Белые списки и обход блокировок: как работают ограничения и что делать

Что такое белые списки и чем они отличаются от чёрных

Белые списки — это режим фильтрации трафика, при котором по умолчанию запрещено всё, кроме явно разрешённых ресурсов. В отличие от классических чёрных списков, где блокируются конкретные сайты или сервисы, здесь работает обратная логика: доступ разрешён только к ограниченному перечню IP-адресов и доменов. Если чёрный список можно сравнить с вышибалой, который не пускает отдельных посетителей, то белый список — это закрытый клуб, куда попадают только по списку гостей.

В России белые списки начали активно применяться с сентября 2025 года, когда Минцифры официально подтвердило их существование. Изначально они использовались как временная мера во время атак беспилотников, но постепенно стали постоянной практикой в мобильных сетях многих регионов. Перечень разрешённых ресурсов включает государственные сайты, отечественные соцсети, банки, маркетплейсы, службы такси и другие критически важные сервисы.

Ключевое отличие белых списков от обычных блокировок — в том, что они затрагивают не отдельные сайты, а весь интернет целиком. Пользователь может физически иметь отличный сигнал 4G, но при этом не открывается ни один зарубежный сайт, не работает VPN и даже не резолвятся DNS-запросы к внешним серверам. Это не «глушение» сигнала, а адресная фильтрация на уровне оборудования провайдера.

Как технически устроена фильтрация: уровни L3 и L7

Белые списки работают на двух уровнях одновременно. Первый уровень — сетевой (L3), где фильтрация идёт по IP-адресам. Если пакет направлен на адрес, не входящий в белый список, он просто дропается на маршрутизаторе оператора — пакет физически не покидает сеть. Это означает, что не работает не только TCP-соединение, но и ICMP-запросы, и любой UDP-трафик. Для не-вайтлист адресов наблюдается 100% потеря пакетов по всем направлениям.

Второй уровень — прикладной (L7), где используется DPI (deep packet inspection) для анализа SNI (Server Name Indication) в TLS-рукопожатии. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается с помощью RST-пакета. Порядок проверки выглядит так: сначала пакет проверяется на соответствие IP белому списку, и если адрес не разрешён — пакет молча отбрасывается. Если IP разрешён, DPI проверяет SNI, и при обнаружении запрещённого домена отправляет RST.

Интересная деталь: фильтрация по портам тоже имеет значение. Для разрешённых IP обычно открыты порты 80, 443 и 22, но UDP-порты, включая 443 (QUIC), 53 (DNS) и 51820 (WireGuard), часто закрыты. Это значит, что даже если сервер в белом списке, стандартные VPN-протоколы на UDP не заработают.

Где физически находится оборудование фильтрации

Оборудование, реализующее белые списки, размещается непосредственно в сети оператора связи, сразу за первым маршрутизатором. Это можно определить по TTL (time to live) в ответных пакетах. Когда вы получаете ответ от легитимного сервера, TTL обычно равен 53 (что соответствует 11 хопам), а вот «ответы» от заблокированных ресурсов приходят с TTL 62 — всего два хопа. Это означает, что пакет сгенерирован не реальным сервером, а устройством, стоящим в двух прыжках от вас.

Такая архитектура объясняет, почему белые списки работают неравномерно даже в пределах одного города. Оборудование ТСПУ (технические средства противодействия угрозам) устанавливается на уровне региональных узлов, и его конфигурация может различаться. В одном районе фильтрация может быть включена, в соседнем — отключена, а через несколько километров список разрешённых ресурсов может отличаться.

Показательный пример из практики: пользователи описывают, как при перемещении по городу доступность одного и того же IP-адреса меняется от вышки к вышке. На одной остановке сервер доступен, на следующей — уже нет, а ещё через километр белые списки вообще отключены, и интернет работает без ограничений. Это создаёт дополнительную сложность для обхода, так как решение, которое работает в одной локации, может не работать в другой.

