- Специальный корреспондент
Недавно возникшая тема с блокировкой (замедлением) Youtube коснулась практически каждого жителя РФ. При этом до сих пор нет ни одного прямого официального заявления о причастности к этой блокировке. Ни одно государственное ведомство не созналось в блокировке, открестился Google, открестились провайдеры интернета. На этом фоне мне показалось важным не только выявить и указать всех причастных, прямых и косвенных, но и установить, кто и в каком отношении является выгодоприобретателем от этой блокировки. Выявить, о каких денежных потоках идет речь и куда они в конечном итоге идут.
Чтобы это установить, я попытался по крупицам собрать открытую информацию, добавил анализ используемых технических решений и технологических возможностей и на этой базе выявил те компании, которые являются прямыми и косвенными выгодоприобретатели от блокировки. Список оказался не такой уж и маленький, и в нем представлен как российский, так и зарубежный монополистический капитал. Как мы любим, в конце я приведу общую схему, визуализирующую всех основных актеров этой пьесы и все основные отношения между ними.
Что это может быть за аппаратура такая, кто ее устанавливает, производит и заказывает? Могут ли это быть случайные неизвестные злоумышленники? Нет, потому что, работая в масштабе страны, они должны были быть быстро найдены и наказаны как посягающие на право свободного распространения информации, а это право закреплено в пункте 4 статьи 29 . Получаем, что такое действие, как установка и поддержание специальной фильтрующей трафик аппаратуры, невозможна без государственного участия, которое в этом случае должно подкрепляться соответствующим законом.
И такой закон есть – это . Согласно этому закону, каждый оператор связи должен установить у себя ящики ТСПУ (технические средства противодействия угрозам), а отчитываться об этом в «федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи», то есть Роскомнадзор. При этом все ТСПУ находятся под управлением (ЦМУ ССОП), созданного на базе ФГУП «ГРЧЦ». Фактически, ЦМУ ССОП – это техническое подразделение Роскомнадзора.
При этом ТСПУ должны устанавливаться за счет государства. В 2019–2021 годах в федеральном проекте «Информационная безопасность» на реализацию всех амбициозных целей заложено более 30 млрд руб., из которых . Согласно , по федеральному проекту «Инфраструктура кибербезопасности» в течение следующих пяти лет (2025-2030 годы) планируется как модернизировать ранее установленные ТСПУ, так и установить новые, и на это предполагается выделить за пять лет 58,97 млрд рублей из федерального бюджета.
Сколько реально денег было потрачено за прошедшие годы, публично не объявлялось. Один только раз чиновник из ЦМУ ССОП физически поставлено.
Можно примерно прикинуть, сколько стоит оснастить 1 узел провайдера оборудованием ТСПУ. Если предположить, что оборудование, заказанное в 2021 году, фактически было изготовлено и доехало только в 2023 году, то тогда цифры можно свести в одну формулу деления, и получится 20800 / 1360 = 15.3 млн на узел. К сожалению, нет полной ясности, что такое узел – коробочка формата 1U или несколько серверных стоек, битком забитых такими коробочками. Впрочем, немного информации всё же есть.
А вот как выглядит реальный ТСПУ :
Собранный комплекс ТСПУ
Автор этой фотографии - Павел Васильев, и , что ТСПУ занимает «как минимум, пол-стойки оборудования на узле связи».
Далее. Ядро и центральный элемент ТСПУ – это сервер DPI. DPI (англ. Deep Packet Inspection) – технология, подразумевающая глубокий анализ, обработку, фильтрацию и подмену пакетов в режиме реального времени. Слово «глубокий» подразумевает не какую-то аццкую сложность процесса анализа, а просто тот факт, что анализ пакетов будет проводиться на разных уровнях модели OSI, вплоть до той глубины, на которой не окажется шифрование.
Технология DPI возникла и развилась в среде провайдеров интернета. Фактически, для выполнения нескольких чисто коммерческих целей, связанных с наполнением кошельков уважаемых людей.
Первая цель – выявлять и тормозить скорость выкачивания у того числа собственных клиентов, кто действительно много качает. Неважно, что по договору скорость 300 Мбит/c. Важно то, что если на этой скорости клиент будет качать больше n минут, то владелец компании-провайдера будет считать, что лично его обкрадывают. При том, что ничего со стороны клиента не нарушается. В общем, с точки зрения компании-провайдера это недопустимо, и скорость они резали, режут и будут резать, и плевать они хотели на собственный договор. Вот причастные .
Вторая цель – ограничивать конкретно торренты, то есть помочь другим уважаемым людям, которые делают деньги на частном владении продуктами интеллектуальной деятельности всего общества. Тем более если эти уважаемые люди настойчиво об этом просят, используя для этого и механизмы государственного принуждения. Рука руку моет, и провайдеры идут навстречу, особенно учитывая то, что это не противоречит первой цели. Как относиться к ограничению торрентов, каждый решает сам, но когда, к примеру, мультфильмы, нарисованные советскими мультипликаторами, оказываются чьей-то коммерческой собственностью, то через некоторое время собственник ограничивает их бесплатное хождение, и бесплатно (или без рекламы) они оказываются доступны только на торрентах. Как тебе такое, Илон Маск?
