«Википедия» и российские операторы 28 августа: хронология по часам и три оговорки

Что сообщили издания

По описанию 3DNews, сложности начались примерно в час ночи по Москве: доля неудачных попыток открыть энциклопедию подскочила до 98 %, а к утру на платформе Detector404 о невозможности попасть на сайт сообщили 350 пользователей. Издание отдельно подчёркивает, что проблема отмечена только у пользователей с российскими IP-адресами — глобального сбоя в работе энциклопедии не было.

«Хабр» описывает симптом дословно так: сайт «перестал открываться без дополнительных сетевых средств у большинства российских операторов связи», причём происходит «бесконечная загрузка, после чего соединение обрывается». Там же сказано, что спустя восемь часов после начала ситуация прекратилась и ресурс снова стал доступен. Согласно статусу самого проекта, все IT-системы энциклопедии работали штатно.

Внешнюю сторону этого утверждения мы проверили сами, за пределами российского контура: 30 августа адрес `ru.wikipedia.org` отвечает кодом 200, отдаёт 316 килобайт и делает это за шесть сотых секунды. Версия «упала сама Википедия» закрывается полностью — с площадкой всё в порядке, вопрос только в пути до неё. Обратную сторону называем честно: изнутри российских сетей мы не измеряем и проверить жалобы своими руками не можем.

Официальной причины нет до сих пор. Сообщений от властей о блокировке не поступало, комментариев регулятора по инциденту не было. По пересказу «Общественной службы новостей» со ссылкой на ТАСС, 29 августа председатель профильного комитета Госдумы по информационной политике сказал, что данными о каких-либо новых мерах воздействия на энциклопедию комитет не располагает; прямых цитат в материале нет, поэтому подаём это именно как пересказ.

Прибор первый: активные замеры OONI подтверждают восемь часов

OONI — открытая система измерения доступности сайтов: добровольцы запускают зонды, те выполняют тесты и складывают результаты в общедоступную базу. В отличие от жалоб, это активные проверки, и их можно разложить по часам.

Картина по `ru.wikipedia.org` с зондов в России, в московских сутках, получается такая. С 25 по 27 августа — ноль аномалий на 26, 33 и 33 замерах соответственно, ровный фон. 28 августа — 13 аномалий на 61 замер. 29 и 30 августа — снова ноль, на 32 и 16 замерах.

Внутри 28 августа аномалии сидят плотной группой в ночных часах: 00:00, 01:00, 02:00, 04:00, 06:00 и 08:00 по Москве, причём в каждом из этих часов, кроме самого первого, аномальными оказались все выполненные замеры без исключения. Дальше — затухание: в 11:00 аномальны 3 замера из 13, в 16:00 — один из восьми, а с 17:00 и до конца суток чисто. То есть заявленные изданиями восемь часов — не приблизительная оценка из воздуха, а то, что действительно видно на активных замерах.

Тот же прибор поправляет одну деталь, которая кочует по пересказам. Английская версия энциклопедии пострадала ровно так же, как русская: 28 августа — 10 аномалий на 42 замера против 13 на 61, а в ночные часы аномальны опять же все замеры подряд. Значит, речь не о выборочном воздействии на русскоязычный раздел — задет домен целиком.

И главная оговорка, без которой эти числа читать нельзя. Замеров мало: один-тринадцать в час. «Сто процентов» на выборке из двух измерений — это указание, а не статистика, и превращать такие доли в «процент пострадавших пользователей» нельзя. Отдельно отметим, что за все шесть суток система не пометила ни одного случая как подтверждённую блокировку — счётчик подтверждённых блокировок стоит на нуле. Аномалия означает «соединение повело себя не так, как ожидалось», и не более того.

Прибор второй: жалобы людей идут дольше, чем аномалии зондов

Второй источник — Detector404, публичный детектор сбоев, который собирает сообщения пользователей и держит собственные сенсоры в 34 городах. Его лента сообщений расходится с картиной активных замеров, и расхождение стоит показать, а не сглаживать.

Сообщения на странице энциклопедии идут так: 28 августа — с 09:14 до 20:27 по Москве, десять штук подряд. Затем, уже на следующие сутки, 29 августа — 11:46, 16:33, 17:55, 19:48 и 19:55. Одна из реплик 29 августа сформулирована недвусмысленно: «Не грузит вообще со вчерашнего дня». Служебная метка «данные последнего сбоя» на той же странице указывает на 29 августа, 20:43 по Москве.

Получается так: активные зонды с вечера 28 августа не видят ничего, а люди продолжают жаловаться ещё сутки. Это не обязательно противоречие. У зондов своя, довольно узкая география и свой набор операторов, а жалобы приходят откуда угодно и вдобавок часто отправляются с опозданием, уже по остывшей проблеме. Но и списывать хвост целиком на инерцию нельзя — честный вывод в том, что два прибора дают разный ответ на вопрос «когда закончилось», и одного правильного ответа у нас нет.

Числа жалоб при этом требуют такой же осторожности, как проценты OONI. Они самозаявленные, а счётчик нажатий «сообщить о проблеме» и лента текстовых реплик считают разное: 350 в одном месте и полтора десятка комментариев в другом друг другу не противоречат. Заметили мы и внутреннее расхождение самого прибора — панель распределения по регионам показывает проценты в тот момент, когда счётчики жалоб стоят на нуле, поэтому региональные доли мы не используем вовсе.

На 30 августа оба прибора сходятся: у Detector404 жалоб за час ноль, за сутки ноль, городов со сбоями ноль; у OONI аномалий ноль. Сейчас энциклопедия у российских операторов открывается.

Почему объяснение через подмену DNS не сходится с симптомом

Днём раньше, 27 августа, появились подробные описания того, как на технических средствах противодействия угрозам начали перехватывать открытые DNS-запросы к публичным резолверам и разворачивать их на инфраструктуру национальной системы доменных имён. Соблазн связать одно с другим велик: событие смежное и произошло буквально накануне.

Но симптом не сходится, и это видно из рассуждения, а не из замера. Когда ломается разрешение имени, браузер спотыкается мгновенно: он не получает адрес и почти сразу показывает ошибку имени. Описанная же картина — «бесконечная загрузка, после чего соединение обрывается» — означает, что адрес был получен, соединение до сервера начало устанавливаться и оборвалось уже на следующем шаге. Это поведение другого слоя, не DNS. Косвенно в ту же сторону говорит и ровный фон OONI 27 августа: перехват DNS к тому моменту уже описывали, а аномалий по домену энциклопедии в тот день не было ни одной.

Поэтому мы подаём это как версию и не более: наблюдаемое поведение похоже на вмешательство на этапе установления защищённого соединения, когда имя запрашиваемого сайта ещё передаётся в открытом виде и по нему можно принять решение. Прямых доказательств именно такого механизма в публичном поле нет, официальных объяснений нет вовсе, и ни одна из измерительных систем блокировку не подтвердила.

Практическое следствие для читателя от версии не зависит. Если сайт не открывается у конкретных операторов связи, а из-за пределов их сетей отвечает нормально и быстро, дело в пути до сайта, а не в самом сайте. Этим случай и отличается от истории, когда сервис действительно выключен или потерял управление своим доменом: там обходной маршрут не помогает по построению, потому что помогать нечему. И ещё одно, что стоит забрать из этого сюжета: сообщение «сбой длился восемь часов» описывает ту фазу, которую поймали приборы, а не обязательно тот момент, когда у конкретного человека всё снова заработало.