За последние годы пользователи в России не раз фиксировали резкие падения скорости интернета ночью: измерения Speedtest и Fast.com показывали снижение пропускной способности с 100+ Мбит/с до 1–5 Мбит/с в пиковые часы, то есть потерю 95–99% пропускной способности в отдельных сессиях. Такие явления часто приходятся на окна времени с 00:00 до 06:00, когда провайдеры выполняют массовые блокировки или применяют правила QoS по указанию регулятора.

Если вы ищете в сети запрос «роскомнадзор замедлил интернет ночью как обойти», важно понимать, что за этими словами стоят конкретные механизмы: DPI (deep packet inspection), фильтрация SNI, блокировка IP-диапазонов и таргетинг по портам (например, 1194 для OpenVPN или 8388 для Shadowsocks). В этом гайде приведены проверенные технические методы с указанием протоколов, портов и инструментов, которые помогают восстановить нормальную скорость или обойти ночное ограничение.

Как распознать, что это именно целенаправленное замедление

Первое правило — измерять: запустите три теста (Speedtest.net, Fast.com и iperf3) в разное время суток; если скорость падает с, скажем, 100 Мбит/с днем до 2–5 Мбит/с ночью, это указывает на целевое ограничение (снижение на 95–98%). iperf3 по умолчанию использует порт 5201 и позволяет измерить TCP/UDP-пропускную способность в Мбит/с, полезно сравнить UDP и TCP результаты.

Дополнительно используйте MTR или traceroute (MTR по умолчанию отправляет ICMP/UDP) для оценки задержек: увеличение RTT с 20–30 мс до 200–500 мс и рост потерь пакетов выше 5% в ночной период говорит про активное вмешательство в трафик. Также проверьте поведение по протоколам и портам — если HTTPS (порт 443) работает, а OpenVPN по UDP/1194 — нет, провайдер, скорее всего, блокирует/приоритизирует определённые протоколы.

Какие технологии используют Роскомнадзор и провайдеры

Основные инструменты — это IP-блокировки, DPI и фильтрация по SNI/Host в TLS. DPI способно выявлять сигнатуры протоколов (OpenVPN, WireGuard, Shadowsocks) и применять правила-троттлинга; например, DPI-правила могут обнаруживать характерные поля OpenVPN TLS-рукопожатия и замедлять UDP-поток. Массовая блокировка IP-диапазонов происходила в 2018 году при попытке блокировки Telegram: было заблокировано до нескольких миллионов IP-адресов, что вызвало коллатеральные эффекты у пользователей CDN.

SNI-фильтрация (Server Name Indication в TLS) позволяет провайдеру увидеть домен, к которому вы обращаетесь, до установки шифрованного соединения; это касается большинства TLS-сессий, если не используется ECH/ESNI. ECH (Encrypted Client Hello) теоретически защищает SNI, но реальная поддержка ECH в 2024–2025 году ограничена — только некоторые версии браузеров и серверов поддерживают ECH плюс требуется настройка на стороне сервера и CDN.

Рабочие способы обхода: протоколы и инструменты

Ниже — перечень проверенных методов с конкретикой по протоколам, портам и применимости в условиях DPI и SNI-фильтрации.

• WireGuard (порт 51820 UDP по умолчанию) — встроен в Linux kernel начиная с версии 5.6 (март 2020). Шифрование современное, низкая задержка. Минус: WireGuard трафик легко различим DPI, поэтому при активной фильтрации требуется туннелирование через TCP/443 или обфускация.
• OpenVPN (версия 2.5 released Oct 2021 и выше) — поддерживает режим TCP на порту 443 и шифры AES-256-GCM; при настройке с proto tcp и remote your.vpn 443 OpenVPN имитирует HTTPS и чаще проходит через фильтры.
• Shadowsocks (стандартный порт 8388) и V2Ray/VLESS — гибкие прокси, которые легко конфигурировать поверх TLS или использовать obfuscation. V2Ray поддерживает mKCP и WebSocket over TLS, что делает трафик похожим на обычный HTTPS.
• Tor с плагинами obfs4/snowflake — хорош для анонимности; obfs4 скрывает сигнатуры Tor, но скорость ограничена: реальный throughput часто 0.5–5 Мбит/с в зависимости от сети.

