#диагностика

Что случилось: блокировка на уровне ТСПУ

Клиенты компании «Монета» неожиданно перестали подключаться к её серверам, а их собственные сайты стали недоступны. Кроме того, уведомления о платежах, отправляемые через Pay URL, не доходили до получателей. Первичная проверка межсетевых экранов и сбор трассировок с обеих сторон не выявили проблем внутри инфраструктуры «Монеты». Причина оказалась вне её сети — в сегменте, обслуживаемом ТСПУ (Транспортным сетевым провайдером услуг).

Для системного администратора такой сценарий выглядит как «чёрный ящик»: клиент не может достучаться до сервиса, но все проверки внутри компании показывают «всё в порядке». Ниже разложим, какие шаги необходимо выполнить, чтобы быстро локализовать проблему, собрать доказательства и совместно с регулятором (ВТС) довести запрос до полного решения.

Как отличить ошибочную блокировку от внутренних сбоев

1. Проверка доступности из разных точек

   • Выполнить curl -I https://<host> и curl -I http://<host> как с сервера «Монеты», так и с внешних публичных сервисов (например, https://www.cloudflare.com/trace).
   • Если запросы из внешних точек тоже получают ошибку соединения, подозрение смещается в сторону сети‑провайдера.

2. Трассировка маршрута

   • traceroute -T <ip> (TCP) и traceroute -U <ip> (UDP) позволяют увидеть, где именно «потерялся» пакет.
   • Если на нескольких последних хопах появляется «* * *» или время отклика резко возрастает, это указывает на возможную фильтрацию в ТСПУ.

3. Проверка портов с помощью nping

   • nping --tcp -p 443 <ip> проверит, открыты ли целевые порты на уровне транспортного уровня.
   • Если порт закрыт только из одной сети (например, из диапазона IP‑адресов ТСПУ), это подтверждает блокировку на уровне провайдера.

4. Сравнительный анализ логов

   • Сравнить логи веб‑серверов, балансировщиков и межсетевых экранов за период появления проблемы.
   • Отсутствие записей о отклонённых соединениях внутри «Монеты» подтверждает внешнее вмешательство.

Какие данные собрать для обращения в ВТС

Регулятор (ВТС) принимает заявки через личный кабинет, но без полной информации запрос может оставаться в статусе «Частично принята». Рекомендуемый набор материалов:

Тип данных	Что конкретно нужно предоставить
Трассировка	Полные результаты traceroute (включая время от начала до последнего хопа) с указанием даты и времени выполнения.
Тесты соединения	Выводы curl -v, nping и любые ошибки, полученные от клиента (например, Connection timed out).
Логи провайдера	Если у вас есть доступ к журналам NetFlow/ sFlow от ТСПУ, приложите их.
Схема сети	Диаграмма, где указаны границы инфраструктуры «Монеты», точки входа в ТСПУ и IP‑адреса, затронутые инцидентом.
Скриншоты	Ошибок в браузере, сообщения о недоступности Pay URL, а также статус заявки в ЛК ВТС.
Контактное лицо	ФИО и должность инженера, который проводил диагностику (в нашем случае — Евгений, DevOps‑инженер).

Все файлы лучше упаковать в один архив и загрузить в форму заявки. При необходимости добавьте короткое резюме: «Ошибка доступа к сервисам «Монета» после 2024‑10‑05, подтверждена трассировкой до хопа ТСПУ, запрос в ВТС № 123456, статус «Частично принята», проблема не решена».

Что делать, пока заявка в статусе «Частично принята»

1. Подтвердить полученные данные

   • Убедиться, что в заявке указаны все требуемые файлы. Отсутствие хотя бы одного пункта часто приводит к автоматическому отклонению.

2. Отправить уточняющий комментарий

   • В личном кабинете ВТС есть поле «Комментарий к заявке». Кратко опишите, какие шаги уже выполнены, и приложите ссылки на трассировки.

3. Запросить подтверждение от ТСПУ

   • Если у вас есть договорные контакты в ТСПУ, направьте им копию заявки и попросите подтвердить, что блокировка действительно произошла на их оборудовании.

4. Временные меры для пользователей

   • VPN: порекомендовать клиентам подключаться через проверенный VPN‑сервис, если это не нарушает политику компании.
   • Альтернативные URL: если Pay URL недоступен, настроить резервный адрес (например, https://pay-backup.moneta.ru).
   • Информирование: разместить на сайте и в службе поддержки сообщение о текущей проблеме и ожидаемом времени восстановления.

5. Мониторинг

   • Настроить автоматический ping/curl к ключевым сервисам и отправлять алерты в Slack/Telegram при изменении статуса. Это позволит быстро отреагировать, если блокировка будет снята частично.

Как решить проблему совместно с регулятором

1. Совместный анализ трассировок

   • После того как ВТС подтвердит наличие фильтрации в ТСПУ, попросите их предоставить детали политики фильтрации (например, «ACL‑ID 4523»).

2. Согласование изменения правил

   • Если блокировка вызвана ошибочной настройкой ACL, регулятор может потребовать официальное подтверждение от ТСПУ и от «Монеты», что изменение не нарушит национальные требования к безопасности.

3. Тестовый запуск

   • После изменения правил попросите ТСПУ выполнить тестовый traceroute и curl из своей сети. При положительном результате запрос в ВТС переводится в статус «Решено».

4. Документирование

   • Сохраните все письма, скриншоты и отчёты о тестах. Это понадобится для последующего аудита и для предотвращения повторения аналогичной ситуации.

Что это меняет для обычного пользователя

• Временная недоступность сервисов — платёжные ссылки могут не работать, а сайты клиентов могут показывать ошибку соединения.
• Увеличенный срок отклика — из‑за обхода блокировки через VPN или альтернативные URL время обработки платежа может удлиниться.
• Повышенный риск ошибок — при вводе данных вручную пользователи могут ошибаться, поэтому важно использовать проверенные каналы связи.

Для большинства конечных пользователей лучшая рекомендация — следить за официальными сообщениями компании, использовать указанные альтернативные ссылки и при необходимости обращаться в службу поддержки.

Как минимизировать риск повторения

• Регулярные проверки трассировки к ключевым сервисам (раз в неделю).
• Контрольный лист для администраторов, включающий сбор curl, traceroute, nping при любой потере соединения.
• Партнёрские соглашения с провайдерами, в которых прописаны процедуры уведомления о блокировках.
• Резервные каналы доставки уведомлений (SMS, email) помимо HTTP‑запросов.

Подобный подход позволяет быстро локализовать проблему, собрать доказательства и совместно с регулятором добиться снятия ошибочной блокировки без необходимости менять хостинг или IP‑адреса.

Источник: Ошибочная блокировка на ТСПУ: как системному администратору решить проблему совместно с регулятором