Что такое белые списки и чем они отличаются от обычной блокировки
Белые списки — это режим фильтрации интернет-трафика, при котором по умолчанию запрещено всё, кроме заранее одобренных ресурсов. В отличие от классической блокировки, когда закрыт конкретный сайт, а остальной интернет работает, здесь ситуация обратная: доступны только те сервисы, которые включены в список разрешённых. Пользователь видит, что интернет-соединение есть, но большинство сайтов и приложений не открываются.
Технически белые списки реализуются на уровне оператора связи с помощью оборудования ТСПУ (технические средства противодействия угрозам). Фильтрация работает на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне проверяется IP-адрес назначения: если он не входит в разрешённый список подсетей, пакет просто отбрасывается. На прикладном уровне DPI (deep packet inspection) анализирует SNI в TLS-запросе и может разорвать соединение, если домен находится в чёрном списке.
Важно понимать, что белые списки — это не единая система для всей страны. Разные операторы и даже разные регионы могут иметь свои списки разрешённых ресурсов. Например, у одного оператора может работать Тинькофф, а у другого — нет. Списки постоянно обновляются, что делает ситуацию непредсказуемой.
Как устроена фильтрация: уровни L3 и L7
Фильтрация при белых списках происходит в два этапа. Сначала пакет проверяется на сетевом уровне: если IP-адрес назначения не входит в белый список, пакет отбрасывается ещё до того, как дойдёт до DPI. Это означает, что для неразрешённых IP не работает ни ICMP, ни TCP, ни UDP — пакеты просто исчезают.
Если IP-адрес разрешён, трафик проходит на уровень L7, где DPI анализирует SNI в TLS-ClientHello. Если SNI находится в чёрном списке, соединение разрывается (RST). В противном случае трафик пропускается. Интересно, что чёрный список SNI не является единым: правила могут отличаться для разных подсетей. Например, SNI twitter.com может блокироваться через IP VK, но пропускаться через IP Яндекса.
На практике это означает, что даже если вы найдёте IP-адрес в белом списке, не факт, что через него можно будет подключиться к нужному ресурсу. Нужно учитывать оба уровня фильтрации и подбирать SNI, который не вызывает подозрений.
Почему обычные VPN не работают при белых списках
Стандартные VPN-сервисы, созданные для обхода обычных блокировок, в условиях белых списков часто оказываются бесполезны. Основная причина — их серверы находятся за пределами разрешённых подсетей. Если IP-адрес VPN-сервера не входит в белый список, соединение не установится в принципе.
Кроме того, DPI умеет распознавать VPN-трафик по сигнатурам протоколов. OpenVPN, стандартный WireGuard, IKEv2 и другие распространённые протоколы легко определяются и блокируются. UDP-трафик, который используют многие VPN, режется особенно жёстко.
Даже если VPN-сервер находится в белом списке, его трафик может быть заблокирован на уровне L7, если DPI определит, что это VPN. Поэтому для обхода белых списков нужны специальные методы маскировки трафика, такие как VLESS с Reality, Shadowsocks или другие обфусцированные протоколы.
Метод 1: VLESS + Reality на российском VPS
Один из наиболее рабочих методов обхода белых списков — использование VLESS с Reality на сервере, IP-адрес которого входит в белый список. Reality — это технология, которая маскирует VPN-трафик под обычный TLS-запрос к легитимному сайту, что делает его неотличимым от обычного интернет-трафика.
Для этого метода нужен VPS-сервер у российского провайдера, который входит в белый список. Хорошие варианты — Timeweb, Yandex Cloud, VK Cloud. У Timeweb есть возможность бесплатной смены IP-адреса, что позволяет подобрать адрес из белого списка. Yandex Cloud даёт грант 4000 рублей при регистрации, а его IP-адреса часто уже в белом списке.
В конфигурации VLESS+Reality важно правильно выбрать SNI — домен, на который будет маскироваться трафик. Лучше использовать домены из белого списка, например, storage.yandex.net, yastatic.net, userapi.com или другие, которые не вызывают подозрений. Не стоит использовать заведомо заблокированные домены вроде twitter.com или youtube.com — они могут быть в чёрном списке SNI.
Метод 2: Yandex Cloud Functions как прокси
Ещё один способ обхода — использование serverless-функций Yandex Cloud в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех операторов, что делает этот метод довольно надёжным.
Yandex Cloud Functions предоставляет бесплатный тариф, который включает 1 миллион вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Этого достаточно для базового использования в качестве прокси.
Суть метода: вы создаёте serverless-функцию, которая принимает запросы и перенаправляет их на целевые ресурсы. Затем настраиваете SOCKS5-клиент, который подключается к этой функции. DPI не применяется к IP-адресам Яндекса на уровнях L3 и L7, поэтому трафик проходит без блокировок.
Этот метод требует некоторых технических навыков, но он работает даже в условиях жёстких белых списков.
Что не работает: QUIC, ECH и другие тупиковые пути
При обходе белых списков важно понимать, какие методы заведомо не сработают. QUIC/HTTP3, который использует UDP-порт 443, блокируется почти всегда, даже без белых списков. В режиме белых списков UDP-трафик режется практически полностью, поэтому на QUIC рассчитывать не стоит.
ECH (Encrypted Client Hello) — технология, которая шифрует SNI, также блокируется ТСПУ. Но даже если бы она работала, она не помогла бы, потому что основная блокировка идёт по IP-адресу, а не по SNI. Шифрование имени домена бесполезно, когда сам адрес назначения не входит в белый список.
Обычные VPN на зарубежных VPS не работают, так как их IP-адреса не входят в белый список. Также не помогут смена DNS или использование альтернативных DNS-серверов, потому что фильтрация происходит на уровне IP-пакетов, а не DNS-запросов.
