Ты сидишь в глухой звукоизолированной комнате частного дома. Окна зашторены плотной тканью, на роутере крутится чистый VLESS с маскировкой под швейцарский банк, трафик зашифрован так, что ни один DPI не разберет заголовков. Ты уверен, что растворился в радиоэфире. Но прямо за окном на мачте висит операторский 4G/5G-модем. Это не просто коробка с антенной, принимающая интернет. Это штатный осведомитель с прямым каналом связи на базовую станцию.
Пока ты шифруешь каждый байт внутри операционной системы, сам модем каждые несколько миллисекунд отправляет в сторону вышки сотового оператора подробнейший радиофизический отчет: мощность несущей, уровень шума, сдвиг фазы, фазовое дрожание и список соседних секторов, которые он слышит на горизонте.
Тебе не нужно открывать браузер или отправлять сообщения. Достаточно того, что мимо твоего забора проехал грузовик, изменив отражение радиоволны, или на улице пошел плотный ливень: операторский контроллер мгновенно фиксирует точнейшую цифровую сигнатуру твоего физического местоположения. А если сотовой вышке поступит команда изолировать конкретный узел, она не станет атаковать твой VPN. Она просто подкрутит параметры радиоканала и тихо опустит тебя на самое дно искусственного троттлинга.
Стоп. Если вы считаете, что безопасность модема заканчивается сменой пароля admin/admin на наклейке снизу, закрывайте вкладку. Продолжайте верить в чудесную силу «палочек» на экране телефона.Но если вы держали в руках AT-терминал, понимаете разницу между несущей частотой и отношением сигнал/шум и хотите знать, как операторы манипулируют физическим уровнем (Layer 1) для деградации туннелей — надевайте диэлектрические перчатки. Дальше начинается препарирование радиоэфира.
Под капотом радиоинтерфейса: что на самом деле передает модем
В любой категории модемов (от скромных Cat.4 до монструозных Cat.20 с агрегацией пяти несущих) за стек беспроводной связи отвечает закрытый процессор базовой полосы (Baseband Processor). Его прошивка — это проприетарная черная дыра от Qualcomm, MediaTek или ASR, работающая под управлением собственной RTOS.
Каждую секунду по каналу управления PUCCH (Physical Uplink Control Channel) модем шлет оператору пакеты Radio Resource Control (RRC) со следующими метриками:
- RSRP (Reference Signal Received Power).
- Абсолютная мощность пилотных сигналов от базовой станции в dBm. Диапазон от
-50 dBm(вышка прямо во дворе) до-120 dBm(на грани разрыва). По изменению этой цифры на десятые доли децибела триангуляционные алгоритмы оператора отслеживают изменения геометрии пространства вокруг антенны. - RSRQ (Reference Signal Received Quality).
- Качество принимаемого сигнала с учетом загрузки сектора. Показывает, сколько радиоресурса занято чужими абонентами.
- SINR (Signal to Interference plus Noise Ratio).
- Ключевой показатель чистоты эфира: отношение мощности полезного сигнала к сумме шума и паразитных помех. Если SINR падает ниже
0 dB, модем скатывается в примитивные схемы модуляции (QPSK вместо 256-QAM), превращая гигабитный канал в медленный ручеек. - CGI (Cell Global Identifier) и список Neighbor Cells.
- Модем не просто держится за одну соту. Он постоянно сканирует эфир и докладывает контроллеру eNodeB/gNodeB: «Я вижу вышку A с уровнем -85 dBm, вышку B с уровнем -102 dBm и вышку C с уровнем -110 dBm». Три вектора, математическая задача для первого курса — и координаты дома вычислены с точностью до десятка метров без всякого GPS.
Селективная деградация: как режут туннели без вмешательства в DPI
Когда цензурный или корпоративный фильтр не может разобрать зашифрованный трафик VLESS/REALITY, он передает эстафету радиоподсистеме оператора. Зачем пытаться ломать криптографию на уровне ядра сети, если можно сломать стабильность физического уровня?
