Вы открываете YouTube в 23:00 — видео буферизируется бесконечно. Переключаетесь на Netflix или стриминг через VPN — скорость падает до 2–5 Мбит/с при тарифе в 100 Мбит/с. Утром всё работает нормально. Это не случайность и не перегруженный сервер — это системная проблема, связанная с тем, как российские операторы управляют трафиком в ночное время. За этим стоят три ключевых фактора: оборудование ТСПУ, регуляторные требования Роскомнадзора и коммерческий шейпинг трафика.

По данным независимых замеров Speedtest Intelligence за 2023–2024 годы, средняя скорость загрузки у пользователей МТС, Билайн, МегаФон и Ростелеком в период с 22:00 до 02:00 по московскому времени снижается на 25–60% по сравнению с дневными показателями. Причём падение неравномерное: оно затрагивает конкретные протоколы и направления, а не весь трафик целиком. Именно эта избирательность указывает на искусственное управление потоками, а не на банальную перегрузку каналов.

Чтобы понять механику происходящего, нужно разобраться в том, как устроена российская система глубокой инспекции трафика — и почему ночью она работает иначе, чем днём.

Как работает ТСПУ ночью: технические причины неравномерного замедления

ТСПУ (Технические средства противодействия угрозам) — это аппаратно-программные комплексы, которые операторы обязаны установить на своих сетях согласно закону о «суверенном интернете» (187-ФЗ, вступил в силу в 2019 году). Оборудование размещается на стыках сетей операторов и точках обмена трафиком (IX). По оценкам специалистов Censorship Observatory и OONI, к 2023 году ТСПУ охватывают более 80% российского интернет-трафика.

Каждый ТСПУ-комплекс выполняет глубокую инспекцию пакетов (DPI — Deep Packet Inspection). Это означает, что оборудование анализирует не только заголовки пакетов (откуда и куда идёт трафик), но и содержимое — протоколы, сигнатуры приложений, паттерны поведения соединений. На основе этого анализа трафик либо пропускается без ограничений, либо замедляется, либо блокируется полностью.

Ночью происходит следующее: операторы переключают DPI-профили на более агрессивные настройки. Причин несколько. Во-первых, ночью снижается объём «легитимного» делового трафика (корпоративные VPN, банковские транзакции, государственные сервисы), и алгоритмы получают больше ресурсов для инспекции пользовательских потоков. Во-вторых, именно в ночное время операторы проводят обновление правил фильтрации и тестирование новых алгоритмов — это подтверждается характерными «провалами» скорости на 10–15 минут, которые фиксируют пользователи в промежутке с 01:00 до 04:00.

Технически замедление реализуется через механизм traffic shaping — управление шириной полосы для конкретных типов трафика. ТСПУ умеет распознавать:

• Протоколы шифрования: TLS 1.3, QUIC, WireGuard, OpenVPN
• Сигнатуры популярных VPN-протоколов: L2TP, IKEv2, Shadowsocks
• Паттерны стриминговых сервисов: YouTube, Twitch, Netflix
• Трафик торрент-клиентов: BitTorrent, DHT-протокол
• Зарубежные CDN-узлы: Cloudflare, Akamai, Fastly

Для каждой из этих категорий устанавливается отдельный лимит полосы пропускания. Ночью лимиты для «нежелательных» категорий снижаются — это позволяет операторам формально соблюдать заявленные скорости тарифа, одновременно деградируя конкретные сервисы.

Какие сервисы и протоколы страдают больше всего

Замедление распределяется неравномерно. Наиболее сильно ночью страдают:

• YouTube — особенно видео в разрешении 4K и 1440p. Буферизация начинается при скоростях ниже 15 Мбит/с, тогда как сам канал может обеспечивать 80–100 Мбит/с для других ресурсов
• VPN-соединения на WireGuard и OpenVPN — ТСПУ научился идентифицировать оба протокола по размеру пакетов и временным паттернам. Ночью их пропускная способность режется до 5–15 Мбит/с
• Международные CDN — Cloudflare (AS13335) и Fastly (AS54113) получают сниженный приоритет, что замедляет тысячи сайтов, использующих их инфраструктуру
• Discord, Telegram (голос и видео) — UDP-трафик этих сервисов идентифицируется и ограничивается
• Торрент-трафик — BitTorrent через DHT практически не работает у ряда операторов после 23:00

При этом российские сервисы — VK, Яндекс, Госуслуги, Сбер — работают с нормальной скоростью. Это не совпадение: они размещены на российских IP-адресах и обходят узлы ТСПУ по приоритетным маршрутам. Фактически операторы создают двухуровневую систему: «быстрый» интернет для отечественных ресурсов и «медленный» — для зарубежных.

