Блокировка QUIC и ECH
QUIC и ECH придуманы, чтобы прятать имя сайта. В России первый читают по имени в первом пакете, а второй блокируют для адресов Cloudflare.
Обычное HTTPS-соединение выдаёт наблюдателю имя сайта: оно стоит открытым текстом в начале рукопожатия (поле SNI). По нему и режет ТСПУ, когда блокирует по имени (Как работает блокировка). QUIC и ECH изобретали отчасти затем, чтобы эту видимость убрать. Реакция в России шла по двум линиям.
QUIC: сначала по версии, потом по имени
Первое правило, по Censored Planet (IMC 2022), было грубым: ТСПУ отбрасывал UDP-пакеты на порт 443 с полезной нагрузкой от 1001 байта и версией QUIC 0x00000001, а после срабатывания отбрасывал весь поток. Пакеты quicping и draft-29 на момент замеров не резались. Работа датирует включение 4 марта 2022 года.1
Потом правило стало умнее. По работе FOCI 2026, в мае 2022 года заблокирован международный QUIC, а затем ТСПУ перешёл на фильтрацию по SNI в первом пакете QUIC. Этот пакет шифруется ключом, который выводится из открытых данных пакета, так что наблюдатель может его расшифровать. После заблокированного пакета все пакеты того же потока отбрасываются 420 секунд, и каждый новый пакет с запрещённым именем перезапускает таймер.2
Той же механикой, по тем же измерениям, в 2024 году пользовались при ограничении YouTube: замедление и блокировка, 2024–2026: триггер на QUIC с 18 июля.3
ECH: блокировать не имя, а саму скрытность
ECH шифрует настоящее имя сайта внутри рукопожатия, оставляя снаружи только общее («внешнее») имя. Особенно это важно для сетей вроде Cloudflare, где за одним адресом много сайтов. По работе FOCI 2025, ТСПУ режет соединения с ECH к адресам Cloudflare, ориентируясь на внешнее имя: с мая 2024 года частично, с ноября 2024 года полностью. ECH не через Cloudflare в той же работе работал.4
Обзор сообщества описывает правило как срабатывание на сочетание: адрес Cloudflare, имя cloudflare-ech.com и расширение ECH в ClientHello.5 Это реконструкция, а не документ. Сводка по Freedom on the Net 2025 говорит о тысячах заблокированных в октябре 2024 года сайтов, работавших с ECH.6
Как это связано с остальным
С тем же Cloudflare связан и порог по объёму соединения: Cloudflare: порог около 16 КБ, 2025. VPN-протоколы, которые прячутся под обычный HTTPS, — Блокировка VPN: протоколы, сервисы и поведение. Как сообщество проверяет такие правила, — Как сообщество измеряет ТСПУ. Хронология — Хронология блокировок, 2018–2026.
Что неизвестно
- Действует ли блокировка ECH в октябре 2026 года. Последние наблюдения в корпусе заканчиваются 2024 годом, своих замеров мы не проводили.
- Работает ли фильтрация QUIC по имени не только для YouTube.
- Обрабатывается ли QUIC по IPv6 так же. В корпусе об этом ничего нет.
- Почему две работы расходятся по дате первой блокировки.
Примечания
- измерение IMC 2022: QUIC режется по версии в открытом заголовке и размеру пакета. Censored Planet, IMC 2022, 2022-03-04.
- измерение FOCI 2026: QUIC читают по имени в первом пакете, остаточная блокировка 420 секунд. FOCI 2026: On Russia's Early Introduction of QUIC SNI Censorship, 2023-07-01.
- измерение FOCI 2026: хронология YouTube — TLS с 11.07.2024, QUIC с 18.07.2024, блокировка с 08.08.2024. FOCI 2026: On Russia's Early Introduction of QUIC SNI Censorship, 2024-08-08.
- измерение FOCI 2025: ТСПУ режут ECH к префиксам Cloudflare, с мая 2024, полностью с ноября 2024. FOCI 2025: Encrypted Client Hello in Censorship Circumvention, 2024-11-21.
- реконструкция Реконструкция правила: адрес Cloudflare плюс имя cloudflare-ech.com плюс расширение ECH. Habr, обзор «Пожалуй, всё, что надо знать о ТСПУ», 2026-10-16.
- заявление Freedom House: в октябре 2024 заблокированы тысячи сайтов с ECH. Freedom House, Freedom on the Net 2025, по сводке корпуса, 2024-10-01.