Мой VPN-сервер стоял на Hetzner, и из России он работал странно: одни подключения летали, другие висели до таймаута. Я начал разбираться и в итоге проверил 435 зарубежных хостингов. Большинство из них работает. А замораживают целые сети, вместе со всеми, кто в них арендует место. Ниже расскажу, кого именно, как это устроено и как за полминуты проверить свой сервер
С чего началось
На сервере у меня было два способа подключения. AmneziaWG работал быстро. Reality на том же сервере не подключался вообще: соединение открывалось и висело, пока не истекало время ожидания.
Сначала я решил, что мой адрес попал в чёрный список. Поднял на сервере страницу с файлом на 2 МБ и открыл её из России с выключенным VPN. Загрузка вставала на первых килобайтах, каждый раз на одном и том же месте. Из Европы тот же файл приходил за четверть секунды.
Потом я открыл тестовые файлы самого Hetzner, которые лежат на его серверах в Финляндии и Германии. Они вставали точно так же. Значит, дело не в моём адресе. Тестовые файлы OVH, Vultr и Scaleway повели себя так же, значит, дело и не в Hetzner.
Кого замораживают
Чтобы понять масштаб, я собрал публичные тестовые файлы хостингов, в основном из каталога looking.house, и написал скрипт. Он открывает к каждому файлу одно соединение и пробует скачать 256 КБ. Сначала я прогнал весь список из Европы, чтобы отсеять мёртвые точки. Осталось 435 точек у 154 компаний.
Потом тот же список из России. С домашнего интернета скачались 87 % точек. Остальные застряли почти на одном и том же объёме, около 16 КБ, хотя это разные компании на разных континентах. Мобильный Билайн дал ту же картину, а на небольшой выборке совпал и МТС. Значит, дело не в операторе: правило одно для всей страны.
Застрявшие точки собираются в 14 сетей, которые заморожены целиком:
Сеть |
Заморожено точек |
Кто ещё стоит в этой сети |
|---|---|---|
OVH (Франция, Канада, США) |
12 из 12 |
BlueVPS, IPhoster, KarasHost, SadeemRDP, ThomasHost |
GTHost |
11 из 11 |
Qyrax |
HostPapa |
7 из 7 |
RackNerd, DediRock, HostNamaste, Server Wala, SolaDrive |
DigitalOcean |
3 из 3 |
точки в Лондоне, США, Австралии |
M247 |
3 из 3 |
1Gbits, Hosteroid, servinga |
Hetzner (включая США и Сингапур) |
все |
Packetra |
Vultr, Scaleway, BuyVM, Clouvider, Glesys, iomart, TransitX |
все |
Ещё у трёх сетей не скачалась единственная проверенная точка. Это может быть и заморозка, и просто мёртвый тестовый сервер, поэтому я их не считаю.
Проходят, например, HostHatch, FlokiNET, Psychz, Shock Hosting, Free Range Cloud, AltusHost, Kuroit, Virtua, SpeedyPage, Time4VPS, Serverius, LiteServer и Google Cloud. Всего около 120 компаний. Рекомендовать их я не берусь: это только результат на дату замера.
Важна сеть, а не название хостинга
Сначала результаты выглядели случайными. У хостинга BlueVPS одни точки проходили, другие нет. Всё встало на место, когда я посмотрел, в чьей сети стоит каждая точка.
Многие небольшие хостинги не строят своих сетей. Они арендуют стойки и IP-адреса у крупного провайдера, и адрес сервера остаётся адресом этого провайдера: в интернете он объявлен от имени его автономной системы (AS), то есть его сети. Судя по результатам, ТСПУ решает именно по ней: принадлежит ли адрес назначения сети из списка. Название хостинга в этой цепочке не участвует.
Владельца сети легко проверить: whois или ipinfo по адресу сервера показывают номер AS и компанию. BlueVPS в собственной сети прошёл все 7 точек. Тот же BlueVPS в сетях OVH, Clouvider и Glesys заморожен. RackNerd, которого многие считают отдельным дешёвым хостингом, стоит в сети HostPapa и заморожен вместе с ней.
Страна тоже не спасает. У Hetzner в США и Сингапуре отдельные сети со своими номерами, и они заморожены так же, как европейские. OVH заморожен во Франции, Канаде и США. Похоже, в список вносят компанию целиком, со всеми её сетями.
Как устроена заморозка
Представьте почту, которая пропускает первые восемь писем от отправителя, а остальные молча выбрасывает. Ни отправитель, ни получатель об этом не узнают: письма просто перестают приходить. Примерно так это и работает.
