Как обойти белые списки интернета: технический разбор и рабочие методы

Что такое белые списки интернета и чем они отличаются от обычных блокировок

Белые списки — это режим фильтрации трафика, при котором доступ разрешён только к заранее одобренным ресурсам, а всё остальное блокируется по умолчанию. В отличие от классических чёрных списков, где запрещены конкретные сайты, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». Это принципиально меняет подход к обходу: если при блокировке отдельных сайтов достаточно сменить IP или использовать прокси, то при белых списках блокируется сам канал связи с неразрешёнными адресами.

В России белые списки начали тестироваться в 2025–2026 годах как мера безопасности в периоды угроз, но в некоторых регионах, например в Свердловской области, они работают на постоянной основе. Пользователи сообщают, что при включении белых списков мобильный интернет продолжает работать, но открываются только сервисы Яндекса, VK, MAX, Госуслуги и некоторые банковские приложения. Обычные сайты, включая новостные порталы и рабочие инструменты, становятся недоступными.

Технически белые списки реализуются на уровне оператора связи с помощью ТСПУ (технических средств противодействия угрозам). Фильтрация происходит на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне проверяется IP-адрес назначения: если он не входит в разрешённый список, пакет просто отбрасывается. На прикладном уровне DPI (Deep Packet Inspection) анализирует SNI в TLS-запросах и может разрывать соединение, если домен в чёрном списке. Понимание этой архитектуры — ключ к поиску рабочих методов обхода.

Как устроена фильтрация: уровень L3 и уровень L7

Фильтрация при белых списках работает в два этапа. Первый этап — проверка IP-адреса назначения на сетевом уровне. Если IP не входит в белый список, пакет не покидает сеть оператора: ни ICMP, ни TCP, ни UDP не проходят. Это означает, что любые попытки подключиться к заблокированному серверу обречены на провал ещё до установления соединения.

Второй этап — проверка SNI (Server Name Indication) в TLS-запросах. Даже если IP-адрес разрешён, DPI может разорвать соединение, если домен в чёрном списке. Например, при подключении к IP Яндекса с SNI google.com соединение устанавливается, но с SNI twitter.com — сбрасывается. При этом правила SNI-фильтрации неконсистентны: один и тот же домен может быть заблокирован через одни подсети и пропущен через другие. Это создаёт возможности для обхода, если правильно подобрать IP и SNI.

Важно отметить, что UDP-трафик режется почти полностью: QUIC, DNS и WireGuard на стандартных портах не работают. Это делает невозможным использование многих VPN-протоколов, которые полагаются на UDP. Однако TCP-порты 80, 443 и 22 остаются открытыми для разрешённых IP, что открывает путь для туннелирования через HTTPS.

Почему обычные VPN не работают при белых списках

Большинство коммерческих VPN-сервисов используют серверы за пределами России, и их IP-адреса не входят в белый список. Даже если VPN-протокол замаскирован под HTTPS, первичная фильтрация по IP блокирует соединение ещё до того, как DPI сможет проанализировать трафик. Это делает бесполезными OpenVPN, IKEv2, стандартный WireGuard и другие распространённые протоколы.

Кроме того, DPI умеет распознавать VPN-трафик по характерным сигнатурам: размерам пакетов, временным интервалам, структуре заголовков. Даже если VPN использует порт 443, система может отличить его от обычного HTTPS по паттернам. Поэтому простое использование VPN с обфускацией, которая маскирует трафик под HTTPS, часто оказывается недостаточным, если сервер находится за пределами белого списка.

Некоторые сервисы, такие как VPNUS, утверждают, что их обфускация позволяет проходить белые списки, но на практике это зависит от конкретного региона и настроек оператора. В любом случае, для надежного обхода необходимо использовать серверы, IP которых входят в белый список, или применять методы, описанные ниже.

Метод 1: VLESS + Reality на российском VPS

Один из самых эффективных методов обхода белых списков — развертывание собственого прокси на российском VPS, IP которого входит в белый список. Для этого подходят облачные провайдеры, такие как Yandex.Cloud, VK Cloud, Timeweb, Selectel. Их IP-адреса часто входят в белые списки, потому что на них хостятся госусдарственные и популяные сервисы.

Протокол VLESS с расширением Reality позволяет маскировать трафик под обычный HTTPS-запрос к легитимному сайту. Настройка включает выбор SNI, который должен быть в белом списке (например, vk.com или ya.ru), и использование XTLS-Vision для оптимизации. Пример конфига:

vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vk.com&sid=...&flow=xtls-rprx-vision

Преимущества метода: относительная простота настройки, стабильность, высокая скорость. Недостатки: необходимость аренды VPS, возможные проблемы с верификацией у некоторых провайдеров, риск блокировки, если IP будет исключён из белого списка.

При выборе провайдера стоит учитывать, что Yandex.Cloud предотает бесплатный грант 4000 рублей при регистрации, а Timeweb позволяет бесплатно менять IP-адрес, что упрощает подбор рабочего адреса. VK Cloud отличается долгим сроком жизни серверов, но сложной верификацией.

Метод 2: Использование облачных функций как прокси

Альтернативный подход — использование serverless-функций, например Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех провайдеров, поскольку Яндекс является ключевым игроком в российской интернет-инфраструктуре. Можно написать простую SOCKS5-прокси в виде облачной функции и подключаться к ней через HTTPS.

