Власти усиливают давление на частные DNS и личные серверы. Пример Xbox DNS

Госдума, кстати, готовит новые ограничения и штрафы для владельцев DNS и личных серверов
Аватар - Теплица социальных технологий
Теплица социальных технологий
ВРЕМЯ НА ЧТЕНИЕ 19 МИН
12 октября 2026
Что это за рубрика

В рубрике «Разбор Теплицы» мы в режиме реального времени разбираемся в определённой проблеме, новостях интернет-цензуры и рассказываем:

  • что происходит;
  • как это устроено;
  • как с этим можно бороться.

7 октября 2026 года хостер Selectel по запросу ЦМУ ССОП (Центр мониторинга и управления сетью связи общего пользования, часть структур Роскомнадзора) заблокировал аккаунт частного DNS-сервиса Xbox DNS. На следующий день ЦМУ ССОП прислал хостеру «обязательное к выполнению указание» со сроком чуть больше суток .

Это не единичный случай: давление на хостеров и их клиентов (разработчиков различных сервисов и личных серверов) нарастает с декабря 2025 года. Очевидно, что власти при помощи ТСПУ борются с частными DNS. На нашей измерительной точке ШПД в Санкт-Петербурге старый адрес сервиса Zapret DNS не отвечает ни по одному протоколу, хотя с остальных четырех наших точек, включая два дата-центра в России, сервер отвечает, то есть он работает 

В этой статье мы разберем, как давят на частные сервисы и их клиентов через хостеров, что мы увидели в своих замерах 11 октября 2026 и что с этим делать разработчикам.

Как нарастает давление на частные DNS и серверы

  • Декабрь 2025. РКН, как писал Хабр, прислал хостеру Aeza список адресов из его сети и потребовал за 24 часа убрать с них VPN, иначе пригрозил заблокировать весь хостинг. Aeza потребовала от клиентов прислать скриншот удаления.
  • Июнь 2026. Госдума приняла в составе «Антифрод 2.0» запрет хостерам предоставлять мощности для средств обхода блокировок, мы разбирали эти поправки в мае. Путин подписал Федеральный закон от 26.06.2026 № 210-ФЗ «О внесении изменений в Федеральный закон „О связи“ и отдельные законодательные акты Российской Федерации»
  • Август-Сентябрь 2026. РКН перешел от точечных блокировок VPN к блокировке целых подсетей хостеров. Хостер переслал владельцу личного VPS указание ЦМУ ССОП. После выборов в Госдуму не менее десяти VPN-сервисов сообщили о новой волне блокировок. Xbox DNS 23 сентября сообщил, что DNS-запросы по UDP к двум его основным адресам перестали проходить, а 30 сентября сообщил, что еще три адреса его прокси стали недоступны из России
  • 1 октября. Минцифры выложил на обсуждение законопроект «Антифрод 3.0» с годовым запретом на аренду серверов (подробнее ниже) 
  • 7-9 октября. Selectel заблокировал аккаунт Xbox DNS по запросу ЦМУ ССОП (подробнее ниже). 9 октября проект Zapret запустил свой сервис Zapret DNS.

Как работают частные DNS, такие как XBOX DNS с прокси и чем они отличаются от VPN?

Обычный DNS-резолвер получает имя сайта и возвращает его настоящий адрес. DNS с прокси (Smart DNS) для доменов из определенного списка возвращает адрес собственного прокси-сервера. Браузер или приложение подключается к этому прокси серверу, а прокси-сервер пересылает соединение на настоящий сайт. Сайт видит запрос не из России, а с прокси-сервера сервиса. Остальные домены такой DNS резолвит как обычно, и их трафик идет напрямую. Например, Comss DNS вместо адреса chatgpt.com отдает адрес своего прокси, это показал автор статьи на Хабре.