Третья цель – внедрять в исходный код страницы рекламу. Когда-то это было прямо заветной мечтой для всех провайдеров. Сейчас, когда страницы в основном зашифрованы, эта ниша поучения прибыли распределена между другими игроками.
К слову, технология DPI позволяет провайдерам закрывать и многие другие текущие операционные потребности, в целом более «травоядные». Анализ трафика используют не только провайдеры, не только государственные учреждения (например, школы) в разных странах, а вообще фактически кто угодно. У кого есть деньги, и кто хочет эти деньги сохранить. Вот, , и Google использует в своей инфраструктуре глубокий анализ трафика, чтобы не давать создателям контента выкачивать свой собственный контент на площадки-конкуренты (или даже просто на свой личный жесткий диск). Как известно, в деле свободного распространения информации все равны, но некоторые равнее. Им и виднее, кому что разрешать.
В общем, как только технологии DPI стали более-менее работоспособны, как только устаканились производственные мощности, к делу использования DPI не могло не подключиться и государство. Российское, американское, израильское, саудовское, французское, канадское, иранское и любое другое, у которого есть бюджет и цель. Ну хотя бы потому, что открыто не противодействовать сайтам по продаже наркотиков и сайтам, продающим всякие запрещенные уголовные услуги – это как-то нехорошо. Поставить какой-никакой, а барьер, надо. Дальше-больше. И вот под запретами, например, в Саудовской Аравии оказываются Skype, Messenger, WhatsApp и Viber, в Китае Signal, а в России Instagram и Facebook. А крупные IT-гиганты, такие как Cisco (США), Huawei (Китай), Allot Ltd. (Израиль), Procera Networks (США), Nexa Technologies / Amesys / Groupe Bull (Франция) с радостью продают DPI-оборудование по всему миру. Рынок устройств DPI стремительно растет, и в 2019 году в 8,7 млрд долларов США, а стабильный ежегодный рост по оценкам составляет около 8%.
Итак, понятно, что краеугольный камень в блокировке Youtube в России – оборудование DPI. Какое же именно оборудование, от каких производителей прямо сейчас используется для этих целей? Чтобы это понять и, по крайней мере, сузить круг поиска, не обойтись без анализа используемых технологий. Этот же анализ позволит предсказать, в каком направлении пойдет вся эта история, и кто в ближайшем будущем станет производить все оборудование для DPI в России.
В чем сложность этой задачи? В том, что это надо делать в режиме реального времени на входном потоке большой скорости (речь про десятки и сотни гигабит в секунду). В чем еще? В том, что неплохо бы на будущее иметь возможность легко перенастроить алгоритм (а то вдруг rutube захочется замедлить). В чем еще? В том, чтобы сразу заложить защиту от запутывания систем DPI (например, от GoodbyeDPI), то есть научиться обрабатывать разбитые, фрагментированные пакеты и пакеты с прочими изменениями.
Какие существуют технологии в разработке программно-аппаратных комплексов, которые потенциально могли бы решить подобную задачу? К счастью, немного.
Суть технологии DPDK.
Применительно к нашей задаче (поиск и фильтрация пакетов) на ПЛИСе можно реализовать конвейер: каждый такт берем n байт со входа (сетевого порта), кидаем на параллельно работающий конвейер, еще через m тактов получаем выход из конвейера. При этом все гарантировано: гарантированная скорость обработки, гарантированно постоянная задержка пакетов, гарантированное отсутствие потерь пакетов, гарантированная загруженность ПЛИС и гарантированное энергопотребление (относительно небольшое).
Что со скоростью обработки? Берем тактовую частоту, умножаем на n, получаем скорость. От тактовой частоты зависит цена ПЛИСа. Возьмем, к примеру, что-то из хорошего среднего: с тактовой 800 МГц. Возьмем n по минимуму – 1 байт (в реальности, я почти уверен, можно так сконфигурировать ПЛИС, чтобы сделать n в несколько раз больше, это зависит от мастерства разработчика и нюансов задачи). Итак, на для n = 1 на Xilinx Zynq-7000 получим скорость обработки 6.4 Гбит/c. Теперь разместим на печатной плате не одну ПЛИС, а сразу восемь. Получим 51.2 Гбит/c в корпусе 1U. Неплохо. Возьмем 10 таких ячеек и закроем 500 Гбит/c. Глядишь, и один узел провайдера закрыли.
Какие минусы такого подхода? Во-первых, не любую задачу можно эффективно решить на ПЛИСе. Во-вторых, программировать на ПЛИС (а точнее, конфигурировать ПЛИС) – это довольно сложно, это вам не парсеры на питончике писать. В-третьих, у любого ПЛИСа есть эффект ограничения по ресурсам, который неприятно проявляется в следующем. Вот вы успешно решили свою задачу, качественно сконфигурировали ПЛИС, все работает. А потом к задаче прилетело дополнение. Ну, например, применительно к нашей задаче – хотим находить SNI не в одном пакете, а в двух соседних, то есть с учетом фрагментации. И, как следует подумав, вы понимаете, что имеющихся ресурсов ПЛИСа просто не хватит, переписать и обновить прошивку не получится. И решение, по сути, одно – делать следующее поколение оборудования, закупать другие ПЛИСы, заказывать новые печатные платы.
