فیلترینگ از چند لایه ساخته شده است

وقتی سایتی را باز می‌کنید، چند اتفاق پشت سر هم می‌افتد: دستگاه نشانی سایت را از DNS می‌پرسد، به آی‌پی آن وصل می‌شود، در شروع اتصال رمزشده نام سایت را می‌فرستد و بعد صفحه را می‌خواهد. فیلترینگ می‌تواند در هر کدام از این مرحله‌ها دخالت کند، و یک سایت ممکن است هم‌زمان در چند لایه مسدود باشد.

• دستکاری DNS: سرور DNS اپراتور به‌جای آدرس واقعی سایت، یک آدرس داخلی مثل 10.10.34.34، 10.10.34.35 یا 10.10.34.36 برمی‌گرداند که صفحهٔ فیلتر را نشان می‌دهد.
• مسدودسازی بر اساس SNI: در شروع اتصال HTTPS، نام سایت معمولاً بدون رمز فرستاده می‌شود. تجهیزات اپراتور این نام را می‌خوانند و اتصال را قطع یا ریست می‌کنند، حتی اگر آدرس درست را داشته باشید.
• مسدودسازی آی‌پی: اتصال به خود آدرس سایت رد می‌شود یا بی‌جواب می‌ماند، هر نامی که بفرستید.
• کُند کردن (اختناق): سایت باز می‌شود ولی آن‌قدر کند یا ناپایدار که عملاً قابل استفاده نیست. این لایه با یک آزمون ساده سخت‌تر از بقیه دیده می‌شود.

در برابر هر لایه چه چیزی کمک می‌کند

هر ابزاری فقط روی لایهٔ خودش اثر دارد؛ برای همین گاهی عوض کردن DNS کافی است و گاهی هیچ اثری ندارد.

• برای دستکاری DNS: نشانی‌یاب رمزشده (DoH یا DoT) جلوی عوض شدن پاسخ DNS در مسیر را می‌گیرد، ولی به SNI و آی‌پی کاری ندارد.
• برای خواندن SNI: قابلیت ECH نام سایت را در شروع اتصال رمز می‌کند. این فقط وقتی کار می‌کند که هم مرورگر و هم سایت (یا شبکهٔ توزیع محتوای آن) از آن پشتیبانی کنند، و چون کلیدش از راه DNS می‌رسد، اگر پاسخ DNS دستکاری شود راه نمی‌افتد؛ برای همین مرورگرها آن را همراه DNS رمزشده به کار می‌برند. اپراتور هم می‌تواند خود ECH را مسدود کند.
• برای مسدودسازی آی‌پی: فقط عبور ترافیک از یک سرور دیگر کمک می‌کند، یعنی VPN یا پراکسی. این‌ها خودشان هم ممکن است مسدود شوند.

آیا سایت من فیلتر است؟ (برای صاحبان سایت)

1. نشانی سایت را در صفحهٔ «فیلتر است؟» چک‌نت وارد کنید. به‌طور پیش‌فرض از دستگاه‌های داخل ایران و بیرون آن بررسی می‌شود.
2. جواب DNS هر اپراتور را نگاه کنید. اگر آدرسی از 10.10.34.34 تا 10.10.34.36 برگشته، دامنه در لایهٔ DNS فیلتر است.
3. اگر زیر کارت یک اپراتور پیام Private IP ranges are not allowed آمد، یعنی سرویس Globalping بررسی HTTP را رد کرده چون آدرس خصوصی بوده؛ پس DNS آن اپراتور آدرس داخلی داده و این هم نشانهٔ همان دستکاری DNS است.
4. اگر DNS درست است ولی اتصال رد یا ریست می‌شود، احتمالاً مسدودسازی SNI یا آی‌پی در کار است. اگر صفحه به صفحهٔ فیلتر هدایت شد، نتیجه روشن است.
5. نتیجهٔ بیرون از کشور را مقایسه کنید. اگر سایت بیرون هم باز نمی‌شود، مشکل از خود سایت است، نه فیلترینگ.
6. بخش سنجش‌های OONI را ببینید: داوطلبان در سی روز گذشته از اینترنت خانگی و موبایل همین سایت را آزموده‌اند و نتیجه‌شان به تجربهٔ کاربران عادی نزدیک‌تر است.

نتیجه می‌تواند از اپراتوری به اپراتور دیگر (همراه اول، ایرانسل، رایتل، دیتاسنترها) و از روزی به روز دیگر فرق کند. چند بار و از چند شبکه بررسی کنید و یک نتیجهٔ تنها را حکم قطعی ندانید.

چرا نتیجهٔ چک‌نت با گوشی شما فرق می‌کند

دستگاه‌های Globalping بیشتر در دیتاسنترها نصب شده‌اند و اینترنت دیتاسنتر همیشه مثل اینترنت خانگی یا موبایل فیلتر نمی‌شود؛ گاهی سخت‌گیری کمتر و گاهی بیشتر است. برای همین سنجش‌های OONI را کنار نتیجهٔ Globalping گذاشته‌ایم. اگر این دو با هم نمی‌خوانند، احتمالاً فیلترینگ روی نوع شبکه یا اپراتور فرق دارد.