Атлас РКН rkn.kitten.software

Расследование

Чужие маршруты: как российские сети перехватывали интернет и почему у ГРЧЦ нет щита

У AS61280, из которой анонсируются сайт РКН и ЦМУ ССОП, нет ROA ни на одном префиксе, хотя российские сети уже дважды анонсировали чужие адреса, а в 2022 году перехват остановила именно ROA жертвы.

Наблюдения 19.10.2026. Редакция 20.10.2026. 4 звеньев, у каждого своя улика.

  1. 1. автономная системаAS12389подаёт транзит
  2. 2. автономная системаAS61280анонсирует
  3. 3. префикс212.192.156.0/22принимает домен
  4. 4. доменrkn.gov.ruсайт регулятора
Цепочка: нажмите на звено, улика откроется ниже. Отношения между звеньями — из закрытого словаря атласа.

Звено 1 из 4: AS12389, Ростелеком

документнаблюдение 19.10.2026

aut-num AS61280: CMU_GRCHC, политика импорта и экспорта

Доказывает
В RIPE Database объект aut-num AS61280 (as-name CMU_GRCHC, организация ORG-CSFG1-RIPE) создан 2020-06-10, изменён 2026-10-01, спонсор — ORG-RRIf1-RIPE (НИИРОС). Политика: импорт ANY от AS12389, AS199599, AS43226; импорт AS-MSKROUTESERVER от AS8631; импорт ANY и экспорт ANY с AS213853 и AS43797.
Не доказывает
Что обмен маршрутами фактически идёт в таком виде: IRR описывает намерение, а не реальные AS-path. Что через AS43797 проходит транзит.
Метод
HTTPS GET rest.db.ripe.net и полнотекстовый whois
Ограничение
IRR import/export — декларативная политика, не фактический AS-path. Контактные записи объекта в атлас не переносятся.
import: from AS12389 accept ANY
export: to AS12389 announce AS61280
import: from AS199599 accept ANY
export: to AS199599 announce AS61280
import: from AS43226 accept ANY
export: to AS43226 announce AS61280
import: from AS8631 accept AS-MSKROUTESERVER
export: to AS8631 announce AS61280
import: from AS213853 accept ANY
export: to AS213853 announce ANY
import: from AS43797 accept ANY
export: to AS43797 announce ANY
Страница уликиПоказать на карте сети
измерениенаблюдение 19.10.2026

bgp.tools: наблюдаемые апстримы и пиры AS61280

Доказывает
На странице AS61280 bgp.tools указаны апстримы AS12389, AS213853 и AS8359 (МТС) и пиры, включая AS43797, AS41853 и AS196641; девять IPv4 /24 и три IPv6 /48; участие в MSK-IX Москва.
Не доказывает
Политику aut-num: это наблюдение топологии стороннего сервиса. Согласуется не полностью: AS8359 нет в aut-num, а AS196641 здесь пир, тогда как на её странице апстрим — AS61280 (проверка cl-019).
Метод
Чтение страницы bgp.tools/asn/61280
Ограничение
Данные чужого агрегатора; датированного AS-path корпус не получил.
upstreams: AS12389, AS213853, AS8359
peers: AS43797, AS41853, AS196641 ...
Страница уликиПоказать на карте сети

Вопрос

Дважды российские сети объявляли чужие адреса своими. 1 апреля 2020 года Ростелеком анонсировал больше 8000 чужих префиксов. 28 марта 2022 года RTComm около 45 минут держал в таблице префикс Twitter как собственный. Во второй раз перехват остановила запись, которую заранее сделал сам Twitter.

Тогда что с такой защитой у сетей, где стоят сайт регулятора и центр управления блокировками? Цепочка выше идёт от апстрима к сайту: Ростелеком, AS61280, блок 212.192.156.0/22, домен rkn.gov.ru. У каждого звена своя улика.

Следы

Как работает защита. BGP верит анонсам на слово. Кто объявил префикс, тому и идёт трафик, а более узкий префикс побеждает широкий. Защита называется ROA: подписанная запись о том, какая сеть вправе объявлять префикс. Оператор с проверкой RPKI помечает каждый анонс как valid, invalid или unknown. Если ROA нет, подлинный анонс и подделка одинаково получают unknown, и отбрасывать нечего.

Случай 1. Ростелеком, 1 апреля 2020. Сеть Ростелекома (AS12389) объявила больше 8000 чужих префиксов, среди них адреса Google, Facebook, Akamai, Cloudflare и AWS. Источники называют причиной сбой «оптимизатора BGP». RPKI-валидация защитила тех операторов, которые её включили. Тот же инцидент описывает обзор dig.watch как перехват трафика сетей доставки контента.