В общем, это решение – самое лучшее, если задача на нее «ляжет», но одновременно и самое сложное. На технологиях №3 и №4 вполне можно делать оборудование DPI. Запомним это и пойдем дальше – к интересному. Кто же является выгодоприобретателями блокировки Youtube?
Скриншот с на устройство EcoSGE
Ок, а насколько самостоятельно они делают подобные продукты? Или в продукте только шильдик и документация их производства? Очень похоже на второй вариант. Судите сами. Выше я подробно описал технологии, которые должны использоваться при построении устройств DPI. Это либо устройства на базе ПЛИС и прочей сложной схемотехники (предпочтительно), либо на базе специальной печатной платы серверного типа с мощными процессорами общего назначения. Внешне корпус должен выглядеть как ящик, набитый портами Ethernet и дырками для отвода тепла. Ну так есть, RDP.ru и картинку своих устройств :
c 16 портами 10Гб/c
Тогда, если предположить, что компания RDP.ru сама полностью разрабатывает программно-аппаратные комплексы DPI, то для создания продуктов она должна искать искать либо плисоводов, либо программистов C/C++ со знанием библиотек , или . Вместо этого компании разработчики на JavaScript и Go. Значит, они просто пишут обёртки над созданной кем-то чужой функциональностью. Например, для того, чтобы на веб-интерфейсе продукта был бы русский язык, а, скажем, не иврит. Кстати, это и директор Центра специальных проектов Главного радиочастотного центра при Роскомнадзоре Сергей Темный:
Кстати, про деньги. за 2023 год ООО "РДП.РУ" получила выручку в сумме 7,3 млрд рублей, заплатив налогов на 1,219 млрд. рублей. Результатом работы ООО "РДП.РУ" за 2023 год стала прибыль в размере 2,2 млрд руб. В пересчете на 220 её сотрудников это получается 10 млн. чистой прибыли (без учета заплаты) на человека. Интересно, а сотрудники про это знают? Ранее компания Ростелеком (видимо, чуя предстоящую прибыль) приобрела ООО «РДП.ру» за .
Что касается Сигналтека, то информации о ней мало. Известно, что компания это небольшая ( ), но состоящая, как кажется, не из перепродажников, а из инженеров и программистов. Прямо сейчас они ищут со знанием DPDK, а , а также Правда, ищут почему-то на бесплатных площадках, а на платных ищут почему-то только личного с зарплатой 120-150 тысяч на руки. (Такое состояние дел я увидел в момент написания статьи, в будущем будет что-то иное.)
Ранее компания уже созданием продуктов СОРМ, что отдаленно (очень отдаленно) походит на DPI, но по скоростям обработки не сравнится. Одним словом, по той информации, что размещена в интернете, складывается ощущение, что компания готова делать оборудование подобного уровня, но ранее делала оборудование классом попроще. Также вероятно, что большой тираж оборудования они не потянут, а сделают только инженерный образец, который дальше будет штамповаться на других мощностях (возможно, этот кусок пирога отойдет как раз к Ядру).
Кстати, о деньгах. По данным , за 2022 год прибыль Ядра составила 7, 213 млрд рублей, что при среднесписочной численности сотрудников (542 человека) получается по 13.3 млн на человека. Интересно, всем ли сотрудникам Дед Мороз под новый год такой щедрый подарок приносит, или только владельцам? По , численность в 2021 году составляла 476 человек. А вот уже в 2024 году гендиректор ИКС Холдинга (материнская компания) о 4,5 тыс. сотрудников.
В РФ живет около 146 млн человек. 99% не захотят платить никакие деньги за починку ютуба. Оставшийся 1% раскошелится. За год платного VPN заплатят около 5000 руб (ссылки давать не буду), а, скажем, за новый с поддержкой всякого-разного – 23000. Есть и дешевле, и дороже. Оценим средне-потолочно затраты этого 1% людей, желающих починить youtube, за 10 тысяч рублей. Получается, 146000000 * 0.01 * 10000 = 14,6 млрд рублей. Примерно сопоставимо с бюджетом на производство ТСПУ.
Во-первых, значительная часть денег, которая пройдет через эти компании, пойдет на закупку серверов, которые, наиболее вероятно, окажутся импортными. А это влечет закупку жестких дисков от Seagate, Toshiba, Dell, процессоров от Intel и AMD. В случае особой принципиальности покупать жесткие диски смогут и в России. Это значит, что заказы потекут в уже упоминавшееся Ядро.
Во-вторых, не стоит воспринимать Rutube, VK Видео и Платформу как чисто российский бизнес и историю с блокировкой ютуба как чисто внутрироссийские конкурентные разборки. Мы живем в 21 веке, в эпоху господства крупных монополий (если кто не заметил, уже больше века как). Потому любая крупная компания обрастает кучей международных финансовых связей в плане «я владею-мной владеют». И компании-конкуренты ютуба – не исключение. Нетрудно будет увидеть, что прибыль от «прижатия» ютуба СОГАЗ, Газпром-Медиа Холдинг или Ростех, но и Alibaba Group, Tencent и прочие.
