Почему заблокированные Роскомнадзором сайты доступны через VirtualBox?

Question

[kirillre4]

Сегодня в ходе тестирования VPN-сервисов обнаружил, что заблокированные сайты, недоступные из основной ОС, доступны в гостевой ОС без каких-либо лишних телодвижений. Дополнительно тесты проводил на чистой виртуалке с установленной Win7, сайты без проблем открываются даже в IE. На Win8 с Firefox все также работает.

Никаких дополнительных настроек не делалось, все настройки VM, касающиеся сети - дефолтные.

Сайты открываются очень шустро, непохоже что VirtualBox работает через прокси. myip.ru показывает один и тот же ip что в виртуалке, что на самом ПК.
tracert до заблокированного сайта (виртуальная машина слева):

Выдача request.urih.com (виртуальная машина слева):

Как такое возможно (и как сделать, чтобы в основной ОС работало так же)?

Answer 1

[max7 M7]

Вам случаем ни провайдер ipv6 выдал?
Откуда взялось
DNS-серверы. . . . . . . . . . . : fd71:9f5a:335b::1
Предпочтительным стоит dns-сервер fd71:9f5a:335b::1
Windows по умолчанию предпочитает трафик ipv6 перед ipv4.

В общем, попробуйте отключить везде ipv6. Напишите результат.

Answer 2

[Ilya Evseev]

Какой ДНС-сервер используется в базовой системе и в гостевых?
Если в базовой провайдерский, а в гостевых гугловский, это всё объяснит.

Название провайдера лучше не афишировать, чтобы не давать проверяльщикам лишний предлог для наезда.

Comments

[kirillre4]

В базовой у меня выставлен гугловский DNS-сервер (8.8.8.8/8.8.4.4), в гостевой - по умолчанию (получать адрес DNS-сервера автоматически). Что при дефолтном, что при гугловских DNS в базовой ОС ничего не меняется (после переключения делал ipconfig /flushdns) - сайты так же доступны в гостевой ОС и демонстрируют заглушку в базовой. Спасибо, убрал название провайдера, на всякий случай.

[Ilya Evseev]

Вы обратили внимание, что в трейсах доменное имя распознается в разные ip-адреса? 93.100.* - это адрес провайдерского сайта с блокировочной страницей. Т.е. дело все-таки в разных ДНС-серверах. Проверяйте, что говорят ipconfig/all и nslookup.

[kirillre4]

pastebin.com/p1bbyFJH
Вот что они выводят. Компьютер отказывается наотрез пользоваться выставленым DNS. Однако если настроить DNS на роутере с OpenWRT, а не в настройках сетевой карты, то все работает. Впрочем, это все еще не объясняет, каким образом это работало в VirtualBox, зато отвечает на основной вопрос о том, как сделать также на ПК.

[max7 M7]

Вам случаем ни провайдер ipv6 выдал?
Откуда взялось
DNS-серверы. . . . . . . . . . . : fd71:9f5a:335b::1
Предпочтительным стоит dns-сервер fd71:9f5a:335b::1
Видна по умолчанию предпочитает трафик ipv6 перед ipv4.

[max7 M7]

В общем, попробуйте отключите везде ipv6. Напишите результат.

Answer 3

[max7 M7]

Все эти блокировки никому (кроме группы невменяемых чиновников) ненужны. Терять пользователей, или нести дополнительные расходы никто не хочет. Плюс есть ещё давние разговоры об оплате по типу трафика. И только благодаря настойчивому требованию пользователей вводить и расширять ШПД, и также благодаря известным IT компаниям, удаётся держать "сетевой нейтралитет". Провайдеры не дураки и рано или поздно введут "персонализацию". Т.е. будут блокировать избирательно на основе анализа трафика. Причём по максимуму будут переносить анализ и блокировку на магистральщиков. И в зависимости от вашей истории, открываемого сайта, результатов анализа, пути по которому пустили ваш трафик (трафик пойдёт по разным каналам) - будет разный результат. ИМХО.

Т.е. покажите трейс с хоста и виртуалки. (tracert сайт).
Есть ли существенные различия в выдаче сайта request.urih.com или с сайта www.askapache.com/online-tools/http-headers-tool при заходе с хоста и виртуалки?

Comments

[kirillre4]

По-моему анализ трафика и т.п. - как раз более затратный метод, чем просто заблокировать. Я добавил в вопрос скрин трейсов и выдачи по заголовкам. 10.0.2.2 в ВМ - виртуальный хост, судя по всему.

[max7 M7]

По трейсу выходит, что dns-сервер выдаёт разные ip.

Вы указали, что виртуальная машина слева (где выдаётся один ip)?

Ваш провайдер вероятно (маленькая засранка - видимо другого выхода у него пока нет, расходы, оборудование, специалисты и всё такое) блокируют по домену на уровне dns буквально, как записано в реестре. Тогда как заблокирована конкретная информация на конкретной странице (И да, существуют судебные решения на блокировки сайтов целиком). МТС (магистральный), например, анализирует http-заголовки и url, блокирует то что заблокировано, а не весь сайт.

Вероятно у вас некорректно настроен dns, и запросы идут через провайдерский dns. Можете показать настройки, как указаны dns-сервера? Какой будет результат, если прописать dns от OpenDNS: 208.67.222.222, 208.67.220.220?

На хосте открывать сайты по ip удаётся? (может быть страничка типа "Error 1003. Direct IP access not allowed" от CloudFlare, это нормально).

[kirillre4]

Открывал sankakucomplex.com по 190.93.241.48, выкинуло ошибку 1003.
На danbooru.donmai.us зашел по ip без проблем. Вот настройки DNS в основной ОС

Адаптера Virtualbox в основной ОС

[kirillre4]

С OpenDNS все равно заблокировано.

[max7 M7]

Для полноты картины покажите выдачу
ipconfig /all
и
nslookup danbooru.donmai.us
на хосте и виртуалке.

Пока рабочая гипотеза: провайдер подменяет (проксирует) трафик dns.