Схема перехвата Ростелеком анонсирует больше 8000 чужих префиксов 01.04.2020, не установлено. Много префиксов. ROA у жертв не установлено
Условная схема: законный origin, хайджекер и 10 операторов, между ними расходятся два маршрута для одного префикса origin владельцы префиксов захват AS12389 хайджекер 1 2 3 4 5 6 7 8 9 10

Без ROA: фальшивый маршрут принят у 7 из 10 операторов. RPKI-валидация защитила тех операторов, которые её включили. Была ли ROA у самих жертв (сети Google, Facebook, Akamai, Cloudflare, AWS), корпус не устанавливает, поэтому поле roa пустое. Причину источники называют сбоем «оптимизатора BGP». Сколько операторов приняли маршруты, не установлено.

Схема, не реальная топология: число и расположение операторов условные, показан принцип выбора маршрута. Операторы со щитом при записи ROA отбрасывают маршрут с чужого origin. Без JS и при reduced motion показано конечное состояние.

Схема условная. Корпус не называет ни одного конкретного префикса 2020 года и не знает, была ли ROA у жертв. Поэтому режим «без ROA» или «с ROA» к этому случаю не привязан.

Случай 2. RTComm и Twitter, 28 марта 2022. Сеть RTComm (AS8342) около 45 минут анонсировала 104.244.42.0/24, префикс Twitter, как собственный. У Twitter была ROA с законным origin AS13414. Операторы с проверкой RPKI отбросили анонс RTComm как invalid, и глобально перехват не распространился. Но не везде: по обзору Internet Society Pulse, «внутренние» анонсы префиксов Twitter нашлись у 6 из 26 проверенных российских сетей, и часть из них попала в общую таблицу.

Схема перехвата RTComm анонсирует префикс Twitter 28.03.2022, около 45 минут. Префикс 104.244.42.0/24
Условная схема: законный origin, хайджекер и 10 операторов, между ними расходятся два маршрута для одного префикса origin AS13414 законный захват AS8342 хайджекер 1 2 3 4 5 6 7 8 9 10

С ROA: фальшивый маршрут принят у 2 из 10 операторов, отброшен у 3. Операторы с проверкой RPKI отбросили маршрут как invalid, глобально хайджек не распространился. По обзору Internet Society Pulse, часть внутренних анонсов всё же попала в общую таблицу.

Схема, не реальная топология: число и расположение операторов условные, показан принцип выбора маршрута. Операторы со щитом при записи ROA отбрасывают маршрут с чужого origin. Без JS и при reduced motion показано конечное состояние.

Что у AS61280. Теперь та же проверка для сетей ГРЧЦ. По сводке bgp.he.net, у AS61280 десять IPv4- и три IPv6-префикса, и ни у одного нет ROA. Валидатор routinator на проверенном /24 из 212.192.156.0/22 вернул unknown и пустой список ROA.

В этих префиксах стоят сайт rkn.gov.ru, реестры ЕАИС и персональных данных, а в блоке 185.224.228.0/24 — портал и почта ЦМУ ССОП. У AS213853 с префиксом 62.76.98.0/24 и у AS196641 с блоком 194.165.22.0/23 ROA нет по сводке корпуса; отдельного ответа валидатора для них не сохранено.

Защита другого рода есть, но слабее. В IRR лежат route-объекты для 212.192.156.0/22 и 185.224.228.0/24 с origin AS61280; под отдельные анонсируемые /24 объектов нет. Route-объект не подписан криптографически. Сам /22 в интернете не анонсируется: видны четыре отдельных /24.

Кто рядом. Ростелеком, которого разобрал ThousandEyes в 2020 году, стоит у AS61280 в политике импорта ANY и назван апстримом на bgp.tools. BGP служит и инструментом самой системы блокировок. По реконструкции конспекта лекции, списки блокировки доходят до балансировщиков второго эшелона через BGP. А среди мер новых правил централизованного управления, по пересказам, названо изменение маршрутов.

Совпадение номера. Серверы имён зоны rkn.gov.ru носят имена вида ns1.m-10.ru. Вершина домена m-10.ru разрешается в сеть M-10NET в AS8342. Это номер той же AS, что в 2022 году анонсировала префикс Twitter. Сами серверы имён стоят в адресах Ростелекома. О связи между операторами совпадение номера ничего не говорит.

AS61280 на карте сети Рядом: AS12389, AS8359, AS8631, AS199599 и ещё 7

Проверка

  • Источники инцидентов. Оба случая известны нам по публикациям, которые приводит корпус. Страницы мы не перечитывали, поэтому каждая улика помечена как заявление.
  • Два способа для AS61280. Сводка bgp.he.net и ответ routinator совпали: ROA нет. Раньше атлас писал «ROA нет» только про проверенные анонсы; проверка cl-024 остаётся открытой для AS213853 и AS196641, пока нет их собственных замеров.
  • Исправление про IRR. Ранняя заметка корпуса утверждала, что route-объектов нет. Это было неверно: покрывающие объекты есть.
  • Чего мы не делали. Новых замеров. Историю анонсов префиксов ГРЧЦ на предмет чужих origin мы не разбирали, поэтому случаев перехвата этих префиксов не называем.