Обычный VPN заворачивает в зашифрованный туннель весь трафик устройства, а Smart DNS перенаправляет только запросы к отдельным сайтам и собственного шифрования не добавляет. Таким образом пользователю не нужен ВПН (для доступа к незаблокированным в РФ сервисам но которые ушли из РФ сами), он прописывает адрес DNS такого сервиса в настройках устройства, телефона, роутера или игровой консоли.

Xbox DNS появился как способ подключиться к сети консоли Xbox (с Microsoft сервис  не связан), а потом открыл доступ к популярным ИИ-сервисам и другим ресурсам, которые не заблокированы в РФ, но сами закрыли доступ пользователям из РФ. Люди при этом пользуются такими сервисами как одним из способов обойти ограничения, примерно как бесплатным WARP от Cloudflare. ЦМУ ССОП в указании назвал ресурсы Xbox DNS средством доступа к ограниченной информации «с использованием VPN-сервиса». 

Мы проверили, что некоторые частные DNS отвечают на ИИ-домены 11 октября

Резолвер Что отдает на chatgpt.com, claude.ai, gemini.google.com
НСДИ, публичный DNS MSK-IX настоящие адреса сайтов; но сами сайты не пускают пользователей из РФ 
Xbox DNS 0.0.0.0 — адрес-заглушка, соединиться по нему нельзя, приложение сразу получает ошибку
Zapret DNS, GeoHide, Comss DNS  адреса своих прокси-серверов
DNS-AI на chatgpt.com и claude.ai адреса прокси, но только на ШПД и в дата-центре в Санкт-Петербурге; в дата-центре в Москве и на точках в ЕС настоящие адреса 

Замер 11.10.2026, пять точек откуда мы проверили

С нашей точки резидентского ШПД в ЕС мы подключались напрямую к прокси Xbox DNS и пытались соединиться с разными сайтами. Прокси соединил только с сервером Xbox, а с chatgpt.com, example.com, nvidia.com и meduza.io соединять отказался. То есть он работает по своему списку

Список нужен, потому что открытым прокси некоторые пользуются не по назначению. Xbox DNS сам писал, что его прокси перепродавали в чужих платных сервисах и гоняли через них трафик WARP. 30 сентября сервис закрыл порт, через который шли VLESS-туннели и domain fronting: клиент называет прокси один сайт, а внутри зашифрованного соединения запрашивает другой и таким образом обходит блокировки бесплатно используя чужой сервер.

Как ЦМУ ССОП заставляет хостеров бороться со средствами обхода 

7 октября Selectel заблокировал аккаунт Xbox DNS. Хостер написал сервису, что получил от ЦМУ ССОП информацию о «средствах обхода блокировок» на его адресах, и сослался на пункт 1.1 правил (копия), который запрещает действия против предписаний органов власти. Что хостер именно Selectel, мы установили по открытым данным: whois, номерам автономных систем и DNS-серверам домена xbox-dns.ru. Вечером того же дня Xbox DNS вернул часть сервисов. 8 октября ЦМУ ССОП, подразделение подведомственного РКН ГРЧЦ, направил Selectel «обязательное к выполнению указание»: прекратить использование мощностей на адресах сервиса до 16:00 9 октября и в тот же срок отчитаться.

Постановление правительства № 1667 утвердило Правила централизованного управления сетями, они действуют с 1 марта 2026 года. Правила называют хостеров среди лиц, которым ЦМУ ССОП передает указания, и обязывают их принять все меры для исполнения в срок из самого указания. Способа оспорить указание Правил у хостера нет.

Xbox DNS с декабря 2025 года сам закрывал лазейки, но Selectel заблокировал аккаунт по первому сигналу ЦМУ ССОП, еще до официального указания. То есть, даже формальное выполнение требований не гарантирует, что регулятор не признает сервис средством обхода блокировок. 

