ТСПУ и DPI простыми словами: как в России блокируют сайты и VPN и сколько это стоит

ТСПУ — оборудование Роскомнадзора, которое по закону о «суверенном интернете» стоит в сетях операторов связи. Оно разбирает трафик технологией DPI и умеет блокировать и замедлять сайты и VPN. На его обновление в 2025–2030 годах заложено около 59 млрд рублей.

На этой странице

ТСПУ — «технические средства противодействия угрозам». Это оборудование, которое Роскомнадзор бесплатно передаёт операторам связи, а те обязаны поставить его в своих сетях. Через ТСПУ ведомство может управлять сетью централизованно: блокировать и замедлять сайты, сервисы и протоколы VPN, не дожидаясь, пока это сделает каждый провайдер. Внутри ТСПУ работает DPI — глубокий анализ пакетов: оборудование смотрит не только, куда идёт ваш трафик, но и как он выглядит.

Откуда взялись ТСПУ

ТСПУ появились по закону о «суверенном интернете», который подписали в мае 2019 года. Он добавил в закон «О связи» статью 65.1. По ней Роскомнадзор следит за работой интернета в России и при «угрозах устойчивости, безопасности и целостности» может управлять сетью связи сам — через ТСПУ или через обязательные указания операторам. Само оборудование ведомство предоставляет операторам бесплатно и устанавливает технические условия его подключения.

Есть и вторая статья — 65.2: управлять сетью можно по требованию Генерального прокурора, если в интернете массово распространяется информация, запрещённая статьёй 15.3 закона «Об информации». В требовании указывают ресурсы, срок и территорию — от всей страны до части региона.

Первым громким применением ТСПУ стало замедление Twitter: с 10 марта 2021 года Роскомнадзор замедлял его на всех мобильных устройствах и на половине стационарных.

Что такое DPI простыми словами

Обычное сетевое оборудование читает у пакета только «конверт»: откуда и куда он идёт. DPI (Deep Packet Inspection, глубокий анализ пакетов) заглядывает дальше — в то, что можно прочитать без ключей шифрования:

ТСПУ стоит в сети оператора между вами и интернетом и разбирает всё, что можно прочитать без ключей шифрования.

IP-адрес сервера, к которому вы подключаетесь.
Имя сайта. Когда браузер открывает защищённое соединение, он в самом начале называет адрес сайта открытым текстом — это поле SNI. По нему видно, что вы идёте, например, на youtube.com, хотя сама страница зашифрована.
Приметы протокола — размеры и порядок первых пакетов, характерные байты. По ним узнают, например, OpenVPN или WireGuard, даже не зная, куда идёт соединение.

Содержимое зашифрованных страниц — что вы читаете, какие пароли вводите, что пишете в мессенджерах — DPI не видит. Но чтобы заблокировать или замедлить соединение, этого и не нужно.

Что умеет ТСПУ

Исследователи Мичиганского и Аризонского университетов вместе с независимым специалистом ValdikSS измерили работу ТСПУ из России и снаружи и в 2022 году описали её в научной статье. Главное:

Блокировки срабатывают по трём признакам: имени сайта (SNI), IP-адресу и протоколу QUIC, на котором работают многие современные сайты и приложения.
Оборудование стоит прямо на пути трафика и следит за каждым соединением целиком, поэтому может оборвать его, отбросить пакеты или замедлить их.
Его много. По данным подведомственного Роскомнадзору ГРЧЦ на октябрь 2025 года, через ТСПУ проходит больше 132 Тбит/с трафика, а узлов с ними — 1406.
Оно близко к людям. Исследователи нашли больше миллиона адресов в 650 сетях (автономных системах) российских операторов, которые находятся за ТСПУ, и у 70% из них оборудование стоит не дальше двух узлов от конечного адреса.

На практике ТСПУ применяют так:

Способ	Как выглядит для вас	Пример
Блокировка по имени сайта или IP	Сайт не открывается, браузер пишет об ошибке соединения	Заблокированные сервисы и сайты VPN
Замедление	Сайт открывается, но видео и картинки грузятся бесконечно	Twitter в 2021 году, YouTube с 2024 года
Блокировка протокола	VPN подключается и сразу отваливается или не подключается вовсе	OpenVPN, WireGuard и IKEv2 — массово с августа 2023 года
Обрыв после первых килобайт	Соединение будто есть, но данные не идут	Летом 2025 года, по наблюдениям команды Amnezia, — после первых 16 КБ

Подробная хронология того, как блокировали VPN, — в статье Массовые блокировки VPN: что происходит.

Чем ТСПУ отличается от реестра Роскомнадзора

Реестр запрещённой информации появился раньше, в 2012 году. Ведомство вносит в него адрес, а доступ к нему обязан ограничить оператор связи; если у оператора стоят ТСПУ, блокировку по реестру может выполнять и это оборудование. Но ТСПУ умеют больше: через них Роскомнадзор управляет сетью централизованно — замедляет сервис, блокирует протокол, — и решение действует сразу во всех сетях, где стоит оборудование. В реестр такие меры не попадают.

Отсюда практическое следствие. Сервис проверки на blocklist.rkn.gov.ru прямо пишет, что ограничения по статьям 65.1 и 65.2 закона «О связи» в нём не отображаются. Поэтому замедленный сервис или заблокированный протокол VPN в реестре не найти. Как проверить сайт и что ещё может мешать ему открываться — в статье Сайты, заблокированные РКН: как проверить.

