Ich könnte mir ein paar Dinge vorstellen, die nichts mit der exakten Zahl von 16kB zu tun haben. Ist eine kleine Datenmenge erlaubt, kommt die Verbindung (http header, tls handshake) erstmal zustande und es sieht für beide Seiten so aus als sei die andere Partei Schuld. Blockierst du komplett, ist es offensichtlich. Ein Client, der an mehrere Server einen HealthCheck sendet, merkt nichts.

Vielleicht erlaubt der Verbindingsaufbau auch den bißchen mehr tracking durch den Staat/ISP. Oder es ist leichter die Nutzer:in auf einen russischen Server unzuleiten, wenn es mehr Zugriffsversuche gibt…