Альтернативы

Оба случая — ошибки. Для 2020 года источники называют причиной сбой «оптимизатора BGP». Заголовок публикации Ars Technica о 2022 годе тоже называет эпизод вероятной ошибкой.

Анонс 2022 года — способ блокировки. Аналитик Kentik связал его с исполнением блокировок Twitter: по его словам, некоторые операторы выбирают BGP для отсечения трафика. Документа, который связывал бы анонс с указанием регулятора, в корпусе нет.

ROA у ГРЧЦ появятся в другой системе. РКН, по новости Хабра, планирует собственную инфраструктуру валидации маршрутизации. Если её запустят, записи могут появиться там, а не в RIPE. Это гипотеза корпуса, не факт.

Вывод

Российские сети дважды анонсировали чужие префиксы, и в 2022 году перехват остановила ROA жертвы. У AS61280 такой записи нет ни на одном префиксе, а у двух других AS ГРЧЦ нет по сводке корпуса. На 19 октября 2026 года сайт РКН и центр управления блокировками держатся на том, что никто не объявит их адреса своими. Умысла в инцидентах 2020 и 2022 годов мы не утверждаем.

Что неизвестно

  • Была ли ROA у сетей-жертв в 2020 году и сколько операторов приняли чужие маршруты.
  • Были ли случаи перехвата префиксов ГРЧЦ: историю анонсов мы не смотрели.
  • Что сказал бы отдельный замер для AS213853 и AS196641.
  • Запустят ли собственный RPKI и что в нём окажется.
  • Зачем RTComm объявил префикс Twitter: две версии, и ни одна не подтверждена документом.

Дальше

Кому принадлежит сайт, который эти маршруты должны защитить, — Кому принадлежит rkn.gov.ru. Как устроены сети ГРЧЦ — ФГУП «ГРЧЦ» и AS61280. Что считается уликой в атласе — Как мы это знаем.

Примечания

  1. заявление ThousandEyes: Ростелеком анонсировал чужие префиксы 1 апреля 2020 года. ThousandEyes, разбор инцидента, 2020-04-01.
  2. заявление 28 марта 2022: RTComm на 45 минут объявил префикс Twitter своим. Ars Technica, 2022-03-28.
  3. заявление ROA Twitter заставила операторов отбросить чужой анонс. MANRS, заметка о защите маршрутизации Twitter (по заголовку ссылки), 2022-03-28.
  4. реконструкция Без ROA чужой анонс выглядит так же, как свой. Рассуждение автора корпуса.
  5. заявление dig.watch: тот же инцидент описан как перехват трафика CDN. dig.watch, новостной обзор, 2020-04-01.
  6. заявление Internet Society Pulse: внутренние анонсы Twitter у 6 из 26 сетей. Internet Society Pulse, обзор, 2022-03-29.
  7. измерение bgp.he.net: у AS61280 нет ROA ни на одном из анонсируемых префиксов. Hurricane Electric, bgp.he.net, 2026-10-19.
  8. измерение RPKI: у проверенных анонсов нет покрывающих ROA. RIPE NCC, RIPEstat, 2026-10-19.
  9. измерение Имена в блоке 212.192.156.0/22: сайт РКН, ЕАИС, реестр ПДн, сайт ГРЧЦ. Собственное наблюдение, 2026-10-19.
  10. измерение noc.gov.ru и сервисы ЦМУ ССОП разрешаются в 185.224.228.0/24. Собственное наблюдение, 2026-10-19.
  11. измерение Сводка корпуса: ни у одного префикса трёх AS ГРЧЦ нет ROA. Сводка корпуса, заметка о BGP-безопасности ГРЧЦ, 2026-10-19.
  12. документ IRR: route-объекты есть только для покрывающих префиксов. RIPE NCC, RIPE Database, 2026-10-19.
  13. измерение Агрегат 212.192.156.0/22 не анонсируется, видны четыре /24. RIPE NCC, RIPEstat; bgp.tools, 2026-10-19.
  14. документ aut-num AS61280: CMU_GRCHC, политика импорта и экспорта. RIPE NCC, RIPE Database, 2026-10-19.
  15. измерение bgp.tools: наблюдаемые апстримы и пиры AS61280. bgp.tools, страница AS, 2026-10-19.
  16. реконструкция Реконструкция: правила на узлы приходят из центральной системы управления. Публичный репозиторий tspu-docs (GitHub), автор не указан.
  17. документ ПП № 1667 от 27.10.2025: правила централизованного управления до 2032 года. Официальный интернет-портал правовой информации; пересказы СМИ, 2025-10-27.
  18. измерение Владелец домена m-10.ru не установлен. Собственное наблюдение, 2026-10-19.
  19. измерение Серверы имён и почты rkn.gov.ru стоят в адресах Ростелекома. Собственное наблюдение, 2026-10-19.
  20. заявление Умысел или ошибка: версии о причине анонса Twitter. Ars Technica, 2022-03-28.
  21. заявление Хабр: РКН планирует собственную инфраструктуру валидации маршрутизации. Хабр, новость.