделать? Даже не представляю, как их можно замаскировать от ТСПУ

#40

Какой у вас провайдер и регион?

#42

Ростелеком Урал.

#43

Некоторое время не было доступа к ntc.party. Это как-то связано с блокировками через ТСПУ или просто совпало ?

#44

Несвязанные вещи, были проблемы на сервере.

#45

Не проходит хендшейк WireGuard в мобильной сети Билайна до двух разных эндпоинтов. Из домашней проводной сети Искрателеком всё ок.

Совпадение?

Edit: Tailscale прямые соединения устанавливает.

#46

https://www.opennet.ru/openforum/vsluhforumID3/125174.html#9

У мну не далее чем сегодня на одном жолтом опсосе внезапно два WG (разные vps, разные хостинги, разные страны) перестали работать на какое-то время. Очень надеюсь что это кривые руки, а не что-то ещё.

https://www.opennet.ru/openforum/vsluhforumID3/125174.html#101

Ростелеком сегодня начал блокировать DHT и протокол BitTorrent на своем DPI целиком. Ни один торрент ни одного дистрибутива GNU/Linux больше не качается.

Техподдержка отвечает, что торренты - это пиратство, поэтому они теперь блокируются.