Блокировка сервисов «Монета» на уровне ТСПУ: диагностика и взаимодействие с ВТС

Что случилось: блокировка на уровне ТСПУ

Клиенты компании «Монета» неожиданно перестали подключаться к её серверам, а их собственные сайты стали недоступны. Кроме того, уведомления о платежах, отправляемые через Pay URL, не доходили до получателей. Первичная проверка межсетевых экранов и сбор трассировок с обеих сторон не выявили проблем внутри инфраструктуры «Монеты». Причина оказалась вне её сети — в сегменте, обслуживаемом ТСПУ (Транспортным сетевым провайдером услуг).

Для системного администратора такой сценарий выглядит как «чёрный ящик»: клиент не может достучаться до сервиса, но все проверки внутри компании показывают «всё в порядке». Ниже разложим, какие шаги необходимо выполнить, чтобы быстро локализовать проблему, собрать доказательства и совместно с регулятором (ВТС) довести запрос до полного решения.

Как отличить ошибочную блокировку от внутренних сбоев

Проверка доступности из разных точек
- Выполнить curl -I https://<host> и curl -I http://<host> как с сервера «Монеты», так и с внешних публичных сервисов (например, https://www.cloudflare.com/trace).
- Если запросы из внешних точек тоже получают ошибку соединения, подозрение смещается в сторону сети‑провайдера.
Трассировка маршрута
- traceroute -T <ip> (TCP) и traceroute -U <ip> (UDP) позволяют увидеть, где именно «потерялся» пакет.
- Если на нескольких последних хопах появляется «* * *» или время отклика резко возрастает, это указывает на возможную фильтрацию в ТСПУ.
Проверка портов с помощью nping
- nping --tcp -p 443 <ip> проверит, открыты ли целевые порты на уровне транспортного уровня.
- Если порт закрыт только из одной сети (например, из диапазона IP‑адресов ТСПУ), это подтверждает блокировку на уровне провайдера.
Сравнительный анализ логов
- Сравнить логи веб‑серверов, балансировщиков и межсетевых экранов за период появления проблемы.
- Отсутствие записей о отклонённых соединениях внутри «Монеты» подтверждает внешнее вмешательство.

Какие данные собрать для обращения в ВТС

Регулятор (ВТС) принимает заявки через личный кабинет, но без полной информации запрос может оставаться в статусе «Частично принята». Рекомендуемый набор материалов:

Тип данных	Что конкретно нужно предоставить
Трассировка	Полные результаты `traceroute` (включая время от начала до последнего хопа) с указанием даты и времени выполнения.
Тесты соединения	Выводы `curl -v`, `nping` и любые ошибки, полученные от клиента (например, `Connection timed out`).
Логи провайдера	Если у вас есть доступ к журналам NetFlow/ sFlow от ТСПУ, приложите их.
Схема сети	Диаграмма, где указаны границы инфраструктуры «Монеты», точки входа в ТСПУ и IP‑адреса, затронутые инцидентом.
Скриншоты	Ошибок в браузере, сообщения о недоступности Pay URL, а также статус заявки в ЛК ВТС.
Контактное лицо	ФИО и должность инженера, который проводил диагностику (в нашем случае — Евгений, DevOps‑инженер).

Все файлы лучше упаковать в один архив и загрузить в форму заявки. При необходимости добавьте короткое резюме: «Ошибка доступа к сервисам «Монета» после 2024‑10‑05, подтверждена трассировкой до хопа ТСПУ, запрос в ВТС № 123456, статус «Частично принята», проблема не решена».

Что делать, пока заявка в статусе «Частично принята»

Подтвердить полученные данные
- Убедиться, что в заявке указаны все требуемые файлы. Отсутствие хотя бы одного пункта часто приводит к автоматическому отклонению.
Отправить уточняющий комментарий
- В личном кабинете ВТС есть поле «Комментарий к заявке». Кратко опишите, какие шаги уже выполнены, и приложите ссылки на трассировки.
Запросить подтверждение от ТСПУ
- Если у вас есть договорные контакты в ТСПУ, направьте им копию заявки и попросите подтвердить, что блокировка действительно произошла на их оборудовании.
Временные меры для пользователей
- VPN: порекомендовать клиентам подключаться через проверенный VPN‑сервис, если это не нарушает политику компании.
- Альтернативные URL: если Pay URL недоступен, настроить резервный адрес (например, https://pay-backup.moneta.ru).
- Информирование: разместить на сайте и в службе поддержки сообщение о текущей проблеме и ожидаемом времени восстановления.
Мониторинг
- Настроить автоматический ping/curl к ключевым сервисам и отправлять алерты в Slack/Telegram при изменении статуса. Это позволит быстро отреагировать, если блокировка будет снята частично.

Как решить проблему совместно с регулятором

Совместный анализ трассировок
- После того как ВТС подтвердит наличие фильтрации в ТСПУ, попросите их предоставить детали политики фильтрации (например, «ACL‑ID 4523»).
Согласование изменения правил
- Если блокировка вызвана ошибочной настройкой ACL, регулятор может потребовать официальное подтверждение от ТСПУ и от «Монеты», что изменение не нарушит национальные требования к безопасности.
Тестовый запуск
- После изменения правил попросите ТСПУ выполнить тестовый traceroute и curl из своей сети. При положительном результате запрос в ВТС переводится в статус «Решено».
Документирование
- Сохраните все письма, скриншоты и отчёты о тестах. Это понадобится для последующего аудита и для предотвращения повторения аналогичной ситуации.

Что это меняет для обычного пользователя

Временная недоступность сервисов — платёжные ссылки могут не работать, а сайты клиентов могут показывать ошибку соединения.
Увеличенный срок отклика — из‑за обхода блокировки через VPN или альтернативные URL время обработки платежа может удлиниться.
Повышенный риск ошибок — при вводе данных вручную пользователи могут ошибаться, поэтому важно использовать проверенные каналы связи.

Для большинства конечных пользователей лучшая рекомендация — следить за официальными сообщениями компании, использовать указанные альтернативные ссылки и при необходимости обращаться в службу поддержки.

Как минимизировать риск повторения

Регулярные проверки трассировки к ключевым сервисам (раз в неделю).
Контрольный лист для администраторов, включающий сбор curl, traceroute, nping при любой потере соединения.
Партнёрские соглашения с провайдерами, в которых прописаны процедуры уведомления о блокировках.
Резервные каналы доставки уведомлений (SMS, email) помимо HTTP‑запросов.

Подобный подход позволяет быстро локализовать проблему, собрать доказательства и совместно с регулятором добиться снятия ошибочной блокировки без необходимости менять хостинг или IP‑адреса.

Источник: Ошибочная блокировка на ТСПУ: как системному администратору решить проблему совместно с регулятором