На ТСПУ зафиксировали перехват открытых DNS-запросов к Cloudflare и Google

Вечером 26 августа на оборудовании ТСПУ в сетях российских операторов связи начался масштабный перехват открытого DNS-трафика к зарубежным резолверам. Под перенаправление попали популярные адреса Google (8.8.8.8) и Cloudflare (1.1.1.1). Оборудование фильтрации выполняет принудительный DNAT для исходящих пакетов на 53-й порт. Трафик незаметно перенаправляется на узел Национальной системы доменных имён (НСДИ) с адресом 195.208.5.1. При попытке резолвинга заблокированных ресурсов вроде YouTube или Rutracker клиенты получают ответ NXDOMAIN.

Фильтрация пока затрагивает только UDP. При выполнении запросов через протокол TCP серверы по-прежнему отдают настоящие IP-адреса. Анализ сетевых дампов показал, что ТСПУ анализирует полезную нагрузку и подменяет адрес назначения только при обнаружении структуры DNS внутри UDP-пакета. Пакеты с произвольными данными проходят без модификации. Исследователи также зафиксировали сбои фильтрации: при отправке серии быстрых запросов часть пакетов успевает дойти до настоящих серверов.

Перехват открытого DNS стал продолжением ограничений протоколов DoH и DoT от Google и Cloudflare. Эти блокировки провайдеры начали внедрять с 21 августа. Изменения напрямую влияют на работу серверных окружений и CI/CD-пайплайнов, где адреса 1.1.1.1 и 8.8.8.8 зафиксированы в конфигурациях по умолчанию.