Практические советы по настройке и выбору сервера
При выборе VPS для обхода белых списков обращайте внимание на провайдеров, чьи IP-адреса часто входят в белые списки. Согласно исследованиям, наибольшее количество IP-адресов в белом списке у Yandex Cloud (более 12 000), Timeweb (около 2 900), Ростелекома (2 300) и VK (почти 2 000).
Если вы используете метод VLESS+Reality, важно правильно подобрать SNI. Хорошие варианты — домены CDN и хостингов, которые точно не в чёрном списке: storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru.
При настройке VPN-клиента на телефоне или компьютере следуйте простым правилам:
- Отключите старые VPN-приложения, чтобы они не мешали.
- Проверяйте подключение через мобильный интернет, а не только через Wi-Fi.
- Если соединение не устанавливается, попробуйте сменить сервер или протокол.
- Перезапустите мобильные данные после смены настроек.
Особенности работы белых списков в разных регионах и у разных операторов
Белые списки работают неравномерно по всей России. В Москве они включаются эпизодически, примерно на 3 часа, в Санкт-Петербурге — редко, а в большинстве регионов работают постоянно. При этом даже в одном регионе разные операторы могут вести себя по-разному: у Мегафона и Tele2 белые списки могут работать постоянно, а у МТС — по расписанию.
Ситуация может меняться даже в пределах одного города: на одной улице интернет работает нормально, а на соседней — уже режется. Это связано с тем, что фильтрация применяется на уровне базовых станций, и разные вышки могут иметь разные настройки.
Списки разрешённых ресурсов также различаются. У одного оператора может быть доступен Тинькофф, у другого — нет. Это создаёт дополнительную неопределённость, поэтому при выборе метода обхода лучше иметь несколько запасных вариантов.
Что делать, если VPN не подключается: диагностика и решение проблем
Если VPN не подключается при белых списках, не спешите удалять приложение. Часто проблема не в самом VPN, а в маршруте до сервера. Вот типичные симптомы и их решения:
- VPN висит на подключении — вероятно, сервер или протокол режется оператором. Попробуйте сменить сервер, протокол или перезапустить мобильные данные.
- Подключение есть, но сайты не открываются — возможно, проблема с DNS. Попробуйте сменить DNS в настройках VPN или переподключиться.
- YouTube грузит только в низком качестве — возможно, высокая задержка или перегрузка сервера. Выберите ближайший сервер и отключите фоновые загрузки.
- Telegram открывается, но видео не грузится — часть трафика может идти мимо туннеля или режется UDP. Включите полный туннель и проверьте настройки split tunneling.
- На Wi-Fi работает, на мобильном нет — это явный признак операторской фильтрации. Попробуйте другой сервер или другой VPN.
Бесплатные методы обхода: почему они ненадёжны
Многие ищут бесплатные способы обхода белых списков, но честный ответ: полностью бесплатные VPN обычно первыми выходят из строя. У них публичные серверы, которые быстро попадают под фильтрацию, ограничения по трафику и скорости, а также слабая поддержка.
Бесплатные сервисы не имеют мотивации быстро адаптироваться к изменениям в фильтрации, поэтому их эффективность снижается с каждым обновлением списков.
Если бюджет ограничен, лучше рассмотреть недорогие платные сервисы с пробным периодом. Например, VPNUS VPN предлагает 7 дней бесплатно, а затем от 199 рублей в месяц. HideMy.name и AdGuard VPN также имеют пробные периоды. Это позволит проверить сервис до покупки и выбрать тот, который действительно работает в вашем регионе.
Вопросы и ответы
Можно ли обойти белые списки с помощью обычного VPN?
Обычный VPN, как правило, не работает, потому что его серверы не входят в белый список IP-адресов. Даже если сервер находится в разрешённой подсети, DPI может распознать VPN-трафик по сигнатурам протокола и заблокировать его. Для обхода нужны специальные методы маскировки, такие как VLESS+Reality или Shadowsocks.
Какой VPS выбрать для обхода белых списков?
Лучше выбирать VPS у провайдеров, чьи IP-адреса часто входят в белые списки: Yandex Cloud, Timeweb, VK Cloud, Selectel. У Timeweb есть бесплатная смена IP, что позволяет подобрать адрес из белого списка. Yandex Cloud даёт грант 4000 рублей при регистрации, а его IP-адреса почти всегда в белом списке.
Что такое SNI и почему он важен при обходе белых списков?
SNI (Server Name Indication) — это поле в TLS-запросе, которое указывает имя сервера, к которому идёт подключение. DPI анализирует SNI и может разорвать соединение, если домен находится в чёрном списке. При настройке VLESS+Reality важно выбрать SNI, который не вызывает подозрений, например, домены CDN или хостингов из белого списка.
Почему белые списки работают по-разному в разных регионах?
Белые списки настраиваются операторами связи индивидуально для каждого региона и даже для отдельных базовых станций. В Москве они включаются эпизодически, в Санкт-Петербурге — редко, а в большинстве регионов работают постоянно. Разные операторы также имеют свои списки разрешённых ресурсов, которые могут отличаться.
Что делать, если VPN не подключается при белых списках?
Сначала проверьте, работает ли VPN через мобильный интернет, а не только через Wi-Fi. Если соединение висит, попробуйте сменить сервер или протокол. Перезапустите мобильные данные. Если проблема сохраняется, возможно, ваш VPN-сервер заблокирован — попробуйте другой сервис или метод обхода.
Есть ли бесплатные способы обхода белых списков?
Полностью бесплатные VPN обычно ненадёжны и быстро блокируются. Однако можно использовать бесплатные гранты от Yandex Cloud для создания собственного прокси через serverless-функции. Также некоторые сервисы предлагают пробные периоды, например, VPNUS VPN — 7 дней бесплатно.