Чтобы проверить, что именно считается, я поставил сервер в замороженной сети и записывал на нём каждый пришедший и ушедший пакет. С телефона в России я гонял несколько тестов, в том числе поток очень мелких пакетов по 200 байт.
Этот тест и дал ответ. Дома мелкие пакеты остановились на 4,8 КБ, а обычные на 33 КБ. Байтов в семь раз меньше, а пакетов в обоих случаях около 25. На мобильных Билайне и МТС порог ниже, около 8 пакетов.
Что из этого следует:
считаются пакеты, а не байты; известные «16 КБ» получаются просто из 25 обычных пакетов;
счётчик работает на одно соединение: тридцать коротких соединений прошли все, а по одному длинному прошли только первые куски;
замерзает в обе стороны: после порога до сервера перестают доходить и запросы с телефона;
соединение не обрывается и просто зависает, поэтому приложение не показывает ошибку сразу и ждёт;
на мобильном восьми пакетов не хватает даже на начало защищённого соединения, поэтому HTTPS и Reality не получают ничего. Именно поэтому мой Reality не работал совсем.
А AmneziaWG работал, потому что заморозка касается только TCP, обычного способа передачи данных для сайтов и большинства приложений. WireGuard и AmneziaWG работают по UDP, его заморозка пока не трогает.
Почему именно эти сети
Официально список никто не публиковал, но в нём заметна закономерность: это сети, где много VPN-серверов. Hetzner и DigitalOcean дешёвые, с почасовой оплатой, и россияне массово держат там личные VPN, об этом писали ещё летом 2025-го. M247 сама продаёт серверы под VPN, а адреса в её сети определяются как серверы CyberGhost, Hotspot Shield и других коммерческих VPN.
Но многие хостинги, тоже популярные у владельцев VPN, проходят, например HostHatch и FlokiNET. Похоже, замораживают самых крупных, где одно правило задевает больше всего серверов. Это догадка, и я буду рад объяснению получше.
Кто это делает
Оборудования я не вижу, но признаки указывают на ТСПУ, систему фильтрации, которая по закону о «суверенном интернете» стоит у всех российских операторов. Правила для неё задаёт Роскомнадзор (обзор). Три разных оператора ведут себя одинаково до пакета, а так бывает, только если правило спущено сверху. Это и не блокировка по адресу: при ней соединение не открывается вовсе.
Cloudflare описал то же самое ограничение в 16 КБ ещё в июне 2025 года и прямо писал, что его ставят российские провайдеры, среди них Ростелеком, МегаФон, Вымпелком (Билайн), МТС и МГТС.
Интересно, что сам Cloudflare сейчас проходит. Я проверил обычные сайты на нём, в том числе cloudflare.com, cdnjs, unpkg и jsDelivr, дома и на мобильном: все 36 попыток прошли. Список меняется, и иногда из него убирают. А Hetzner, DigitalOcean и OVH, которые пострадали тогда же, заморожены до сих пор.
Что делать, если ваш сервер заморожен
Узнайте, в чьей сети стоит сервер: адрес в ipinfo или whois покажет владельца. Если это OVH, M247, HostPapa или Hetzner, название хостинга на сайте уже неважно.
Убедитесь, что это заморозка: из России с выключенным VPN загрузка встаёт, а из-за границы проходит.
Если нужно срочно, поднимите WireGuard или AmneziaWG на том же сервере. Это временная мера.
Не тратьте время на новый адрес у того же провайдера или другой порт: новый адрес окажется в той же сети, а порт ни на что не влияет.
Переезжайте в сеть, которая проходит, и выбирайте её по замеру: отзывы тут не помогут. С почасовой оплатой сервер можно проверить за копейки ещё до переезда.
Держите запасной сервер в сети другой компании: список меняется.
Проверьте сами
Скрипт и список целей лежат в открытом доступе: freeze-check. Нужны только bash и curl. Работает на Linux, macOS и в Git Bash на Windows, ничего никуда не отправляет, а в результатах нет вашего IP.
Скачайте два файла:
mkdir freeze-check && cd freeze-check curl -fsSLO https://raw.githubusercontent.com/MarkSinD/freeze-check/main/freeze-check.sh curl -fsSLO https://raw.githubusercontent.com/MarkSinD/freeze-check/main/targets.tsv
Скрипт короткий, его стоит прочитать перед запуском. Потом:
bash freeze-check.sh scan --quick --wait
Флаг --wait позволяет запустить скрипт и только потом выключить VPN: он дождётся российского адреса и начнёт сам. Через полминуты вы увидите, какие сети замерзают на вашем подключении. Команда owner подскажет, в чьей сети ваш сервер и что я там намерил.