Бесплатный тариф Yandex Cloud Functions включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд, чего достаточно для базовых задач. DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому трафик через функции проходит без проблем.

Этот метод менее стабилен, чем выделенный VPS, но не требует управления сервером и может быть развёрнут за несколько минут. Однако стоит учитывать, что облачные функции имеют ограничения по времени выполнения и объёму передаваемых данных, поэтому для тяжёлого трафика (например, видео) он не подходит.

Метод 3: Обфускация трафика и протоколы с маскировкой

Если нет возможности использовать российский VPS, можно попробовать VPN-сервисы с продвинутой обфускацией, которые маскируют трафик под обычный HTTPS. Такие протоколы, как Shadowsocks с плагинами v2ray-plugin или simple-obfs, Trojan-GFW, а также VLESS с Reality, модифицируют пакеты так, чтобы они выглядели как обычный веб-трафик. DPI видит стандартное HTTPS-подключение и не блокирует его.

Однако важно понимать: если IP-адрес VPN-сервера не входит в белый список, соединение будет заблокировано на уровне L3 ещё до того, как обфускация вступит в игру. Поэтому такие методы работают только в том случае, если провайдер использует серверы, IP которых случайно оказались в белом списке, или если белые списки применяются не полностью (например, только SNI-фильтрация).

Некоторые сервисы, такие как VPNUS или ZoogVPN, заявляют о совместимости с белыми списками, но их эффективность не гарантирована и зависит от конкретной сети. Перед покупкой стоит протестировать пробный период.

Что не работает: QUIC, ECH, Tor и другие тупиковые пути

Многие пользователи пытаются обойти белые списки с помощью современных технологий, но большинство из них бесполезны. QUIC/HTTP3 блокируется на уровне UDP:443, который режется почти всегда. ECH (Encrypted Client Hello) также блокируется ТСПУ, и даже если бы он работал, он не помог бы, потому что основная фильтрация идёт по IP, а не по SNI.

Tor с мостами теоретически может работать, но его трафик легко распознать по характерным паттернам, и скорость оставляет желать лучшего. Кроме того, большинство мостов Tor находятся за пределами белого списка, поэтому соединение будет заблокировано на уровне L3.

Также не работают стандартные VPN-протоколы без обфускации, даже если они используют порт 443. DPI анализирует размеры пакетов и временные интервалы, отличая VPN от обычного HTTPS. Поэтому не стоит тратить время на настройку OpenVPN или WireGuard без дополнительной маскировки.

Практические советы по настройке и выбору сервера

При выборе VPS для обхода белых списков обращайте внимание на IP-адреса, которые входят в белый список. Согласно сканированию, проведённому энтузиастами, наибольшее количество разрешённых IP находится у Yandex.Cloud (более 12 000), Timeweb (около 2 900), Ростелекома (2 300) и VK (почти 2 000). Плотность белых IP в подсетях редко превышает 37%, но это не критично — главное, чтобы ваш конкретный IP был разрешён.

Для проверки доступности IP можно использовать массовое сканирование портов, но проще арендовать VPS и проверить, открывается ли сайт через мобильный интернет с белыми списками. Если не работает, смените IP (Timeweb позволяет это бесплатно) или попробуйте другого провайдера.

Также важно правильно выбрать SNI для маскировки. Хорошие варианты: storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru. Избегайте SNI, которые явно заблокированы, например twitter.com или youtube.com, так как они могут вызвать RST.

Не забывайте, что белые списки нестабильны: они могут включаться и выключаться в разных регионах, а состав списка меняется. Поэтому имейте запасной план — например, несколько VPS у разных провайдеров.

Ограничения и юридические аспекты обхода белых списков

Важно понимать, что обход белых списков может нарушать законодательство России. Использование VPN и других средств обхода блокировок не запрещено напрямую, но может рассматриваться как нарушение правил оказания услуг связи. В некоторых случаях это может привести к административной ответственности.

Кроме того, технические методы обхода имеют свои ограничения. Даже если вам удастся установить соединение через разрешённый IP, скорость может быть низкой, а стабильность — непостоянной. Белые списки могут меняться, и ваш сервер может быть исключён из них в любой момент.

Рекомендуется использовать обход только для легальных целей, например для доступа к рабочим инструментам или образовательным ресурсам. Также стоит заранее подготовиться к возможным отключениям: скачивайте офлайн-карты, сохраняйте важные документы и контакты, настраивайте резервные каналы связи.

Как проверить, работает ли ваш метод обхода

После настройки обхода важно убедиться, что он действительно работает. Для этого выполните несколько шагов:

1. Подключитесь к вашему прокси или VPN.
2. Откройте сайт 2ip.ru или whoer.net и проверьте, изменился ли ваш IP-адрес.
3. Попробуйте открыть несколько заблокированных сайтов, например YouTube или Twitter.
4. Если сайты открываются — метод работает. Если нет, попробуйте сменить сервер, SNI или порт.

Также обратите внимание на скорость соединения. Если она слишком низкая, возможно, проблема в выбранном сервере или протоколе. Попробуйте использовать другой SNI или переключитесь на TCP вместо UDP.

Помните, что белые списки могут работать по-разному в разных регионах и у разных операторов. То, что работает в Москве, может не работать в Екатеринбурге. Поэтому тестируйте метод в вашей конкретной сети.

Вопросы и ответы