Что такое белые списки и чем они отличаются от обычных блокировок
Белые списки — это режим фильтрации интернет-трафика, при котором по умолчанию запрещено всё, кроме явно разрешённых ресурсов. В отличие от классических блокировок, работающих по принципу «запрещено только то, что в чёрном списке», белые списки переворачивают логику: доступны лишь сайты и сервисы, включённые в перечень.
Такая фильтрация применяется в России во время так называемых шатдаунов — временных отключений мобильного интернета, которые происходят, например, из-за атак беспилотников. В такие моменты операторы связи оставляют доступ только к ограниченному набору ресурсов: госуслугам, банкам, маркетплейсам, некоторым СМИ и соцсетям.
Ключевое отличие белых списков от других видов блокировок — уровень реализации. Если обычные блокировки часто выполняются на централизованном уровне через систему ТСПУ, то белые списки настраиваются непосредственно операторами связи. Поэтому перечни разрешённых сайтов могут отличаться не только между регионами, но и между разными операторами в одном городе.
Как технически устроена фильтрация: два уровня — L3 и L7
Фильтрация по белым спискам работает на двух уровнях одновременно.
Первый уровень — сетевой (L3). Здесь проверяется IP-адрес назначения. Если адрес не входит в список разрешённых подсетей, пакет просто отбрасывается на маршрутизаторе оператора — ещё до того, как трафик попадёт в интернет. Это означает, что для не-вайтлист IP не работает ничего: ни ICMP, ни TCP, ни UDP. Пакеты физически не покидают сеть оператора.
Второй уровень — прикладной (L7). Даже если IP-адрес разрешён, система глубокой инспекции пакетов (DPI) проверяет SNI — имя сервера в TLS-запросе. Если SNI находится в чёрном списке, соединение разрывается принудительно (RST). Например, можно подключиться к IP-адресу Яндекса, но если указать SNI twitter.com, соединение будет сброшено.
Порядок проверки выглядит так: пакет сначала проходит проверку по IP, затем по SNI. Если оба теста пройдены, трафик пропускается. Такая двухуровневая система делает обход сложнее, но не невозможным.
Почему обычные VPN не работают при белых списках
Стандартные VPN-сервисы, созданные для обхода обычных блокировок, часто оказываются бесполезны при белых списках. Причины:
- Сервер VPN недоступен. Если IP-адрес VPN-сервера не входит в белый список, подключение к нему блокируется на сетевом уровне. Пакеты просто не доходят до сервера.
- Протокол определяется по сигнатурам. OpenVPN, стандартный WireGuard и IKEv2 легко распознаются DPI по характерным паттернам трафика. Даже если сервер доступен, соединение может быть разорвано.
- UDP-трафик режется жёстче. Многие VPN-протоколы используют UDP, а при белых списках UDP-порты, кроме стандартных, часто блокируются. Это особенно критично для видео, игр и звонков.
- Публичные серверы быстро попадают под фильтрацию. Чем популярнее бесплатный VPN, тем быстрее его адреса вносятся в чёрные списки SNI или блокируются на уровне IP.
Таким образом, для обхода белых списков нужен VPN с маскировкой трафика, который умеет имитировать легитимные соединения и использовать серверы, находящиеся в разрешённых подсетях.
Метод 1: VLESS + Reality на российском VPS
Один из самых надёжных способов обхода белых списков — использование протокола VLESS с расширением Reality на сервере, IP-адрес которого входит в белый список.
Как это работает. Вы арендуете VPS у российского облачного провайдера, например Timeweb, Yandex.Cloud или VK Cloud. Эти компании имеют множество IP-адресов в белых списках, так как их инфраструктура используется государственными сервисами. На сервере настраивается VLESS + Reality, который маскирует трафик под обычное TLS-соединение с легитимным сайтом (например, vk.com или ya.ru).
Почему это работает. DPI видит, что соединение идёт на разрешённый IP и с разрешённым SNI, и пропускает трафик. Reality использует современные методы шифрования и имитации, что делает его практически неотличимым от обычного HTTPS.
Практические советы. Для маскировки лучше выбирать SNI из списка разрешённых доменов, например storage.yandex.net, yastatic.net, userapi.com. Избегайте SNI, которые явно заблокированы (twitter.com, youtube.com). Также важно выбрать VPS с возможностью смены IP, если текущий адрес перестанет работать.
