Заблокирован ли IP сервера: как проверить и что это значит

1. Что называют блокировкой: три разные вещи

Снаружи все они выглядят одинаково — сервер не отвечает. Но проверяются и решаются по-разному, поэтому первым делом их нужно развести. Четвёртый случай в списке ниже — вообще не ограничение, и начинать стоит с него: он самый частый.

За первыми двумя случаями стоит оборудование, которое называют ТСПУ — технические средства противодействия угрозам. Selectel описывает его в своей документации как комплексы анализа трафика, которые устанавливают на узлах связи по требованию Роскомнадзора; фильтровать они могут по адресам, по имени запрашиваемого сайта, по признакам протокола и другим критериям. Важная для нас деталь оттуда же: оборудованием управляет Центр мониторинга и управления сетью связи общего пользования, а сами операторы связи доступа к нему не имеют. Поэтому спрашивать «за что меня заблокировали» бесполезно — ответить некому, и остаётся измерять.

2. Проверка 1: доходит ли соединение до порта

Главная проверка. Она пытается установить TCP-соединение с вашим портом одновременно с российских узлов и с зарубежных — и по разнице между ними видно, где именно теряется трафик. Сервер для неё не нужен, достаточно браузера.

1. Откройте check-host.net/check-tcp?lang=ru. Приписка в конце переводит интерфейс на русский — с ней названия кнопок будут такими, как написано здесь.
2. В поле впишите адрес и номер порта через двоеточие: 203.0.113.10:443. Номер берите тот, что вас интересует: у сайта это 443, у подключения по SSH — 22, у игрового или прикладного сервиса — его собственный.
3. Нажмите кнопку TCP-порт. Проверка идёт примерно с полусотни узлов в разных странах, из них три российских: два в Москве и один в Санкт-Петербурге. В таблице они подписаны как Russia, Moscow и Russia, Saint Petersburg.
4. Дождитесь заполнения таблицы и сравните строки российских узлов со строками зарубежных — например, немецких или нидерландских.

Каждый узел отчитывается одной строкой: либо сколько заняло подключение, либо чем оно закончилось. Всего таких ответов три:

Дальше читается сама картина:

• Зарубежные узлы подключаются, российские дают тайм-аут — до адреса не доходит трафик именно из России. Это и есть ограничение адреса.
• Тайм-аут отовсюду — сервер выключен, порт закрыт межсетевым экраном или адрес отключён на стороне хостинга. Проверьте правила и в панели хостинга, и на самом сервере, а заодно статус услуги.
• Отказ отовсюду — сеть в порядке, на порту никто не слушает. Ищите причину на сервере.
• Подключаются все узлы — на уровне соединения препятствий нет. Переходите ко второй проверке: она смотрит на вашу собственную сеть.

Обязательный контрольный замер

Узлы проверки — обычные серверы, и они ломаются. Российских узлов всего три, поэтому один неисправный портит треть картины. Пока мы готовили эту статью, один из двух московских узлов отвечал тайм-аутом на все адреса, которые мы проверяли, включая заведомо доступные, — по нему одному вердикт был бы неверным.

Поэтому сразу после своей проверки прогоните вторую, по адресу, который доступен точно. Подойдёт ya.ru:443. Узлы, которые не смогли подключиться и к нему, из рассмотрения исключите: они сломаны, а не что-то нашли. Замер занимает те же полминуты и отсекает самую частую ошибку в толковании результата.

3. Проверка 2: из своей сети

Чужие узлы показывают картину в среднем по стране, а вас интересует своя сеть. Эта проверка делает то же самое TCP-подключение с вашего компьютера — одной командой, которая в Windows и macOS есть изначально.

Windows. Откройте PowerShell (правой кнопкой по кнопке «Пуск» — Терминал или Windows PowerShell) и выполните:

Test-NetConnection -ComputerName 203.0.113.10 -Port 443

Смотреть нужно на строку TcpTestSucceeded: True — соединение с портом установилось, False — нет. Если в выводе хочется видеть только ответ, допишите в конец -InformationLevel Quiet — тогда команда напечатает одно слово, True или False. Думает она до полуминуты, это нормально.

Linux и macOS. В терминале:

nc -vz -w 5 203.0.113.10 443

В macOS утилита уже есть, в Ubuntu ставится командой sudo apt install -y netcat-openbsd. Ответов, как и в первой проверке, три, и различать их проще всего по одному слову — succeeded, refused или timed out:

Connection to 203.0.113.10 443 port [tcp/https] succeeded!
nc: connect to 203.0.113.10 port 443 (tcp) failed: Connection refused
nc: connect to 203.0.113.10 port 443 (tcp) timed out: Operation now in progress

Домашний интернет против мобильного

Теперь то же самое во второй сети. Проще всего раздать интернет с телефона и повторить команду через него. Условие одно: вторая сеть должна принадлежать другой компании — домашний провайдер и его же оптика в соседней комнате за две сети не считаются.