Практическая рекомендация: если провайдер фильтрует UDP, переключитесь на VPN поверх TCP/443 (OpenVPN proto tcp или WireGuard через TCP-туннель), а если SNI-блокировка — используйте TLS-обёртку (stunnel) или WebSocket over TLS (wss) через CDN с корректной настройкой хостинга.

Пример конфигураций

Простой пример для OpenVPN: в конфиге client.ovpn укажите строки proto tcp-client, remote vpn.example.com 443, cipher AES-256-GCM. Это переключит OpenVPN на TCP/443 и AES-GCM шифрование. Для WireGuard: если порт UDP/51820 блокируют, установите локальный TCP-туннель (например, using sslh или stunnel) и пробросьте WireGuard через TCP/443.

Если вы используете Shadowsocks, настройка stunnel (используя OpenSSL) на порту 443 помогает замаскировать трафик под HTTPS: stunnel слушает 0.0.0.0:443 и форвардит на локальный 127.0.0.1:8388, что усложняет распознавание Shadowsocks DPI.

Практические шаги: тестирование и настройка на примере

Пошаговый план диагностики: 1) зафиксируйте скорость (Speedtest, fast.com) в 3 разные ночи в интервале 00:00–06:00; 2) запустите iperf3 client/server (порт 5201) для измерения UDP/TCP throughput; 3) сделайте MTR на целевой сервер и сохраните логи. Такие измерения дают численные доказательства: например, ухудшение RTT с 25 мс до 350 мс и потеря пакетов 12% — это не случайный лаг, а влияние политик.

Настройка обхода на практике: если OpenVPN UDP/1194 блокируется, переходим к OpenVPN TCP 443: на сервере настроите OpenVPN 2.5+ слушать 0.0.0.0:443 proto tcp и включите tls-auth/tls-crypt; на клиенте замените proto udp на proto tcp-client и remote address port 443. После этого проверьте скорость — успешная маскировка часто возвращает 70–90% исходной полосы.

Риски, ограничения и легальность

Следует учитывать, что обфускация трафика может противоречить условиям вашего договора с провайдером и местному законодательству; в ряде случаев провайдеры имеют право блокировать соединения, нарушающие правила. Также некоторые методы (например, domain fronting через крупные CDN) стали ненадёжны после 2018–2019 годов, когда Google и Amazon ограничили domain fronting для сторонних сервисов.

Технические ограничения: Tor и obf-протоколы дают хорошую скрытность, но обычно ограничены по пропускной способности (менее 5–10 Мбит/с в большинстве случаев). Для потокового видео и игр оптимальны VPN на базе WireGuard или OpenVPN over TCP/443 при условии корректной конфигурации и наличия пропускной сервера с минимум 100 Мбит/с uplink.

Как проверить эффективность обхода

После настройки альтернативного канала (например, OpenVPN TCP/443 или WireGuard через stunnel) проведите повторный набор тестов: Speedtest и iperf3 до/после переключения, а также проверьте RTT с помощью ping и MTR. Измерения следует делать в одинаковые временные слоты (например, 01:30, 02:30 и 03:30) в течение 3 ночей — это даст статистику и позволит оценить стабильность (среднее значение скорости и стандартное отклонение).

Если наблюдается возврат к норме (например, скорость выросла с 2 Мбит/с до 80–90 Мбит/с), значит выбранный метод обходит фильтрацию. Если нет — пробуйте альтернативные подходы из списка выше (V2Ray ws+tls, stunnel, SSH dynamic SOCKS5 на 443) и фиксируйте результаты для сравнения.

Заключение

Ночное замедление интернета чаще всего реализуется через DPI, SNI-фильтрацию и блокировки портов/IP, что можно диагностировать с помощью Speedtest, iperf3 и MTR (конкретные значения RTT, потерей пакетов и пропускной способности дают подтверждение). Практически работоспособные обходы включают OpenVPN по TCP/443, WireGuard через TLS-туннель, V2Ray/WS+TLS и обфусцированные прокси (obfs4, stunnel); каждый метод требует настройки серверной и клиентской части