Сергей

Что мы на самом деле называем сетью

Когда говорят «сеть», чаще всего представляют провод, Wi-Fi или цифру в тарифе.
Но всё это — только оболочка. Видимая часть.

На самом деле сеть начинается там, где заканчивается железо.
Сеть — это система договорённостей о том, как и куда может пройти информация.

Пакеты не летят напрямую от отправителя к получателю.
Они проходят через множество узлов, и каждый из них принимает решение:
принять трафик, передать дальше или отклонить.
Если узел не согласен — трафик туда просто не пойдёт.
Какая бы скорость ни была указана в тарифе.

Когда сайт открывается за долю секунды, это значит не «сервер быстрый».
Это значит, что десятки промежуточных точек по пути согласились,
что этому трафику можно пройти именно сейчас.

Поэтому проблемы сети почти никогда не лечатся увеличением скорости.
Они решаются архитектурой, маршрутами и правилами взаимодействия.

Сеть — это не про мегабиты.
Сеть — это про выбор, доверие и согласие на передачу

Как-то в группе провайдера один человек написал, что хочет скачать 100 ГБ за 5 минут.
И у меня родился рассказ
.

        «Сага о воине, провайдере и 443-м порте»

В былые времена, когда интернет ещё шевелился, а пакеты данных не боялись фаерволов, один воин решил скачать 100 ГБ за 5 минут.
Он пробросил порты через туннель в Альпы, завернул трафик в SOCKS5-шаль, прядённую в степях Улан-Удэ. NAT настраивал при свете луны, добавив древний флаг --мечта-на-скорости.

Но провайдер сказал:
«Не положено».

Тогда появился мудрый админ, известный как Хранитель Пакетов.
Он сражался с злобным DPI-драконом, который душил все туннели, пожирал 443-й порт и оставлял после себя лишь битый трафик и обрывки TLS.

В руках Хранителя был артефакт — 443-й порт, временно снятый с охраны, способный вернуть свет в SSL-туннели и открыть путь к скоростям, что быстрее ветра.

Но провайдеры, как тёмные маги, наложили проклятия фильтрации и вечно ломающегося «оборудования».
А чтобы добить веру окончательно, в счёт добавили +110 рублей — но ни мегабита сверху. Ни-фи-га.

Лишившись доступа, воин ушёл в народ — переписывать архивы на болванки, раздавая гигабайты из рук в руки, как делали древние.

Но надежда не умерла.
Воин и Хранитель объединились, чтобы прорваться сквозь DPI-тьму, снять проклятие с порта и вернуть свободу потоков.

И пусть сегодня мы всё ещё в осаде — легенда жива.
Скачать 100 ГБ за 5 минут — это не миф.
Это вызов.

«Я задумался, почему люди так легко верят в мифы про “чтение трафика”»

Когда люди начинают кричать, что «какой-то сервис читает всех подряд», обычно становится ясно одно: они вообще не понимают, как устроена сетевая инфраструктура и маршрутизация.

Контент не «летит через один глазок».

Трафик распределяется по ECMP-путям, проходит через разные маршрутизаторы с собственными IGP-стоимостями, а BGP-communities формируют транзитные политики автоматически. Никто вручную ничего не «подглядывает» — префиксы раскидываются по пирингам самой системой.

Даже если у оператора включён NetFlow или sFlow — это всего лишь sampled-телеметрия на уровне L3/L4. Полный дамп трафика на line-rate в ядре сети технически невозможен: ни по памяти, ни по пропускной способности.

DPI-устройства — это ASIC/FPGA с ограниченным набором сигнатур. Они способны выявить отдельные протокольные аномалии, но не умеют расшифровывать end-to-end трафик, особенно при TLS 1.3, PFS и ephemeral-ключах. Без TLS-termination и доступа к session keys это нерешаемая задача.

Реальные риски всегда находятся на endpoints.

OEM-телеметрия, оставленные debug-режимы, кривые апдейтеры, открытые IPC-шлюзы, небезопасные UDS-сокеты и sandbox breakout дают куда более прямой доступ к данным, чем любое пользовательское приложение. Исторически проблема была не в мессенджерах, а в локальных демонах и сервисах, которые держат привилегии и дескрипторы открытыми.

Trusted Execution Environment, root-of-trust и secure-boot формируют нижний уровень доверия. Пользовательское приложение его не перескакивает.

Оно не имеет доступа к kernelspace, аппаратной телеметрии, routing-daemon’ам (FRR/OSPF/IS-IS), зонам маршрутизации или ключевому материалу. Это просто UI поверх стандартного OS API.

Любая истерия в стиле «приложение читает всех» — попытка объяснить сложную распределённую систему логикой «коробочка следит».

На уровне архитектуры такие приложения не участвуют в trust-chain, не работают в privileged execution domain и не имеют доступа к аппаратным ключам. Их возможности заканчиваются ровно там, где заканчиваются пользовательские разрешения.

Почему я вообще об этом подумал перед сном?