Что попадает в белый список: иерархия и приоритеты

Анализ белых списков, проведённый энтузиастами, показал, что в них можно выделить несколько уровней приоритетности. На первом уровне — обязательные ресурсы, которые присутствуют всегда и у всех операторов. К ним относится, например, мессенджер MAX (max.ru) — он работает даже в самых жёстких режимах. На втором уровне — почти всегда доступные VK, Яндекс и государственно значимая инфраструктура. Третий уровень — банки, маркетплейсы и прочие коммерческие сервисы, здесь уже начинается лотерея: у одного оператора может быть доступен Тинькофф, у другого — нет.

Любопытная деталь: почти все крупные банки включены в белые списки, кроме Сбербанка. При этом корпоративный сервис видеозвонков salutejazz.ru от Сбера — доступен. Такая непоследовательность объясняется тем, что списки формируются вручную и не всегда логичны. Также в белых списках обнаруживаются сотни VPN-серверов, включая государственные (например, vpn.gov45.ru) и частные с самыми разными названиями.

Сканирование российских подсетей показало, что в белый список попадает примерно 63 тысячи IP-адресов из 46 миллионов — это около 0,14% всех адресов. Лидером по количеству адресов является Yandex.Cloud (почти 13 тысяч IP), что делает его главной точкой для обхода. Также в списке представлены Timeweb, Ростелеком, VK, Selectel и другие крупные хостинг-провайдеры.

Почему обычный VPN не работает и что с этим делать

Главная причина, по которой стандартные VPN-сервисы перестают работать в режиме белых списков, — это фильтрация по IP-адресам. Ваш VPN-сервер, где бы он ни находился — в Литве, Германии или США, — не входит в белый список, поэтому пакеты до него просто не доходят. Даже если соединение формально устанавливается (например, оператор пропустил TLS-рукопожатие), доступа к большому интернету всё равно нет, так как трафик застревает внутри ограниченного периметра.

Дополнительную сложность создаёт блокировка UDP-трафика. Большинство современных VPN-протоколов (WireGuard, OpenVPN, IKEv2) используют UDP, а в белых списках UDP-порты, включая стандартные, часто закрыты. Это делает невозможным подключение к большинству VPN-серверов даже при наличии разрешённого IP.

Однако это не значит, что обход невозможен. Ключевая идея — использовать сервер, который уже находится в белом списке, и маскировать трафик под легитимные соединения. Например, можно арендовать VPS у российского провайдера, который входит в белый список (Timeweb, Yandex Cloud, VK Cloud), и настроить на нём прокси или VPN с маскировкой под обычный HTTPS-трафик.

Метод 1: VLESS + Reality на российском VPS

Один из наиболее рабочих способов обхода белых списков — использование протокола VLESS с расширением Reality на сервере, IP которого входит в белый список. Reality — это технология, которая маскирует VPN-трафик под обычное TLS-соединение с легитимным сайтом, что позволяет обойти DPI-фильтрацию на уровне SNI.

Для настройки потребуется:

• VPS у провайдера, который присутствует в белом списке (Timeweb, Yandex Cloud, VK Cloud и другие).
• Домен для маскировки, который также входит в белый список и не вызывает подозрений (например, vk.com, ya.ru, storage.yandex.net).
• Клиент, поддерживающий VLESS + Reality (например, Xray или v2rayN).

Пример конфигурации: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision

Важно выбирать SNI, который не находится в чёрном списке. Из сканирования белых списков известно, что такие домены, как twitter.com, x.com, youtube.com, могут вызывать RST-ответы даже при обращении через разрешённый IP. Безопаснее использовать домены Яндекс CDN (storage.yandex.net, yastatic.net), VK CDN (userapi.com, vkuser.net) или хостингов (hosting.reg.ru).

Провайдеры имеют свои особенности: Timeweb позволяет бесплатно менять IP-адрес, но это может занять время; Yandex Cloud даёт грант 4000 рублей при регистрации и высокий шанс попасть в белый список, но аккаунты быстро блокируют; VK Cloud держится дольше, но требует сложной верификации.

Метод 2: Serverless-функции как прокси

Альтернативный способ обхода — использование serverless-функций, например Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров, так как Яндекс является критически важной инфраструктурой. Это открывает возможность использовать serverless-функцию в качестве прокси-сервера.

