Telegram IP block на юге России

[pwd491]

Южане уже прочувствовали блокировку Telegram. Заблокированы IP-диапазоны, DPI здесь помочь не может. Насколько я понимаю, у телеграмма сейчас нет прыгающих IP.

Пробовал искать другой IP командой:
nslookup -port=53 www.telegram.org 1.1.1.1
Большинство популярных DNS выдают один и тот же IP.

[pwd491]

Менять DNS сервер не принесло удачи, всё те же IP. Обойти бан по айпи кажется невозможным.

Скорее всего, решения, кроме как VPN не будет. Стратегия региональной блокировки - банальное ограничиние доступа по IP телеграмма. До тех пор, пока телеграмм не съедет на другие диапозоны или владельцы ТСПУ не решат изменить стратегию бана (например начнуть сечь по domain), нам остаётся пользоваться VPN. Как показала практика, бан по IP не принесёт никаких результатов РСК, как это было в далёком 2018 году. Ждём и верим.

[NewUse]

не наводите паники раньше времени, во-первых при dpi менять один dns на другой бессмысленно при 53 портах
во-вторых doh никто не отменял
в-третьих есть бесплатные MTP

Но я бы начал именно с doh, а вот в его работе zapret может помочь, ибо это https.

[bol-van]

doh никакой магии не творит сам по себе. Он лишь шифрует запросы DNS до некого сервера.
Если заблокированы все IP, то никакая смена DNS не поможет.
А телеграм и должен быть заблокирован по IP, потому что протокол сигнатурно недетектируемый.
Пашок сейчас знаете сами где. Бороться не факт, что будут

[NewUse]

у телеги не один протокол, пуши ходят совсем отдельно, сервера в основных облаках, и явно не на одном ip, в прошлый раз пытались заблочить -- не удалось, если блочить по ip -- то блочить пол интернета, с DoH в отличие от dns просто перенаправить не выйдет, ибо заворачивать 443 никто не будет:)) ну и спец. проксёвый протокол никто не отменял, а если кто не подписался на соотв. канал с MT-проксями -- ссзб.

ну и рекомендую пользоваться приложениями, а не веб-версией, её заблочить проще.
и на сколько я помню сервера через пуши тоже доставляются, но если у вас нет плеймаркета/аппстора -- ссзб.

[pwd491]

Подскажите @bol-van, заметил что некоторые адреса дата-центров Telegram, отвечают на icmp запросы:

Где:
149.154.167.51 - адрес дата-центра к которому пытается подключиться клиент приложения
149.154.167.99 - адрес вебморды https://telegram.org (в глухом нокауте)

После увиденного, посеял надежду что возможно вернуть к жизни Telegram который уже больше 1.5 месяца неофициально заблокирован в СКФО.

Быстро набросал custom:

NFQWS_OPT_DESYNC_TELEGRAM="--dpi-desync=fake --dpi-desync-repeats=6 --dpi-desync-fooling=badsum"
TELEGRAM_PORTS=80,88,443,8443
TELEGRAM_SUBNETS="91.108.56.0/22 91.108.4.0/22 91.108.8.0/22 91.108.16.0/22 91.108.12.0/22 149.154.160.0/20 91.105.192.0/23 91.108.20.0/22 185.76.151.0/24"

TELEGRAM_SET_NAME=telegram
alloc_dnum DNUM_TELEGRAM
alloc_qnum QNUM_TELEGRAM

zapret_custom_daemons()
{
	# $1 - 1 - run, 0 - stop

	local opt="--qnum=$QNUM_TELEGRAM $NFQWS_OPT_BASE $NFQWS_OPT_DESYNC_TELEGRAM"
	run_daemon $DNUM_TELEGRAM $NFQWS "$opt"
}