• В одной сети подключается, в другой нет — это фильтрация, и сервер тут ни при чём. Две компании настроили своё оборудование не одинаково, вот вы и видите разницу. Доказательства надёжнее в домашних условиях не получить.
• Не подключается ни из одной вашей сети, хотя проверка 1 показала открытый порт — фильтрация работает у операторов, через которых вы выходите в интернет. Именно тот случай, ради которого эта проверка и делается.
• Подключается из обеих сетей — на уровне соединения всё хорошо. Причина отказа лежит выше: в самой программе, в её настройках или в разборе содержимого трафика.

4. Ваш адрес или весь диапазон

Если проверки показали, что адрес фильтруется, остаётся один важный вопрос: под ограничение попал ваш конкретный адрес или диапазон целиком. От ответа зависит, поможет ли смена адреса у того же хостинга: в пределах отфильтрованного диапазона новый адрес отвалится следом, обычно быстро.

Шаг 1. Найти границы диапазона

Быстрое правило: соседями считаются адреса, у которых совпадают первые три числа. У адреса 203.0.113.10 это всё от 203.0.113.1 до 203.0.113.254.

Точный ответ даёт база RIPE. Откройте в браузере адрес stat.ripe.net/data/network-info/data.json?resource=203.0.113.10, подставив свой адрес, и найдите в ответе поле prefix. Запись вида 203.0.113.0/24 означает диапазон из 256 адресов, у которых совпадают первые три числа, — то самое быстрое правило. Число меньше 24 означает диапазон крупнее.

Шаг 2. Проверить соседей

Возьмите два-три других адреса из того же диапазона: соседний и ещё пару подальше, не выходя за последнее число 254. Прогоните по каждому ту же проверку TCP из раздела 2, но по порту 22 — подключение по SSH открыто на большинстве серверов, и ответ по нему приходит почти всегда. Своего порта у соседа вы не знаете, а он и не нужен: важно не то, работает ли там что-нибудь, а доходят ли до соседа пакеты.

Ключ к чтению результата — сравнение российских узлов с зарубежными по каждому соседу:

Проверьте два-три адреса, а не один: попасть на выключенный сервер легко. И держите в уме, что это оценка, а не доказательство. Соседний адрес мог быть настроен как угодно, а ограничения накладывают не обязательно ровно на границах диапазона. Твёрдый ответ даёт только проверка на деле: попросить у хостинга адрес из другой подсети и посмотреть, что изменится.

Заранее знать, чем закончится смена адреса, нельзя, и обещать этого не может никто. Selectel в той же документации пишет об этом прямо: смена IP-адреса не гарантирует решение проблемы с трафиком. В это упирается любой хостинг: другой адрес он вам выдаст, а до оборудования, которое фильтрует трафик, не дотягивается — стоит оно у операторов связи и управляется не им.

5. Реестр Роскомнадзора: что там есть и чего там нет

Единый реестр запрещённой информации — открытый механизм: в него вносят доменные имена, указатели страниц и сетевые адреса, доступ к которым ограничивают из-за размещённой на них информации. Проверить один ресурс может кто угодно, а полный список выгружают только операторы связи с российской лицензией.

• eais.rkn.gov.ru — форма проверки наличия в едином реестре. Принимает и доменное имя, и IP-адрес.
• blocklist.rkn.gov.ru — универсальный сервис проверки ограничения доступа к сайтам и их страницам.

Проверять стоит и домен, и адрес — это разные записи. Домены сайта у вас перед глазами, а адрес показывает панель хостинга; если сайтов несколько, проверьте каждый.

И тем не менее проверять его стоит, особенно владельцам сайтов. Ограничение по адресу задевает всё, что на этом адресе размещено, — а попасть в реестр адрес мог и до вас: хостинги выдают освободившиеся адреса новым клиентам. Если ваш адрес в реестре нашёлся, а никакого запрещённого содержимого у вас нет, это разговор с поддержкой хостинга о смене адреса, и разговор предметный: у вас на руках запись из официального списка.

6. Вердикт и что он меняет

Соберите результаты проверок вместе. Каждой картине соответствует один вердикт и одно направление действий — дальше по ссылкам.

Что делать по каждому вердикту, подробно разобрано отдельно. Если сломалось на сервере и подозрение на межсетевой экран — правила UFW разобраны в статье про базовую защиту сервера. Если фильтруется адрес или разбирают содержимое, а на сервере у вас личный VPN, — порядок действий по каждому вердикту собран в разборе отказа VLESS: что менять в настройках, почему порт 443 трогать не нужно и чем второй протокол отличается от второго сервера.

Отдельно стоит сказать о том, чего вердикт не обещает. Результат верен на момент проверки: настройки фильтрации меняют волнами, ограничение бывает временным, и, как отмечает Selectel, проблема может иметь как постоянный, так и плавающий характер. Поэтому не переделывайте ничего в тот момент, когда доступ вернулся сам: любая правка совпадёт с восстановлением, и вы решите, что помогла именно она.

7. Частые проблемы

8. Частые вопросы