Бесплатный тариф Yandex Cloud Functions включает 1 миллион вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд — этого достаточно для базовых задач. Суть метода: вы создаёте функцию, которая принимает запросы и перенаправляет их на целевые ресурсы, а затем возвращает ответ. Клиентская часть может быть реализована как SOCKS5-прокси, который подключается к функции.

Преимущество этого метода в том, что DPI не применяется к IP-адресам Яндекса на уровне L3 и L7, а домены *.yandexcloud.net не блокируются. Однако стоит учитывать, что serverless-функции имеют ограничения по времени выполнения и размеру ответа, поэтому для тяжёлого трафика (например, видео) этот способ не подойдёт.

Этот метод менее стабилен, чем VLESS + Reality, но может быть полезен как временное решение или для лёгкого веб-сёрфинга.

Что не работает: QUIC, ECH и другие тупиковые пути

Прежде чем тратить время на настройку обхода, важно понимать, какие методы гарантированно не сработают в режиме белых списков. Во-первых, это QUIC/HTTP3 — протокол на основе UDP, который блокируется почти всегда, даже без белых списков. UDP-порт 443 режется в первую очередь, поэтому любые попытки использовать HTTP3 обречены на провал.

Во-вторых, ECH (Encrypted Client Hello) — технология, которая шифрует SNI в TLS-рукопожатии. Она блокируется ТСПУ, и даже если бы она работала, она не помогла бы, потому что основная блокировка идёт по IP-адресу (L3), а не по SNI. Шифрование имени домена бесполезно, когда сам адрес назначения не входит в белый список.

В-третьих, обычные VPN-сервисы на зарубежных VPS — они не работают, так как их IP-адреса не входят в белый список. Даже если VPN-клиент показывает успешное подключение, трафик не проходит. Также не стоит рассчитывать на публичные DNS-серверы (8.8.8.8, 1.1.1.1) — они блокируются на уровне UDP:53, работает только DNS провайдера.

Наконец, переход на Wi-Fi не всегда спасает. Если домашний провайдер получает магистральный трафик от мобильной сети, на которую распространяются ограничения, то Wi-Fi будет работать так же, как и мобильный интернет.

Региональные особенности и нестабильность белых списков

Белые списки не работают единообразно по всей стране. В Москве они включаются эпизодически, примерно на три часа, в Санкт-Петербурге — редко, иногда неделями не появляются, а в большинстве регионов работают постоянно 24/7. При этом даже в одном регионе разные операторы могут вести себя по-разному: у Мегафона и Т2 белые списки могут быть включены постоянно, у МТС — по расписанию, у Билайна — свои правила.

Списки разрешённых ресурсов также различаются между операторами. Одна и та же подсеть может быть в белом списке у Мегафона, но отсутствовать у МТС. Более того, списки постоянно обновляются: что-то добавляют, что-то убирают. Поэтому решения, которые работают сегодня, могут перестать работать завтра.

Для отслеживания актуальных данных энтузиасты ведут открытые репозитории, например openlibrecommunity/twl, где еженедельно публикуются обновлённые списки. Если вы планируете использовать обход, рекомендуется регулярно проверять актуальность конфигурации и иметь запасные варианты.

Практические рекомендации и перспективы

Если вы столкнулись с белыми списками, первое, что стоит сделать, — проверить, действительно ли они активны. Признаки: открываются только российские сайты, зарубежные ресурсы недоступны, VPN не подключается, внешние DNS не работают. В этом случае можно попробовать следующие шаги:

1. Используйте мобильный интернет другого оператора — возможно, у него ограничения не включены.
2. Переключитесь на Wi-Fi, если есть уверенность, что проводной провайдер не использует белые списки.
3. Настройте VLESS + Reality на VPS из белого списка — это наиболее надёжный метод на данный момент.
4. Следите за обновлениями в сообществах, посвящённых обходу блокировок.

Важно понимать, что универсального решения не существует. То, что работает у одного оператора в одном регионе, может не работать у другого. Кроме того, методы обхода постоянно совершенствуются, но и фильтрация не стоит на месте. Регулярно проверяйте актуальность информации и будьте готовы адаптироваться.

В долгосрочной перспективе белые списки могут стать постоянной практикой, что потребует от пользователей более сложных технических решений. Однако, как показывает опыт, любые ограничения создают и возможности для их обхода.

Вопросы и ответы