zapret_custom_firewall()
{
	# $1 - 1 - run, 0 - stop

	local f
	local first_packets_only="$ipt_connbytes 1:9"
	local TELEGRAM_PORTS_IPT=$(replace_char - : $TELEGRAM_PORTS)
	local dest_set="-m set --match-set $TELEGRAM_SET_NAME dst"
	local subnet

	local DISABLE_IPV6=1

	[ "$1" = 1 ] && {
		ipset create $TELEGRAM_SET_NAME hash:net hashsize 8192 maxelem 4096 2>/dev/null
		ipset flush $TELEGRAM_SET_NAME
		for subnet in $TELEGRAM_SUBNETS; do
			echo add $TELEGRAM_SET_NAME $subnet
		done | ipset -! restore
	}

	f="-p tcp -m multiport --dports $TELEGRAM_PORTS"
	fw_nfqws_post $1 "$f $first_packets_only $dest_set" "" $QNUM_TELEGRAM

	[ "$1" = 1 ] || {
		ipset destroy $TELEGRAM_SET_NAME 2>/dev/null
	}
}

Запустил в debug:

IP4: 192.168.1.210 => 149.154.167.50 proto=tcp ttl=63 sport=50726 dport=443 flags=S seq=1591648970 ack_seq=0
desync profile search for tcp target=149.154.167.50:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=39 pass unmodified
packet: id=40 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.167.41 proto=tcp ttl=63 sport=50725 dport=443 flags=S seq=1618901505 ack_seq=0
desync profile search for tcp target=149.154.167.41:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=40 pass unmodified
packet: id=41 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.167.50 proto=tcp ttl=63 sport=50724 dport=443 flags=S seq=1033561046 ack_seq=0
desync profile search for tcp target=149.154.167.50:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=41 pass unmodified
packet: id=42 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.167.51 proto=tcp ttl=63 sport=50723 dport=443 flags=S seq=1271430864 ack_seq=0
desync profile search for tcp target=149.154.167.51:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=42 pass unmodified
packet: id=43 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.167.41 proto=tcp ttl=63 sport=50721 dport=443 flags=S seq=4245873398 ack_seq=0
desync profile search for tcp target=149.154.167.41:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=43 pass unmodified
packet: id=44 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.167.51 proto=tcp ttl=63 sport=50722 dport=443 flags=S seq=1884407220 ack_seq=0
desync profile search for tcp target=149.154.167.51:443 l7proto=unknown hostname=''
desync profile 1 matches
packet: id=44 pass unmodified
packet: id=45 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.166.111 proto=tcp ttl=63 sport=50810 dport=80 flags=S seq=3964158083 ack_seq=0
using cached desync profile 1
packet: id=45 pass unmodified
packet: id=46 len=64 mark=00000000
IP4: 192.168.1.210 => 149.154.166.111 proto=tcp ttl=63 sport=50811 dport=443 flags=S seq=1637424040 ack_seq=0
using cached desync profile 1
packet: id=46 pass unmodified

Бесконечный флуд SYN флагом а в ответ не приходит ничего, даже RST нету, что это за блокировка такая? Есть идеи как это обойти?

[bol-van]

Похоже на аппаратное ускорение offloading

[pwd491]

Похоже на аппаратное ускорение offloading

flow offloading выключен в фаерволе.

В дампе это выглядит вот так

Очевидно, что это блокировка, но не совсем ясно по какой стратегии и возможно ли эту блокировку обходить

[bol-van]

Еще может быть вариант с мостом. Просто так он не поднимется.
Для мостования нужны специальные ковыряния

[pwd491]

Еще может быть вариант с мостом. Просто так он не поднимется. Для мостования нужны специальные ковыряния

Если я не ошибаюсь, блокировка осуществляется по портам. Те адресса, которые доступны по пингу, отваливаются по таймату на nc -zv -w 2 tx.me 80-443. Запоет не может дурачить такое? блокчеком не нашло ничего абсолютно, немного странно что он пытается искать стратегии, когда в самом начале проверяется блокировка на порты

[bol-van]

порт блок нельзя пробить автономно