Ограничения
Замер сделан 5–6 ноября 2026 года одним человеком на двух подключениях в одном городе. Тестовые файлы хостинга могут стоять не в той подсети, что обычные серверы. AWS и Azure войдут в следующий прогон, а у Oracle, Contabo и Linode рабочих тестовых файлов не нашлось. Через неделю я повторю скан и обновлю цифры.
Вместо вывода
Если у вас другой оператор или регион, запустите скрипт и напишите в комментариях, какие сети замерзают у вас. А ещё лучше, пришлите результат через форму на GitHub, и я добавлю его в общую таблицу. Особенно интересны Tele2, МегаФон, Ростелеком и регионы.
В следующей статье расскажу, как мы за три дня потеряли три VPN-сервера и что из этого поняли.
Комментарии (77)
Litemanager_soft
10.11.2026 06:53да походу блокируют, ну а что сделаешь, время такое сейчас...
SONANT
10.11.2026 06:53Эх освоить бюджет наше все, пользы ровно 0, зато добавляем раздражителей, ничего полезного не делаем. И никто не понимает зачем!?
ulisma
10.11.2026 06:53Сейчас такое странное время. Открываешь российский веб-сайт и первая мысль "Откроется или нет?". Постоянно проблемы.
Зарубежные веб-сайты работают отлично, как раньше. Вот зачем только они все это затеяли. Ломают же все. Возвращаемся во времена медленного Интернета.
vladislav_lukashenko
10.11.2026 06:53Это все для нашего же блага, вы что, о нас думают и о России матушке
tequier0
10.11.2026 06:53Показалось, что попал на статью из 2024, но нет. Крепко Вы спали: крупные зарубежные хостеры заблокированы в РФ уже 2 года как.
Psykyler
10.11.2026 06:53Статья вполне актуальна и в 2026ом.
Если считаете устаревшей, тот просто не читайте...
liquidgel
10.11.2026 06:53Засланный просто старается актуализировать информацию за счет местных, даже скриптик заботливо подготовил
LinkToOS
10.11.2026 06:53Показалось, что попал на статью из 2024, но нет. Крепко Вы спали: крупные зарубежные хостеры заблокированы в РФ уже 2 года как.
Апрель 2024: Роскомнадзор частично заблокировал сайты 8 из 12 «приземляемых» хостингов за нарушения. Четыре (включая AWS и Hetzner) избежали полной блокировки.
Апрель 2025: РКН полностью заблокировал сайты 12 крупнейших зарубежных хостинг-провайдеров, за отказ компаний открывать представительства в РФ, регистрировать личные кабинеты на сайте ведомства и выплачивать наложенные штрафы.
Март 2026: Вступили в силу новые правила Минцифры и РКН из Постановления Правительства № 1667 (от 27 октября 2025 года), по которым деятельность любых иностранных хостинг-провайдеров и облачных платформ, не включенных в официальный реестр Роскомнадзора, считается угрозой устойчивости, безопасности и целостности Рунета.
Осень 2026: (Переходим к водным процедурам). В рамках пакетов поправок «Антифрод 2.0» и «Антифрод 3.0» теперь уже российских хостинг-провайдеров обязали полностью прекратить предоставление мощностей для размещения VPN-сервисов, прокси и любых средств обхода блокировок, а также жестко идентифицировать клиентов.
Продолжение следует.
msinakaev Автор
10.11.2026 06:53Сам факт заморозки - да, его ещё в июне 2025 описал Cloudflare
Мне хотелось ответить на другие вопросы: кого именно морозят сейчас, почему перепродавцы попадают вместе с чужой сетью и что именно считается — пакеты, а не байты
До Hetzner у меня было 3 сервера на VDSka.ru . Доступ на сервера пропал почти одновременно, скорее всего порезали провайдера с сетями, а не просто IP заблокировали
denisgrigoriev04
10.11.2026 06:53А какой смысл в передаче 16кб (или даже в несколько раз меньше)?
За это время можно понять это хорошие или плохое зашифрованное соединение? И что тогда хорошее соединение?
Или это диверсант создал уязвимость для vpn протокола? (Создал TCP соединение передал 2 байта, закрыл, создал новое TCP соединение, передал 2 байта)
Radjah
10.11.2026 06:53Скорее всего набирается какая-то статистика или дамп для определения профиля трафика.
denisgrigoriev04
10.11.2026 06:53Что можно что-то найти в 16 кб? Не говоря уже об отсутствии меток класса
0ka
10.11.2026 06:53client hello SNI, SNI из белого списка (напр 4pda.to) не "замораживают" соединение. ssh протокол так же в белом списке.