Чтобы это установить, я попытался по крупицам собрать открытую информацию, добавил анализ используемых технических решений и технологических возможностей и на этой базе выявил те компании, которые являются прямыми и косвенными выгодоприобретатели от блокировки. Список оказался не такой уж и маленький, и в нем представлен как российский, так и зарубежный монополистический капитал. Как мы любим, в конце я приведу общую схему, визуализирующую всех основных актеров этой пьесы и все основные отношения между ними.
База: ТСПУ, РКН, DPI
На всякий случай начнем с азов. Определим объект, о котором будем говорить. Блокировка, она же замедление, она же «а у меня на телефоне все работает», она же «само поломалось» - катастрофическое падение скорости выкачивания данных с Youtube, вплоть до нуля. , что это происходит вследствие работы некой фильтрующей аппаратуры, которая использует прореху в расширении SNI протокола TLS.Что это может быть за аппаратура такая, кто ее устанавливает, производит и заказывает? Могут ли это быть случайные неизвестные злоумышленники? Нет, потому что, работая в масштабе страны, они должны были быть быстро найдены и наказаны как посягающие на право свободного распространения информации, а это право закреплено в пункте 4 статьи 29 . Получаем, что такое действие, как установка и поддержание специальной фильтрующей трафик аппаратуры, невозможна без государственного участия, которое в этом случае должно подкрепляться соответствующим законом.
И такой закон есть – это . Согласно этому закону, каждый оператор связи должен установить у себя ящики ТСПУ (технические средства противодействия угрозам), а отчитываться об этом в «федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи», то есть Роскомнадзор. При этом все ТСПУ находятся под управлением (ЦМУ ССОП), созданного на базе ФГУП «ГРЧЦ». Фактически, ЦМУ ССОП – это техническое подразделение Роскомнадзора.
При этом ТСПУ должны устанавливаться за счет государства. В 2019–2021 годах в федеральном проекте «Информационная безопасность» на реализацию всех амбициозных целей заложено более 30 млрд руб., из которых . Согласно , по федеральному проекту «Инфраструктура кибербезопасности» в течение следующих пяти лет (2025-2030 годы) планируется как модернизировать ранее установленные ТСПУ, так и установить новые, и на это предполагается выделить за пять лет 58,97 млрд рублей из федерального бюджета.
Сколько реально денег было потрачено за прошедшие годы, публично не объявлялось. Один только раз чиновник из ЦМУ ССОП физически поставлено.
Можно примерно прикинуть, сколько стоит оснастить 1 узел провайдера оборудованием ТСПУ. Если предположить, что оборудование, заказанное в 2021 году, фактически было изготовлено и доехало только в 2023 году, то тогда цифры можно свести в одну формулу деления, и получится 20800 / 1360 = 15.3 млн на узел. К сожалению, нет полной ясности, что такое узел – коробочка формата 1U или несколько серверных стоек, битком забитых такими коробочками. Впрочем, немного информации всё же есть.
А вот как выглядит реальный ТСПУ :
Собранный комплекс ТСПУ
Автор этой фотографии - Павел Васильев, и , что ТСПУ занимает «как минимум, пол-стойки оборудования на узле связи».
Далее. Ядро и центральный элемент ТСПУ – это сервер DPI. DPI (англ. Deep Packet Inspection) – технология, подразумевающая глубокий анализ, обработку, фильтрацию и подмену пакетов в режиме реального времени. Слово «глубокий» подразумевает не какую-то аццкую сложность процесса анализа, а просто тот факт, что анализ пакетов будет проводиться на разных уровнях модели OSI, вплоть до той глубины, на которой не окажется шифрование.
Технология DPI возникла и развилась в среде провайдеров интернета. Фактически, для выполнения нескольких чисто коммерческих целей, связанных с наполнением кошельков уважаемых людей.
Первая цель – выявлять и тормозить скорость выкачивания у того числа собственных клиентов, кто действительно много качает. Неважно, что по договору скорость 300 Мбит/c. Важно то, что если на этой скорости клиент будет качать больше n минут, то владелец компании-провайдера будет считать, что лично его обкрадывают. При том, что ничего со стороны клиента не нарушается. В общем, с точки зрения компании-провайдера это недопустимо, и скорость они резали, режут и будут резать, и плевать они хотели на собственный договор. Вот причастные .
Вторая цель – ограничивать конкретно торренты, то есть помочь другим уважаемым людям, которые делают деньги на частном владении продуктами интеллектуальной деятельности всего общества. Тем более если эти уважаемые люди настойчиво об этом просят, используя для этого и механизмы государственного принуждения. Рука руку моет, и провайдеры идут навстречу, особенно учитывая то, что это не противоречит первой цели. Как относиться к ограничению торрентов, каждый решает сам, но когда, к примеру, мультфильмы, нарисованные советскими мультипликаторами, оказываются чьей-то коммерческой собственностью, то через некоторое время собственник ограничивает их бесплатное хождение, и бесплатно (или без рекламы) они оказываются доступны только на торрентах. Как тебе такое, Илон Маск?
Третья цель – внедрять в исходный код страницы рекламу. Когда-то это было прямо заветной мечтой для всех провайдеров. Сейчас, когда страницы в основном зашифрованы, эта ниша поучения прибыли распределена между другими игроками.