Хостеров и их клиентов хотят штрафовать

За неисполнение указания ЦМУ ССОП хостер отвечает по части 1 статьи 13.45 КоАП. Юрлицо платит от 40 до 120 тыс. рублей, должностное лицо от 10 до 30 тыс. А с 1 февраля 2024 года хостер не вправе работать без записи в реестре РКН, и за это часть 1 статьи 13.54 КоАП  назначает юрлицу от 600 тыс. до 1 млн рублей, поэтому хостеру дешевле отключить клиента, чем рисковать отношениями с регулятором.

У клиента хостера порядка обжалования нет вовсе: ты либо соглашаешься с требованиями, либо уходишь.

Минцифры в законопроекте «Антифрод 3.0» предлагает закрепить ответственность клиентов: ввести реестр лиц, которые размещают у хостеров средства доступа к заблокированным ресурсам и не выполняют требования статьи 15.8. Если законопроект примут (в чем сомнений мало): остер перед арендой будет идентифицировать клиента, узнать цель использования серверов и сверить его с реестром, а клиентам из реестра — не будет предоставлять мощности год. При этом сама установка VPN или прокси в законопроекте прямо не названа основанием для запрета. Если проект примут, нормы вступят в силу 1 марта 2028 года. Сейчас проект на стадии обсуждения, в Госдуму его еще не внесли.

Как указания доходят до владельцев личных серверов

В августе 2026 года хостер переслал владельцу одного из VPS указание ЦМУ ССОП. Сервер через WireGuard соединял две его локальные сети, и публичного сервиса на нем не было. Указание от ЦМУ совпадает с письмом регулятора Xbox DNS почти дословно: те же ссылки на закон «О связи» и Правила, та же формула «прекратить использование вычислительных мощностей для противодействия (затруднения) ограничению доступа». Поддержка хостера ответила клиенту, что критерии проверки ЦМУ ССОП ей неизвестны. Хостер потребовал полностью выключить WireGuard, тогда владелец VPS переехал к другому хостеру.

Так что под ту же процедуру, что и публичный сервис, может попасть и тот, кто держит VPN-сервер для себя на российском хостинге.

Что и как мы проверили

Мы измерили 11 октября 2026 года с пяти точек: 

  • резидентское подключение (ШПД) в Санкт-Петербурге;
  • дата-центр в Москве;
  • дата-центр в Санкт-Петербурге;
  • эталон: резидентское подключение (ШПД) в ЕС;
  • эталон: дата-центр в ЕС.

IPv6 есть только на трех точках в дата-центрах, поэтому IPv6-адреса резолверов мы проверили только там.

Каждый резолвер мы спрашивали по четырем транспортам, если он их поддерживает: UDP на порт 53, TCP на порт 53, DNS over TLS (порт 853) и DNS over HTTPS (порт 443). Тип записи A. На основных адресах резолверов мы спрашивали 30 доменов, на вторых адресах, старых адресах и IPv6-адресах 14. Домены разбиты на группы: 

  • мессенджеры: whatsapp.com, telegram.org, signal.org;
  • СМИ: meduza.io*, bbc.com, novayagazeta.eu;
  • технические: protonvpn.com, te-st.org, github.com;
  • контрольные: microsoft.com, nvidia.com, example.com, ya.ru, vk.ru;
  • “замедляемые”: youtube.com, apple.com
  • CDN: cdnjs.cloudflare.com, fastly.net, ajax.googleapis.com, cdn.jsdelivr.net;
  • «Википедия»: ru.wikipedia.org, en.wikipedia.org, www.wikipedia.org, upload.wikimedia.org
  • ИИ: chatgpt.com, claude.ai, gemini.google.com
  • сервисы с гео-ограничениями: xsts.auth.xboxlive.com, open.spotify.com
  • служебный: whoami.akamai.net

Мы записывали сами ответы, задержку, а если ответа не было, тип ошибки . Служебный домен whoami.akamai.net показывает адрес, с которого резолвер пошел дальше за ответом. Каждую точку мы прогнали три раза. Обычно в выводы шел самый частый ответ из трех. Там, где ответы менялись от прохода к проходу, мы приводим долю ответов.