- Принудительный Handover на перегруженный сектор.
- Базовая станция отправляет модему команду
RRCConnectionReconfiguration. Модем послушно отключается от скоростного диапазона B3 (1800 МГц) или B7 (2600 МГц) и принудительно перебрасывается на низкочастотный диапазон B20 (800 МГц), где ширина полосы всего 5 МГц, а сектор забит трафиком сотен абонентов. Пинги взлетают, джиттер ломает мультиплексирование туннеля. - Искусственная накачка фазового дрожания (BSR Throttling).
- Оператор управляет планировщиком передачи (Uplink Scheduler). Когда модем запрашивает ресурс через Buffer Status Report (BSR), контроллер выдает гранты на передачу с неравномерными микрозадержками в десятки миллисекунд. Для обычного серфинга по веб-страницам это незаметно, но чувствительные к таймингам протоколы обфускации трафика начинают захлебываться от повторных передач (retransmissions).
- Скрытый операторский TR-069 / USP.
- Большинство модемов из магазина содержат встроенный бэкдор удаленного управления по протоколу CWMP (TR-069). Через закрытый APN оператор в любой момент может залить микрокод, отключить агрегацию частот, выставить лимиты на размер пакета (MTU Clamping) или слить дамп подключенных к локальной сети MAC-адресов.
Инженерный протокол защиты последней мили
Чтобы заставить радиоканал работать исключительно как тупой физический провод и выбить у оператора возможность манипулировать вашим оборудованием, периметр переводится в режим жесткого аппаратного контроля.
- Перевод модема в режим чистой мостовой передачи (Pure IP-Passthrough / Bridge).
- Модем обязан быть лишен прав маршрутизатора. Никакого встроенного NAT, DHCP или DNS. Вся радиочасть отдает сырой публичный IP-адрес напрямую на внешний WAN-порт вашего изолированного роутера на базе RouterOS или OpenWrt.
- Аппаратная фиксация рабочих диапазонов (Band Locking) и вышки (Cell Locking).
- Через прямой доступ к AT-портам модема на чипсетах Qualcomm (через утилиты
atinoutилиminicom) намертво запрещается автоматический выбор частот и роуминг между секторами: - Plaintext
# Пример фиксации LTE Band 3 (1800MHz) и Band 7 (2600MHz) на модемах Quectel: AT+QCFG="band",0,44,0 # Принудительная привязка к конкретному физическому сектору (Cell Lock): # Параметры: EARFCN (частотный канал) и PCI (Physical Cell ID) AT+QNWLOCK="common/4g",1,1650,284
- Это исключает возможность оператора скрытно перебросить ваш модем на медленную или скомпрометированную базовую станцию.
- Карантин управляющего интерфейса (Kill TR-069).
- На уровне прошивки модема полностью демонтируются или блокируются демоны
cwmp,tr069,dmclient. Если прошивка закрыта оператором, модем подлежит принудительному переводу в режим EDL (Emergency Download Mode) с последующей заливкой независимой инженерной версии микрокода. - Автоматизированный watchdog радиопоказателей.
- На пограничном роутере разворачивается скрипт, снимающий показатели
RSRP,RSRQиSINRчерез последовательный порт модема каждые тридцать секунд. При резком падении SINR более чем на 8 dB без видимых метеорологических причин (симптом селективного радиоглушения или изменения конфигурации соты) роутер автоматически переключает критический трафик на резервный радиоканал другого оператора или проводной шлюз.
Безопасность домашней сети иллюзорна, если вы не контролируете физическую среду передачи. Можно выстроить неприступные криптографические барьеры в операционной системе, но если радиомодем за вашей стеной слепо подчиняется командам внешней базовой станции, ваш цифровой замок стоит на чужом фундаменте. Настоящая автономия начинается там, где радиоэфир подчиняется вашим правилам, а не протоколам операторского контроля.