К слову, технология DPI позволяет провайдерам закрывать и многие другие текущие операционные потребности, в целом более «травоядные». Анализ трафика используют не только провайдеры, не только государственные учреждения (например, школы) в разных странах, а вообще фактически кто угодно. У кого есть деньги, и кто хочет эти деньги сохранить. Вот, , и Google использует в своей инфраструктуре глубокий анализ трафика, чтобы не давать создателям контента выкачивать свой собственный контент на площадки-конкуренты (или даже просто на свой личный жесткий диск). Как известно, в деле свободного распространения информации все равны, но некоторые равнее. Им и виднее, кому что разрешать.
В общем, как только технологии DPI стали более-менее работоспособны, как только устаканились производственные мощности, к делу использования DPI не могло не подключиться и государство. Российское, американское, израильское, саудовское, французское, канадское, иранское и любое другое, у которого есть бюджет и цель. Ну хотя бы потому, что открыто не противодействовать сайтам по продаже наркотиков и сайтам, продающим всякие запрещенные уголовные услуги – это как-то нехорошо. Поставить какой-никакой, а барьер, надо. Дальше-больше. И вот под запретами, например, в Саудовской Аравии оказываются Skype, Messenger, WhatsApp и Viber, в Китае Signal, а в России Instagram и Facebook. А крупные IT-гиганты, такие как Cisco (США), Huawei (Китай), Allot Ltd. (Израиль), Procera Networks (США), Nexa Technologies / Amesys / Groupe Bull (Франция) с радостью продают DPI-оборудование по всему миру. Рынок устройств DPI стремительно растет, и в 2019 году в 8,7 млрд долларов США, а стабильный ежегодный рост по оценкам составляет около 8%.
Итак, понятно, что краеугольный камень в блокировке Youtube в России – оборудование DPI. Какое же именно оборудование, от каких производителей прямо сейчас используется для этих целей? Чтобы это понять и, по крайней мере, сузить круг поиска, не обойтись без анализа используемых технологий. Этот же анализ позволит предсказать, в каком направлении пойдет вся эта история, и кто в ближайшем будущем станет производить все оборудование для DPI в России.
Технологии для оборудования DPI
Оттолкнемся от задачи. Как уже было , блокировка youtube сводится к тому, чтобы в потоке трафика выделить ClientHello запрос в протоколе TLS, затем в нем найти незашифрованный SNI, содержащий имя сервера, к которому идет подключение - googlevideo.com. Фактически, упрощая, есть входной буфер ip-пакетов, надо по нему итерационно пробежаться, найти подстроку, затем от места начала подстроки взять некое смещение – и вот он, адрес youtube.В чем сложность этой задачи? В том, что это надо делать в режиме реального времени на входном потоке большой скорости (речь про десятки и сотни гигабит в секунду). В чем еще? В том, что неплохо бы на будущее иметь возможность легко перенастроить алгоритм (а то вдруг rutube захочется замедлить). В чем еще? В том, чтобы сразу заложить защиту от запутывания систем DPI (например, от GoodbyeDPI), то есть научиться обрабатывать разбитые, фрагментированные пакеты и пакеты с прочими изменениями.
Какие существуют технологии в разработке программно-аппаратных комплексов, которые потенциально могли бы решить подобную задачу? К счастью, немного.
Технология 1. Просто железо.
Когда задача имеет узкие рамки, можно просто сделать микросхему небольшого размера и небольшого энергопотребления. Там может вообще не быть процессора и даже памяти (или очень небольшая). Типа калькулятора, который имеет только функции калькулятора и ничего более. Стоить такая схема будет очень недорого, особенно если массово ее штамповать в Китае. По такому пути идут производители простых роутеров, наушников и прочего ширпотреба. Этот путь решения для текущей задачи точно не подходит, ввиду нерасширяемости по задаче. В общем, проходим мимо.Технология 2. Обычное компьютерное железо + программа на C/С++.
Можно взять обычный ПК с сетевой картой подороже и на обычном процессоре запускать обработку ip-трафика для целей DPI. Для этого есть даже открытые библиотеки и . Затраты на программирование, казалось бы, небольшие, а стоимость компьютерного железа приемлемая. Но есть нюансы. Если поток тонкий (скажем, до 100 Мбит/c), его почти наверняка можно обработать почти на любом процессоре в связке с почти любой материнской платой. Скорость в несколько сотен МБит/с тоже потянет почти любой современный процессор с современной материнской платой. А вот дальше начнутся неустранимые проблемы. Проблемы с принятием сокетов операционной системой. Проблемы с доступом к памяти на такой скорости (вы же будете гонять данные из памяти в процессор и обратно кругами, и чем глубже закопаны искомые данные, тем больше). Проблемы с корректным распараллеливанием и снова доступом к памяти. В общем, этот путь возможен, но ограничен теми параметрами, которые дает обычное, не узкоспециализированное железо, то есть связка сетевая карта+материнка+процессор на обычной ОС. Сколько это будет по скорости обработки потока? Сложно сказать, пока не попробуешь. Я удивлюсь, если сможем выжать больше 1 Гбит/с. Этого маловато для решения нашей сверхзадачи, потому идем дальше.Технология 3. Специальное компьютерное железо + специальное ПО на C/С++.