Резолвер Адреса Где сервер Сеть
Google, Cloudflare (эталон) 8.8.8.8, 1.1.1.1 anycast AS15169, AS13335
НСДИ 195.208.4.1, 195.208.5.1 Москва AS41740
Публичный DNS MSK-IX 62.76.76.62 Москва, anycast AS43832
Xbox DNS, актуальные 111.88.96.54, .55, .56 и IPv6 Москва AS50340, Selectel
Xbox DNS, старые 111.88.96.50, .51; 87.228.47.200, .201 Москва; Санкт-Петербург AS50340, AS49505, Selectel
Zapret DNS, актуальный 83.217.211.149 Нидерланды AS41745, сеть зарегистрирована в РФ
Zapret DNS, старый 144.31.82.230 Финляндия AS207957
Comss DNS 83.220.169.155, 212.109.195.93 Москва AS29182
DNS-AI 192.144.59.14, 186.246.49.127 Москва и Ленинградская область AS48282, AS35278
GeoHide 193.233.112.67, .68 Финляндия AS34665

Список частных DNS мы взяли из Zapret GUI, старые адреса Xbox DNS из канала сервиса. Мы отправляли только одиночные запросы к опубликованным адресам и не сканировали порты.

У замера есть ограничения: по одной точке каждого типа, нет мобильной точки, один день. Поэтому все, что мы пишем о блокировках, относится к нашим точкам 11 октября.

Как блокируют старый IP-адрес Zapret DNS

На нашей точке ШПД в Санкт-Петербурге старый адрес Zapret DNS 144.31.82.230 не ответил ни на один из 14 доменов. UDP-запросы остались без ответа, а TCP-соединение не установилось ни на порт 53, ни для DoT, ни для DoH: пакеты молча отбрасываются. С остальных четырех точек, включая оба дата-центра в России, тот же адрес ответил всеми транспортами. 

Это блокировка адреса целиком, не по имени. TCP на порт 53 тоже не проходит, хотя в нем нет ни TLS, ни имени сервиса. Скорее всего, адрес блокирует ТСПУ.

Новый адрес 83.217.211.149 с тем же именем dns.zapret.moe по DoT и DoH на той же точке проходит. 

Как отвечают адреса Xbox DNS, о блокировке которых писал сервис

На нашей точке ШПД в Санкт-Петербурге 11 октября старые DNS-адреса Xbox DNS 111.88.96.50 и .51 отвечали по UDP, TCP и DoT, как и на остальных точках. Адреса прокси Xbox DNS 87.228.47.194, .198 и .202, о потере которых сервис писал 30 сентября, принимали соединения на порт 443 и с точки ШПД в Санкт-Петербурге, и с ШПД в ЕС.

Блокировок, о которых писал сервис, на нашей точке ШПД в Санкт-Петербурге мы не обнаружили. Правила к этим адресам могли снять, а могли ввести не везде, РКН на ТСПУ раскатывает их неравномерно. Похожее мы видим с Google и Cloudflare: 29 августа UDP-запросы к ним на этой точке не проходили, а 11 октября прошли.

Порт DoT на старых адресах 87.228.47.200 и .201 закрыт для всех пяти точек, включая обе точки в ЕС. Это настройка самого Xbox DNS, а не блокировка.

Куда Xbox DNS ходит за ответами

Через Xbox DNS запрос whoami.akamai.net показал, что сервис идет за ответами с адресов 193.232.166.60 и .61 в сети MSK-IX, а часть запросов отправляет через Cloudflare. Публичный DNS MSK-IX на всех наших точках выходит с адресов, которые тоже оканчиваются на .60 и .61, а НСДИ выходит с других адресов. Скорее всего, Xbox DNS берет ответы у узла публичного DNS MSK-IX, до которого наши точки не доходят. Это совпадает с заявлением сервиса «DNS будет отдавать MSK-IX».