Метод 2: Использование облачных функций как прокси
Альтернативный метод — использование serverless-функций, например Yandex Cloud Functions, в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех операторов, так как Яндекс — ключевой игрок в российской интернет-инфраструктуре.
Принцип работы. Вы создаёте функцию в Yandex Cloud, которая принимает запросы и перенаправляет их в интернет. На своём устройстве настраиваете SOCKS5-клиент, который подключается к этой функции. Весь трафик идёт через домен functions.yandexcloud.net, который не блокируется.
Преимущества. Бесплатный тариф Yandex Cloud Functions включает 1 миллион вызовов в месяц, что достаточно для базового использования. DPI не применяет фильтрацию к IP Яндекса на уровне L3 и L7, поэтому соединение стабильно.
Ограничения. Метод требует некоторых технических навыков для настройки. Кроме того, функция может быть удалена, если Яндекс заподозрит злоупотребление. Но для временного обхода это вполне рабочий вариант.
Метод 3: Мессенджеры на базе электронной почты — Delta Chat
Если вам нужна только связь, а не полный доступ к интернету, обратите внимание на Delta Chat — мессенджер с открытым кодом, который работает через электронную почту.
Как это работает. Delta Chat использует почтовые ящики для передачи сообщений. Если завести почту на Яндексе или Mail.ru (которые входят в белые списки), то сообщения будут доставляться, так как трафик идёт на разрешённые серверы. При этом сообщения шифруются, и почтовый провайдер видит только зашифрованные данные.
Почему это работает. Фильтрация по белым спискам не блокирует почтовые серверы, так как они входят в перечень разрешённых. Delta Chat использует стандартные протоколы IMAP/SMTP, которые не вызывают подозрений у DPI.
Ограничения. Для работы нужно заранее настроить контакты и добавить их в список «не спам». Также этот метод не даёт доступа к веб-сайтам — только к переписке. Но в условиях полного шатдауна это может быть единственным способом связи.
Что не работает: QUIC, ECH и другие тупиковые пути
Некоторые технологии, которые могли бы помочь, на практике не работают при белых списках.
- QUIC/HTTP3. Протокол QUIC использует UDP:443, который часто блокируется даже без белых списков. В режиме белых списков UDP-трафик режется почти полностью, поэтому QUIC не работает.
- ECH/ESNI (Encrypted Client Hello). Эта технология шифрует SNI, но она бесполезна, когда блокировка идёт по IP-адресу. Даже если DPI не увидит имя домена, пакет всё равно будет отброшен, если IP не в белом списке.
- Обычный VPN на зарубежном VPS. Если сервер находится за границей, его IP-адрес почти наверняка не входит в белый список, и подключение будет заблокировано на сетевом уровне.
Важно понимать: если интернет полностью отключён (нет даже белых списков), обойти блокировку невозможно. Но пока работает хотя бы несколько сайтов, есть шанс найти лазейку.
Как выбрать VPN для обхода белых списков: критерии и риски
При выборе VPN для обхода белых списков обращайте внимание на следующие критерии:
- Маскировка трафика. Ищите сервисы, которые поддерживают VLESS, Reality, Shadowsocks или другие протоколы с обфускацией. Обычные OpenVPN и WireGuard не подойдут.
- Запасные серверы. У сервиса должно быть несколько серверов в разных подсетях, чтобы можно было переключиться, если один заблокируют.
- Поддержка мобильных сетей. Белые списки чаще всего включаются на мобильном интернете, поэтому проверяйте работу именно через сотовую сеть, а не Wi-Fi.
- Прозрачность. Отдавайте предпочтение сервисам с открытым кодом или хотя бы с публичной информацией о разработчиках. Избегайте анонимных VPN, которые не раскрывают деталей работы.
Риски. Бесплатные VPN часто передают данные третьим лицам или используют российские серверы, что может быть опасно. Исследования показывают, что многие бесплатные приложения отправляют данные на серверы в России, где они могут быть доступны силовикам. Также нет гарантии, что даже платный VPN будет работать — эффективность обхода зависит от оператора, региона и текущей конфигурации фильтров.
Практические советы по настройке и тестированию
Если вы решили использовать VPN для обхода белых списков, следуйте этим рекомендациям:
- Тестируйте на мобильном интернете. Не проверяйте VPN только на домашнем Wi-Fi — белые списки включаются именно на сотовых сетях. Отключите Wi-Fi и проверьте подключение через LTE/5G.