Творчески разовьем предыдущий подход. Предположим, вместо простой материнки от Asus мы закажем плату с повышенными характеристиками. Распаяем на ней сразу несколько 10-гигабитных портов. А можем раскрыть варежку пошире и выбрать порты помощнее, например QSFP с пропускной способностью 40 Гбит/с. Возьмем также шину помощнее (а то, к примеру, на PCI Express v4.0 x4 больше 64 Гбит/с мы не получим). Для того, чтобы операционная система перестала быть бутылочным горлышком в принятии сетевых пакетов, используем технологию под Linux. Ну, еще процессор помощнее закупим, . Или сразу два процессора посадим, если материнская карта будет серверного типа. Обработку ip-трафика будем делать по-прежнему через открытые библиотеки и . Что по факту получим? Получим неплохую скорость обработки и относительно легкую возможность менять исходный код, подстраиваясь под меняющуюся задачу. Что еще получим? Получим не самое дешевое железо за счет недешевых процессоров и заказной серверной материнской платы (типа или ). Энергоэффективность тоже не лучшая. Что с ограничениями по скорости? Мы в них точно упремся, поскольку мы пытаемся решить узкоспециализированную задачу средствами процессора общего назначения. Именно процессор станет узким местом. Скорость обработки потока оценить крайне сложно, пока не реализуешь задачу полностью на конкретном варианте железа, но предполагаю, что это будет в районе пары-тройки десятков Гбит/c (если железо не совсем космической стоимости). Да еще придется мириться с некоторой непредсказуемостью по скорости обработки. Одна порция данных обработается за X мс, а следующая неожиданно за X * 1.3, например. Задержку трафика тоже оценить проблематично, а уж тем более гарантировать приемлемый минимум. А чего вы хотели от такой общей связки? Но в целом это хороший, годный подход.
Суть технологии DPDK.
Технология 4. Специальный аппаратный комплекс на базе сложной схемотехники (ПЛИС).
Творчески разовьем предыдущий подход. Предположим, вместо простой материнки от Asus или неплохой от Supermicro мы закажем специальную печатную плату и посадим на нее несколько маленьких энергоэффективных вычислительных компонентов, которые можно будет программировать. Что это? Это микропроцессоры и ПЛИСы (программируемые логические интегральные схемы). Скорости микропроцессоров нам, естественно, не хватит, а вот ПЛИСы – то, что надо. Тактовая частота работы ПЛИСа - примерно на порядок меньше, чем тактовая частота работы CPU, но зато возможности по распараллеливанию у ПЛИСа почти не ограничены, а проблем с обращением к памяти (медленное вычитывание из регистров памяти, затем копирование в регистры кэшей процессора) – в архитектуре ПЛИС вообще нет, все операции делаются параллельно на тактовой частоте (я упрощаю, но суть такая).Применительно к нашей задаче (поиск и фильтрация пакетов) на ПЛИСе можно реализовать конвейер: каждый такт берем n байт со входа (сетевого порта), кидаем на параллельно работающий конвейер, еще через m тактов получаем выход из конвейера. При этом все гарантировано: гарантированная скорость обработки, гарантированно постоянная задержка пакетов, гарантированное отсутствие потерь пакетов, гарантированная загруженность ПЛИС и гарантированное энергопотребление (относительно небольшое).
Что со скоростью обработки? Берем тактовую частоту, умножаем на n, получаем скорость. От тактовой частоты зависит цена ПЛИСа. Возьмем, к примеру, что-то из хорошего среднего: с тактовой 800 МГц. Возьмем n по минимуму – 1 байт (в реальности, я почти уверен, можно так сконфигурировать ПЛИС, чтобы сделать n в несколько раз больше, это зависит от мастерства разработчика и нюансов задачи). Итак, на для n = 1 на Xilinx Zynq-7000 получим скорость обработки 6.4 Гбит/c. Теперь разместим на печатной плате не одну ПЛИС, а сразу восемь. Получим 51.2 Гбит/c в корпусе 1U. Неплохо. Возьмем 10 таких ячеек и закроем 500 Гбит/c. Глядишь, и один узел провайдера закрыли.
Какие минусы такого подхода? Во-первых, не любую задачу можно эффективно решить на ПЛИСе. Во-вторых, программировать на ПЛИС (а точнее, конфигурировать ПЛИС) – это довольно сложно, это вам не парсеры на питончике писать. В-третьих, у любого ПЛИСа есть эффект ограничения по ресурсам, который неприятно проявляется в следующем. Вот вы успешно решили свою задачу, качественно сконфигурировали ПЛИС, все работает. А потом к задаче прилетело дополнение. Ну, например, применительно к нашей задаче – хотим находить SNI не в одном пакете, а в двух соседних, то есть с учетом фрагментации. И, как следует подумав, вы понимаете, что имеющихся ресурсов ПЛИСа просто не хватит, переписать и обновить прошивку не получится. И решение, по сути, одно – делать следующее поколение оборудования, закупать другие ПЛИСы, заказывать новые печатные платы.
В общем, это решение – самое лучшее, если задача на нее «ляжет», но одновременно и самое сложное. На технологиях №3 и №4 вполне можно делать оборудование DPI. Запомним это и пойдем дальше – к интересному. Кто же является выгодоприобретателями блокировки Youtube?
Выгодоприобретатель №1. Интегратор ТСПУ и DPI.