Что отвечает НСДИ

НСДИ на youtube.com и whatsapp.com ответил «домена нет» (NXDOMAIN) с флагом авторитетного ответа и без записи SOA. Так он ответил на всех пяти точках, включая обе точки в ЕС. Это та же подпись, что мы описывали в августе. Публичный DNS MSK-IX и Xbox DNS на те же домены отдают настоящие адреса, то есть Xbox DNS ответы берет не у НСДИ 

Почему публичный DNS MSK-IX плохо отвечает дата-центру в ЕС

С нашей точки в дата-центре в ЕС публичный DNS MSK-IX ответил на 37 запросов из 90 по UDP и на 39 из 90 по TCP. От домена это не зависит: ответы и пропуски идут сериями по времени, например подряд семь доменов без ответа, затем подряд шесть с ответом. Без ответа значит тишина: MSK-IX не присылает отказ, ответ просто не приходит. Тот же узел MSK-IX с ШПД в ЕС ответил на все запросы. Остальные российские резолверы, включая НСДИ, с точки в дата-центре в ЕС ответили нормально.

Версии:

  • Ограничение на пути к узлу MSK-IX. Сети ряда крупных зарубежных хостеров в России ограничивают, это описывали на ntc.party и на Хабре, причем ограничения работают прерывисто. Запросы к узлу публичного DNS и к узлу НСДИ идут разными путями, и на пути к MSK-IX ограничение могло сработать, а на пути к НСДИ нет.
  • MSK-IX сам ограничивает запросы из хостинговых сетей. Тишину вместо отказа и серии по времени дает и такое ограничение. Наша частота запросов при этом низкая: не чаще раза в 7,6 секунды.
  • Закрытие от внешних наблюдателей. Исследователи и системы мониторинга обычно измеряют из дата-центров. Ограничение для таких сетей мешает наблюдать за российским интернетом снаружи. Похожее мы видели во время выборов, когда портал ДЭГ не пускал серверные и зарубежные адреса.

Различить первые две версии нашими данными нельзя. Для того, кто наблюдает за российским интернетом из-за рубежа, результат один: из зарубежного дата-центра публичный DNS MSK-IX отвечает нестабильно.

Почему российские пользователи получают другие адреса Cloudflare

На сайты за Cloudflare (в том числе meduza.io, signal.org и chatgpt.com) российские резолверы со всех пяти точек отдали адреса 8.47.69.0 и 8.6.112.0. Это НСДИ, публичный DNS MSK-IX, Xbox DNS, Comss DNS и GeoHide. Google и Cloudflare отдали соседние адреса из тех же блоков, у Google это 8.47.69.5 и 8.6.112.5. Но отдали только российским точкам: точкам в ЕС они вернули другие адреса. В августе мы уже фиксировали эту аномалию.

Подменой со стороны российских резолверов это не объяснить. Google РКН не контролирует, а отдает такие адреса только запросам с российских точек. Значит, выбор делает сторона, которая видит страну клиента, скорее всего сам Cloudflare. На заблокированные в России meduza.io, novayagazeta.eu и signal.org ни один российский резолвер не отдал заглушку: они вернули те же адреса Cloudflare.

Реестр ARIN показывает, что оба блока 8.47.69.0/24 и 8.6.112.0/24 Level 3 (Lumen) в 2019 году передал Cloudflare. Контакт для жалоб у 8.6.112.0/24 указан [email protected], то есть блок связан с WARP. В опубликованном списке адресов прокси Cloudflare этих блоков нет, а в документации компания пишет, что использует и другие диапазоны для разных продуктов и сервисов. На форуме Cloudflare пользователи описали, что через эти адреса TLS-соединение и заголовки проходят, а загрузка содержимого зависает.