- Имейте несколько вариантов. Один VPN может не работать, другой — работать. Держите под рукой 2-3 сервиса с разными протоколами.
- Следите за обновлениями. Списки разрешённых IP постоянно меняются. Используйте сервисы, которые регулярно обновляют свои конфигурации.
- Не полагайтесь на бесплатные решения. Они чаще ломаются и могут быть небезопасны. Лучше выбрать платный сервис с пробным периодом.
- Проверяйте настройки DNS. В режиме белых списков внешние DNS-серверы (8.8.8.8, 1.1.1.1) часто блокируются. Используйте DNS оператора или настройте DNS внутри VPN.
Если VPN не подключается, попробуйте сменить сервер, протокол или перезапустить мобильные данные. Иногда помогает перезагрузка телефона.
Перспективы: что дальше?
Эксперты сходятся во мнении, что окончательного решения в борьбе с блокировками не существует. Каждое ограничение порождает новые методы обхода, и этот процесс бесконечен. Пока интернет не отключён полностью, всегда будут находиться лазейки.
Однако ситуация с белыми списками остаётся нестабильной: списки меняются, IP-адреса ротируются, а операторы внедряют новые методы фильтрации. Поэтому важно быть готовым к тому, что любой способ обхода может перестать работать в любой момент.
Рекомендуется следить за обновлениями в открытых сообществах, где публикуются актуальные данные о белых списках и работающих методах. Например, репозитории на GitHub с еженедельными обновлениями списков разрешённых IP могут быть полезны для технически подкованных пользователей.
Вопросы и ответы
Чем белые списки отличаются от обычных блокировок?
Обычные блокировки работают по принципу «все разрешено, кроме запрещенного»: закрываются конкретные сайты, а остальной интернет доступен. Белые списки действуют наоборот — «все запрещено, кроме разрешенного». В режиме белых списков доступны только сайты из перечня, а весь остальной трафик блокируется на уровне оператора. Это более жесткая фильтрация, которая требует других методов обхода.
Почему обычный VPN не работает при белых списках?
Обычные VPN-сервисы используют серверы, IP-адреса которых не входят в белый список, поэтому подключение к ним блокируется на сетевом уровне. Кроме того, стандартные протоколы (OpenVPN, WireGuard) легко распознаются DPI по сигнатурам трафика. Для обхода белых списков нужны VPN с маскировкой (VLESS, Reality, Shadowsocks) и серверы, размещенные в разрешенных подсетях, например у российских облачных провайдеров.
Какие методы обхода белых списков реально работают?
Наиболее эффективные методы: использование VLESS + Reality на российском VPS (Timeweb, Yandex.Cloud, VK Cloud), применение облачных функций как прокси (например, Yandex Cloud Functions), а также использование мессенджеров на базе электронной почты, таких как Delta Chat. Эти методы маскируют трафик под легитимные соединения с разрешенными сервисами.
Безопасно ли использовать бесплатные VPN для обхода белых списков?
Бесплатные VPN часто небезопасны: они могут передавать данные третьим лицам, использовать российские серверы, где информация доступна силовикам, или продавать данные мошенникам. Кроме того, они быстро блокируются и не обеспечивают стабильного соединения. Рекомендуется выбирать платные сервисы с пробным периодом и прозрачной политикой.
Что делать, если VPN не подключается при белых списках?
Если VPN не подключается, попробуйте сменить сервер или протокол, перезапустить мобильные данные или перезагрузить телефон. Проверьте, не блокируется ли DNS — используйте DNS оператора или настройте DNS внутри VPN. Также убедитесь, что вы тестируете через мобильный интернет, а не Wi-Fi. Если ничего не помогает, попробуйте другой VPN-сервис.
Можно ли обойти белые списки с помощью иностранной SIM-карты?
Иностранные SIM-карты иногда помогают обойти замедления и блокировки за счет системы Home Routing, когда трафик идет через страну домашнего оператора. Однако при белых списках это работает не всегда, так как фильтрация может применяться на уровне вышки оператора, к которой вы подключены. Эффективность зависит от конкретного оператора и региона.
Как часто обновляются белые списки и влияет ли это на обход?
Белые списки обновляются регулярно, иногда еженедельно. IP-адреса в них ротируются, что делает обход нестабильным. VPN-сервисы, предлагающие обход, должны постоянно отслеживать изменения и обновлять свои конфигурации. Поэтому даже хороший VPN может перестать работать после обновления списков, и потребуется время на адаптацию.