Акционерное общество «Данные – центр обработки и автоматизации» (сокращенно - ДЦОА). Именно эта коммерческая компания систем глубокой фильтрации трафика (DPI) на сетях операторов связи в России. Судя по опубликованным вакансиям на сайте , она до сих пор занимается установленного оборудования ТСПУ. , В 2021 году численность компании составляла 179 человек, а налогов за 2022 год она заплатила 1,136 млрд. руб. То есть более 6 млн рублей налогов на человека. Примечательно, что некоторое время эту компанию возглавлял – кадровый сотрудник таких It-гигантов, как Ericsson, Nokia и Huawei. На несколько лет из бизнес-кресла топ-менеджера он пересел в кресло заместителя министра связи и массовых коммуникаций, чтобы потом обратно вернуться в коммерцию. Как говорится в неустаревающей классике, сегодня банкир - завтра министр, сегодня министр – завтра банкир. Это капитализм, детка!Выгодоприобретатель №2. Производитель DPI для ТСПУ «первой волны».
RDP.ru – резидент кластера Сколково. Уже довольно давно они продают продукты линейки EcoDPI. Ничего не скрывая, прямо на своем сайте :Они честно выложили и для этого продукта, в котором слово «Роскомнадзор» упоминается более 30 раз. Не забыли и честно рассказать про SNI:
Скриншот с на устройство EcoSGE
Ок, а насколько самостоятельно они делают подобные продукты? Или в продукте только шильдик и документация их производства? Очень похоже на второй вариант. Судите сами. Выше я подробно описал технологии, которые должны использоваться при построении устройств DPI. Это либо устройства на базе ПЛИС и прочей сложной схемотехники (предпочтительно), либо на базе специальной печатной платы серверного типа с мощными процессорами общего назначения. Внешне корпус должен выглядеть как ящик, набитый портами Ethernet и дырками для отвода тепла. Ну так есть, RDP.ru и картинку своих устройств :
c 16 портами 10Гб/c
Тогда, если предположить, что компания RDP.ru сама полностью разрабатывает программно-аппаратные комплексы DPI, то для создания продуктов она должна искать искать либо плисоводов, либо программистов C/C++ со знанием библиотек , или . Вместо этого компании разработчики на JavaScript и Go. Значит, они просто пишут обёртки над созданной кем-то чужой функциональностью. Например, для того, чтобы на веб-интерфейсе продукта был бы русский язык, а, скажем, не иврит. Кстати, это и директор Центра специальных проектов Главного радиочастотного центра при Роскомнадзоре Сергей Темный:
Кто именно из зарубежных «партнеров» на самом деле делал оборудование DPI по заказу RDP.ru (и кому шли деньги за рубеж) – тайна за семью печатями. Понятно только то, что стоило такое оборудование недешево, ведь в рекламе товара EcoFilter 4080 (средняя по характеристикам модель родственного семейства) , что «производительность DPI-системы составляет до 160Gbit/c в 1U».
Кстати, про деньги. за 2023 год ООО "РДП.РУ" получила выручку в сумме 7,3 млрд рублей, заплатив налогов на 1,219 млрд. рублей. Результатом работы ООО "РДП.РУ" за 2023 год стала прибыль в размере 2,2 млрд руб. В пересчете на 220 её сотрудников это получается 10 млн. чистой прибыли (без учета заплаты) на человека. Интересно, а сотрудники про это знают? Ранее компания Ростелеком (видимо, чуя предстоящую прибыль) приобрела ООО «РДП.ру» за .
Другие производители DPI
В России есть немало организаций, осуществляющих продажу оборудования DPI. Например, это Группа компаний «Гарда» со своим продуктом «Гарда DPI», или VAS Experts с продуктом «СКАТ DPI», или «DPI-платформа» от НТЦ Протей. Эти компании , что их дело – только софт, а серверное железо будет стороннее, покупающееся за рубежом (они логично идут не по пути своей схемотехники, а по пути наименьшего сопротивления - по пути импортных дорогущих и энергопотребляющих серверов, собранных под ключ). На данный момент нет подтверждений и каких-либо упоминаний, что эти компании занимаются продажей устройств DPI именно для РКН. Возможно, как раз именно по причине используемых технологий – сейчас (в свете санкций) закупать серверную технику за рубежом неактуально.Выгодоприобретатель №3. Современные производители DPI для ТСПУ.
Да, после 2022 года легкие пути получения DPI были обрублены «зарубежными партнерами». Встал вопрос о производстве железа внутри РФ. Понятно, что компонентную базу придется все равно везти из-за рубежа, но собирать из нее аппаратуру – придется. Это не просто сборка, это крайний сложный технологический процесс проектирования, требующий не просто кадров, а готовых, сформировавшихся коллективов, способных выполнять такие задачи. А задачи состоят в конфигурировании ПЛИСов, трассировке печатных плат, верификации цифровых схем, в конструкторских расчетах по теплоотводу, в низкоуровневом программировании, в испытаниях продукции на разных этапах производства и пр. В сухом остатке, это создание аппаратно-программных комплексов на базе ПЛИС (с возможным креном в ASIC) и производство полного цикла. Так вот, таких компаний в РФ, способных тысячными тиражами производить узкоспециализированые ячейки, очень мало. Если не сказать, что такая компания есть ровно одна. Это «КНС групп» (более известная под брендом YADRO), принадлежащая ИКС Холдингу. Потому я не удивился, увидев от CNews:С Ядром все понятно, это гигант отечественного разлива, широко себя рекламирующий на выставках, ярмарках вакансий, имеющий почти неограниченный доступ к рекрутинговой базе, активно набирающий инженеров и программистов разных мастей (в момент написания текста у них на Экс экс.ru).