В июне 2025 года Cloudflare сообщил, что российские провайдеры с 9 июня 2025 года дают пользователям загрузить с сайтов под его защитой только первые 16 КБ, а российские власти ничего компании не объясняли. Зачем российским пользователям отдельные адреса, Cloudflare не объяснял. 

Для российской стороны это удобно. Если все сайты за Cloudflare для российских пользователей сидят на двух блоках по 256 адресов, их проще замедлить или заблокировать целиком.

Почему сервисы под давлением ограничивают себя сами

После указания ЦМУ ССОП Xbox DNS отдает на chatgpt.com, claude.ai и gemini.google.com адрес 0.0.0.0, по которому соединиться нельзя. Так он отвечает на всех наших точках  Публичный DNS MSK-IX и Cloudflare, у которых сервис берет ответы, отдают на эти домены настоящие адреса. Значит, 0.0.0.0 ставит сам Xbox DNS.

Почему сервис отключил ИИ-сервисы. ЦМУ ССОП потребовал прекратить использование мощностей для обхода ограничений. ИИ-сервисы находятся за большими CDN: chatgpt.com в нашем замере отдается адресами Cloudflare. Через такие CDN fronting обычно и делают. Вероятно сервис закрыл именно те направления, через которые его инфраструктуру проще всего использовать как ВПН-туннель.

Почему DNS отдает 0.0.0.0, а не настоящий адрес. Гипотезы:

  • 0.0.0.0 это привычная заглушка для блокировки доменов: Pi-hole, например, отвечает так на заблокированные запросы по умолчанию. Обычно ее ставит пользователь у себя для блокировки рекламы, а здесь ее под давлением ставит сервис на своем сервере;
  • приложение получает отказ сразу и не доходит до сайта, который ответил бы своей ошибкой о неподдерживаемом регионе;
  • проверяющий видит, что на эти домены сервис ничего не отдает.

Вероятно, сервис сохранил Xbox Live, ради которого появился .

Рекомендации разработчикам частных DNS, прокси и VPN

  1. Разносите инфраструктуру по разным хостерам и аккаунтам. Xbox DNS разнес DNS, шифрованный DNS и прокси по разным адресам, но одна блокировка аккаунта погасила все сразу. DNS, прокси, сайт и биллинг лучше держать у разных хостеров.
  2. Готовьте переезд заранее. Давайте пользователям имя для DoH и DoT, а не голый IP, держите запасные адреса и механизм, который раздает их клиентам автоматически. Тогда смена адреса пройдет для пользователя незаметно.
  3. Проверяйте хостера перед арендой. Ищите его автономную систему в открытых обсуждениях на ntc.party и Хабре и сами проверяйте доступность его сетей из российских сетей. Выбирайте небольших малозаметных хостеров вне российской юрисдикции, как мы советовали в мае. Распределяйте узлы между несколькими хостерами: сеть маленького хостера проще заблокировать целиком.
  4. Используйте протоколы с маскировкой и держите запасной. VLESS+Reality, Hysteria2, Shadowsocks-2022 и AmneziaWG обнаружить сложнее, чем голый WireGuard, на котором попался владелец VPS из нашего примера.
  5. Встраивайте в свои приложения несколько резолверов. если один не отвечает, приложение само переключается на другой. Используйте и известные публичные, и малоизвестные DNS, и собственные.
  6. Проверяйте сервис с мобильных и домашних подключений, они ведут себя по-разному. Повторяйте запросы и считайте долю ответов, а не смотрите на один ответ.

Источники

Материалы Теплицы

Каналы и сайты сервисов

Законы, постановления, проекты

Cloudflare и реестры

Медиа и техническое сообщество

Еще по теме
  1. Что происходит с DNS в России? Возможно, мы нашли признаки цензуры. Разбор #26
  2. Как деградируют DNS в России: от подмены ответов до L7-фильтрации
  3. На какие блокировки будет тратиться Россия? Изучаем проект федерального бюджета. Разбор №38