DoH и DoT в России начали блокировать — не по IP, а по характеру трафика

Прочитал у Habr Infosec, что у нескольких российских провайдеров начали блокировать DoH и DoT — не по IP, а по характеру трафика. DoT ломается на уровне TCP-сессии, DoH — просто тихо гасится на этапе TLS-хендшейка. Система распознаёт DNS-запросы по SNI и другим признакам, даже если они идут через 443-й порт.

Понятно, что это не просто блокировка IP-адресов — это активное смотрение трафика. DoT легко распознать по порту 853, и его можно убить простым правилом. DoH сложнее, потому что он прячется в HTTPS-трафике, но DPI-система всё равно вылавливает его по SNI, cipher suite и JA3-фингерпринту. Это значит, что даже зашифрованный DNS не гарантирует анонимности в российской сети.

Считаю, что для владельца сайта это не прямая угроза, но важно понимать, что пользователи могут не видеть ваш сайт, если их DNS-резолвер подменён. Особенно критично для сервисов, где доступ по домену — единственный путь. Пользователь видит «домен не существует», хотя сайт жив.

У себя уже проверил, как ведут себя DNS-запросы в разных условиях. У клиентов, кто использует сторонние DNS, поставил в план на неделю проверку резолвинга и настройку резервных точек. Никаких срочных обновлений не нужно — но понимание, что DNS-подмена возможна, меняет подход к диагностике проблем. Главное — не принимать «не работает сайт» как техническую ошибку, а проверять, не блокируется ли трафик на уровне сети.