подробнее есть у меня в самой первой статье
Serge78rus
10.11.2026 06:53А может просто логика принятия решения пустить или нет работает не в реальном времени? Началось соединение - для начала его пропускают и параллельно запускают задачу определения пустить или нет, когда задача выполнилась и выдала результат "не пущать", тогда соединение рубится.
pes_loxmaty
10.11.2026 06:53Видимо чтоб реконнектов было поменьше.
Соединение то устанавливается успешно, данные идут, но потом тишина. Повторное подключение случится только когда по таймауту чтения отпадешь.
denisgrigoriev04
10.11.2026 06:53А что плохого в коннектах? И почему не резать прямо на уровне ip протокола?
3cky
10.11.2026 06:53Так как цель государства тут состоит в том, чтобы испортить жизнь своим гражданам, то чем дольше происходит реконнект и чем хуже он выглядит с точки зрения пользовательского опыта, тем для РКН лучше.
JBFW
10.11.2026 06:53Вот вы наверное ёрничаете, а ведь это так и есть.
Сидит баба Маша, тыкает в ссылки в "Интернете", а там всякая иностранщина не грузится, а всякое импортозамещенное грузится.
Потому что нас там не любят, вот почему, и интернет там плохой у них!
mayorovp
10.11.2026 06:53То, что новый коннект может пойти на другой IP-адрес, который ещё не в бане.
K0styan
10.11.2026 06:53Если соединение просто не состоится - значит, его кто-то зарубил. А если состоялось, а потом заглохло - можно свалить на "деградацию серверов".
msinakaev Автор
10.11.2026 06:53мои тестовые файлы по обычному HTTP без шифрования замерзали так же, как HTTPS. Решение принимается по сети назначения. Если она в списке, любое TCP-соединение получает около 25 пакетов через WI-FI и около 8 на мобильном, дальше тишина
Зачем пропускать первые пакеты, могу только гадать: так дёшево, и соединение не рвётся, а зависает, поэтому пользователь видит бесконечный Loading
Короткие соединения правда проходят, счётчик у меня стоял на одно соединение. Но на мобильном 8 пакетов меньше TLS-рукопожатия, так что шифрованное соединение даже не успевает открыться
Hint
10.11.2026 06:53Чтобы прочитать sni? Чтобы избранные домены можно было внести в белые списки и не блокировать их даже в заблокированных сетях?
Radjah
10.11.2026 06:53Особенно «весело», когда из‑за подобный чехарды без приседаний прошивку устройства обновить не получается.
Купил читалку, читалка показывает наличие обновления прошивки, но скачать не может, потому что 16 килобайт и гуляй. Пришлось руками всё делать.
У — Удобно
igorkis
10.11.2026 06:53У меня так в июне 2026-го NAS от Ugreen внезапно перестал обновляться - видит, что обновление есть, а скачать его не может. С тех пор накатываю обновления приложений и прошивок руками.
An_Tosha
10.11.2026 06:53Камеры Xiaomi в апреле отвалились.
Они цепляются через облако. Облако недоступно, камера - кирпич.
Но есть подозрение, что тут не совсем РКН, так как вылечилось крайне внезапно: выставлением в настройках приложения страны - надо указать Беларусь вместо РФ.
qclo66
10.11.2026 06:53Если бы только прошивки, у моего провайдера весной были какие-то тесты, что ни с одного репозитория нельзя было обновить Arch. Все зеркала, даже на яндексе не работали, несколько мегабайт скачиваешь, а потом нефиг. Хз, что за концлагерь они нам готовят, видимо похлеще КНДР.
JBFW
10.11.2026 06:53у нас много хороших разработчиков, решающих интересные технические задачи...
Думать о том, как их потом будут применять - это надо отвлечься от интересной задачи и подумать о неинтересном.
aax
10.11.2026 06:53Примечательно, что любимый мной интернет-телекал “Первый Музыкальный RU HD” (потоковое вещание http://rtmp.one.by:2300), с сеткой вещания формируемой в союзной по единому государству Белоруси, сейчас идет у меня в РФ только со средствами обхода блокировок.
qclo66
Хорошая попытка, товарищ майор.
hopsayer
С другой стороны, это может иметь смысл, потому что у РКН у самого своя статистика и списки забаненных и так уже есть, а сообществу неплохо бы иметь свою, даже если РКН будет её видеть. Выглядит так, что это не сделает хуже, что всё и так уже есть.
Но я не претендую на истину.
qclo66
Товарищ майор, мы знаем, что это все для нашего блага.
Kenya-West
Я товарищ моёр. Уважаемый @qclo66! Вы понижены до звания лейтенанта за разглашение секретов сея ТСПУ и РКН в частности!
msinakaev Автор
Скрипт ничего никуда не отправляет, это видно в коде (bash + curl, ~300 строк)
Результат лежит у вас локально, без IP