Что касается Сигналтека, то информации о ней мало. Известно, что компания это небольшая ( ), но состоящая, как кажется, не из перепродажников, а из инженеров и программистов. Прямо сейчас они ищут со знанием DPDK, а , а также Правда, ищут почему-то на бесплатных площадках, а на платных ищут почему-то только личного с зарплатой 120-150 тысяч на руки. (Такое состояние дел я увидел в момент написания статьи, в будущем будет что-то иное.)
Ранее компания уже созданием продуктов СОРМ, что отдаленно (очень отдаленно) походит на DPI, но по скоростям обработки не сравнится. Одним словом, по той информации, что размещена в интернете, складывается ощущение, что компания готова делать оборудование подобного уровня, но ранее делала оборудование классом попроще. Также вероятно, что большой тираж оборудования они не потянут, а сделают только инженерный образец, который дальше будет штамповаться на других мощностях (возможно, этот кусок пирога отойдет как раз к Ядру).
Кстати, о деньгах. По данным , за 2022 год прибыль Ядра составила 7, 213 млрд рублей, что при среднесписочной численности сотрудников (542 человека) получается по 13.3 млн на человека. Интересно, всем ли сотрудникам Дед Мороз под новый год такой щедрый подарок приносит, или только владельцам? По , численность в 2021 году составляла 476 человек. А вот уже в 2024 году гендиректор ИКС Холдинга (материнская компания) о 4,5 тыс. сотрудников.
Выгодоприобретатель №4. Производители компонентной базы для аппаратуры DPI.
Если не учитывать всякие мелочи, типа резисторов-транзисторов и модулей памяти, то, по большому счету, дорогая компонентная база заключается всего в трех наименованиях: ПЛИСы, процессоры и серверные материнские платы. Во всех случаях это монополистические истории. Судите сами. Процессоры делают Intel и AMD, а ПЛИСы – Xilinx (c 2022 года принадлежит AMD) и Altera (c 2015 года принадлежит Intel). Есть еще производители поменьше, но это нишевые решения с маленьким охватом рынка. Серверные карты в основном делают Supermicro и Asus.Выгодоприобретатель №5. Продавцы обхода блокировок.
Действие рождает противодействие. Блокировка ютуба родила способы ее обхода. Вернее, способы появились очень давно, но монетизироваться в этом ключе стали совсем недавно. Блокировка ютуба очень порадовала как владельцев зарубежных платных VPN-сервисов, так и производителей роутеров (не все роутеры можно перепрограммировать под GoodbyDPI или какой-нибудь тоннель, потому купить новый роутер, который поддерживает эти функции - заманчиво). Деньги лишними не бывают. Кстати, сколько денег перепало владельцам средств производства в этих нишах? Статистики по росту продаж роутеров пока еще нет, как нет и статистики пользования платными VPN. Можно попытаться оценить на пальцах.В РФ живет около 146 млн человек. 99% не захотят платить никакие деньги за починку ютуба. Оставшийся 1% раскошелится. За год платного VPN заплатят около 5000 руб (ссылки давать не буду), а, скажем, за новый с поддержкой всякого-разного – 23000. Есть и дешевле, и дороже. Оценим средне-потолочно затраты этого 1% людей, желающих починить youtube, за 10 тысяч рублей. Получается, 146000000 * 0.01 * 10000 = 14,6 млрд рублей. Примерно сопоставимо с бюджетом на производство ТСПУ.
Выгодоприобретатель №6. Конкуренты.
Rutube, VK Видео, Платформа. На сколько наварятся эти компании, мы еще увидим. Статистики пока нет. Я хотел бы напомнить 2 важных в этой теме момента.Во-первых, значительная часть денег, которая пройдет через эти компании, пойдет на закупку серверов, которые, наиболее вероятно, окажутся импортными. А это влечет закупку жестких дисков от Seagate, Toshiba, Dell, процессоров от Intel и AMD. В случае особой принципиальности покупать жесткие диски смогут и в России. Это значит, что заказы потекут в уже упоминавшееся Ядро.
Во-вторых, не стоит воспринимать Rutube, VK Видео и Платформу как чисто российский бизнес и историю с блокировкой ютуба как чисто внутрироссийские конкурентные разборки. Мы живем в 21 веке, в эпоху господства крупных монополий (если кто не заметил, уже больше века как). Потому любая крупная компания обрастает кучей международных финансовых связей в плане «я владею-мной владеют». И компании-конкуренты ютуба – не исключение. Нетрудно будет увидеть, что прибыль от «прижатия» ютуба СОГАЗ, Газпром-Медиа Холдинг или Ростех, но и Alibaba Group, Tencent и прочие.
Схема выгодоприобретателей
На основании полученных данных, я нарисовал примерный граф выгодополучателей от блокировки youtube. Схему намеренно упростил, сократив детали.