НСДИ: почему сайты пропадают из DNS

Тот же закон 2019 года создал национальную систему доменных имён (НСДИ). Это государственная «адресная книга»: по ней имя сайта превращается в IP-адрес, к которому подключается браузер. Операторы связи по закону обязаны пользоваться НСДИ, когда ищут адреса сайтов.

Если домен из НСДИ убрать, у таких операторов адрес сайта перестаёт находиться: браузер не может узнать, куда подключаться, и пишет, что страница не загружается или сайт не найден. Так в феврале 2026 года из НСДИ пропали youtube.com (10 февраля), whatsapp.com и web.whatsapp.com (11 февраля), а также домены Facebook, Instagram и Tor Project. Для пользователя это выглядит как блокировка: сайт «не найден», хотя сам он работает, — просто «адресная книга» перестала подсказывать к нему дорогу.

Сколько денег тратят на блокировку VPN

Точной цифры «на VPN» нет: деньги выделяют на всю систему фильтрации, а VPN — одна из её задач. Известно вот что:

Сентябрь 2024 года. По данным Forbes, в паспорте федерального проекта «Инфраструктура кибербезопасности» на модернизацию ТСПУ в 2025–2030 годах заложено 58,97 млрд рублей — на обновление и установку нового оборудования с учётом роста трафика. Одна из целей — к 2030 году повысить эффективность ограничения VPN до 96%.
Октябрь 2026 года. В проекте федерального бюджета на 2027–2029 годы на автоматизированную систему обеспечения безопасности российского сегмента интернета (АСБИ) предусмотрено 59,59 млрд рублей — примерно по 20 млрд в год, вдвое больше, чем было в прежнем плане. Деньги получит подведомственный Роскомнадзору Главный радиочастотный центр. Это проект: до принятия бюджета суммы могут измениться.

Расходы на систему безопасности Рунета (АСБИ) по годам — по данным SecurityLab о проекте бюджета на 2027–2029 годы.

Видит ли провайдер VPN

Провайдер видит, что вы соединяетесь с каким-то сервером, сколько данных передаёте и когда. Что внутри туннеля — какие сайты вы открываете и что пишете, — он не видит. А вот сам факт VPN DPI часто узнаёт по приметам протокола: у OpenVPN и WireGuard они яркие, поэтому эти протоколы в России и не работают.

Современные протоколы устроены так, чтобы не отличаться от обычного HTTPS. Например, VLESS с Reality для оборудования выглядит как защищённое соединение с обычным популярным сайтом. Такие протоколы блокировать сложнее, поэтому их стали закрывать по адресам: блокируют IP-адрес сервера или сразу целую подсеть хостера. Как устроены протоколы и что из них сейчас работает — в статьях Протоколы VPN: сравнение и что работает в России и VLESS и Reality: что это за протокол.

Что это значит на практике

Блокировки неодинаковы. ТСПУ стоят у каждого оператора отдельно и настраиваются по-разному, поэтому у одного провайдера сайт или VPN работает, а у соседнего — нет.
Предупреждений не бывает. Правила меняются централизованно и без объявлений: вчера работало, сегодня нет.
Реестр не всё объясняет. Если сайта нет в реестре, а он не открывается, причина может быть в ТСПУ, в НСДИ или в том, что сайт сам закрыл доступ из России.

Поэтому VPN в России важно не только «включить», но и держать в рабочем состоянии. Демьяныч работает на протоколе VLESS с Reality, а наши серверы проверяются из обычных российских сетей каждые 2 минуты: если какой-то перестал отвечать, автоматика ставит запасной, и приложение получает его при обновлении подписки. Как это устроено — Как это работает: включил и забыл.

Частые вопросы

Что такое ТСПУ простыми словами?

Технические средства противодействия угрозам — оборудование, которое Роскомнадзор бесплатно передаёт операторам связи и которое они обязаны установить в своих сетях. Через него ведомство может централизованно блокировать и замедлять сайты, сервисы и протоколы.

Что такое DPI?

Deep Packet Inspection — глубокий анализ пакетов. Оборудование смотрит не только, куда идёт трафик, но и как он выглядит: имя сайта в начале защищённого соединения, приметы протокола. Содержимое зашифрованных страниц DPI не читает.

Сколько денег тратят на блокировку VPN?

По данным Forbes, на модернизацию ТСПУ в 2025–2030 годах заложено 58,97 млрд рублей. В проекте бюджета на 2027–2029 годы на систему безопасности Рунета, частью которой считают ТСПУ, предусмотрено ещё 59,59 млрд — примерно вдвое больше прежнего плана.

Видит ли провайдер, что я пользуюсь VPN?

Провайдер видит, что вы соединяетесь с определённым сервером и сколько данных передаёте, но не видит, что внутри зашифрованного туннеля. Некоторые протоколы VPN DPI узнаёт по приметам, а современные маскируются под обычный HTTPS.

Что такое НСДИ и почему сайты пропадают из DNS?

Национальная система доменных имён — государственная «адресная книга» интернета, которой обязаны пользоваться операторы. Если домен из неё убрать, у этих операторов адрес сайта перестаёт находиться и браузер пишет, что сайт не найден. Так в феврале 2026 года пропали YouTube и WhatsApp.

Почему блокировки у разных операторов разные?

ТСПУ стоят у каждого оператора отдельно, близко к абонентам, и настраиваются по-разному. Поэтому один и тот же сайт или VPN у одного оператора работает, а у другого — нет, и картина меняется без предупреждений.