Как отличить шейпинг от обычной перегрузки сети

Перегрузка сети и искусственный шейпинг дают похожие симптомы, но диагностируются по-разному. Вот конкретные методы проверки.

Тест 1: Speedtest с разными серверами

Запустите Speedtest.net и сравните скорость до российских серверов (Москва, Санкт-Петербург) и международных (Франкфурт, Амстердам, Варшава). При шейпинге скорость до российских серверов будет нормальной (50–100 Мбит/с), а до зарубежных — в 3–10 раз ниже. При реальной перегрузке сети скорость падает равномерно в обоих направлениях.

Тест 2: Анализ через OONI Probe

OONI Probe (Open Observatory of Network Interference) — это приложение, которое тестирует конкретные сайты и протоколы на предмет блокировки и замедления. Результаты загружаются в открытую базу данных. Запустите тесты в 14:00 и в 23:00 — разница в показателях задержки и потери пакетов покажет, есть ли ночной шейпинг на вашем операторе.

Тест 3: Traceroute и анализ маршрутов

Используйте команду mtr (My Traceroute) для анализа маршрута до зарубежного сервера. При шейпинге через ТСПУ вы увидите характерные задержки на узлах с IP-адресами из диапазонов операторов (МТС: AS8359, МегаФон: AS25159, Билайн: AS3216, Ростелеком: AS12389). Потеря пакетов на этих узлах в ночное время — прямой признак активного управления трафиком.

Тест 4: Сравнение через VPN и без

Включите VPN и запустите тест скорости до того же зарубежного сервера. Если скорость через VPN выше, чем без него — это парадоксальный, но надёжный признак шейпинга. ТСПУ замедляет трафик на уровне конечного назначения, но не успевает одновременно анализировать зашифрованный VPN-туннель с той же эффективностью. Разница в 2–3 раза в пользу VPN однозначно указывает на искусственные ограничения.

Решения: как обойти ночное замедление

Существует несколько рабочих подходов — от технически сложных до простых пользовательских решений.

VPN с обфускацией трафика

Обычный WireGuard или OpenVPN ТСПУ уже умеет распознавать. Эффективны протоколы с обфускацией — маскировкой трафика под обычный HTTPS. Наиболее устойчивы к обнаружению:

• Shadowsocks с плагином obfs4 — трафик выглядит как случайный поток данных
• VLESS + XTLS-Reality — имитирует TLS-рукопожатие реального сайта
• Trojan — работает поверх TLS и практически неотличим от HTTPS
• Hysteria2 — использует QUIC с кастомной обфускацией, показывает высокую скорость даже при активном DPI

Смена DNS и использование DoH/DoT

Часть замедлений связана с DNS-манипуляциями на уровне оператора. Переключитесь на DNS-over-HTTPS (DoH) через Cloudflare (1.1.1.1) или NextDNS. В Windows 11 это настраивается в разделе «Сеть и интернет» → «Дополнительные параметры сети» → «DNS-сервер». В браузере Firefox DoH включается в настройках конфиденциальности.

Изменение MTU и настройки TCP

ТСПУ частично идентифицирует трафик по размеру пакетов. Снижение MTU до 1200–1300 байт (вместо стандартных 1500) иногда помогает обойти сигнатурный анализ. Настраивается в свойствах сетевого адаптера или через команду netsh interface ipv4 set subinterface «Ethernet» mtu=1280 store=persistent в Windows.

Выбор оператора с меньшим шейпингом

По данным независимых мониторингов, региональные операторы (например, ЭР-Телеком/Дом.ру, ТТК) в ряде случаев применяют менее агрессивный шейпинг, чем федеральная четвёрка. Это объясняется разной степенью интеграции ТСПУ-оборудования и различными коммерческими стратегиями управления трафиком.

Заключение

Ночное замедление интернета в России — это не техническая неисправность и не перегрузка инфраструктуры. Это результат работы системы ТСПУ с активным DPI, коммерческого шейпинга операторов и регуляторных требований Роскомнадзора. Замедление избирательное: страдают зарубежные сервисы, VPN-протоколы и стриминг, тогда как российские ресурсы работают штатно.

Диагностировать проблему можно за 10–15 минут с помощью OONI Probe, сравнительного Speedtest и анализа маршрутов через mtr. Для обхода наиболее эффективны VPN с обфускацией трафика — Shadowsocks, VLESS+Reality или Hysteria2. Важно понимать: стандартные VPN-протоколы (WireGuard, OpenVPN без обфускации) ТСПУ уже научился замедлять так же, как и незащищённый трафик. Выбор инструмента с активной маскировкой — не опция, а необходимость для стабильной работы в российском интернете.