Как обходить белые списки интернета: технические методы и практические советы

Что такое белые списки и чем они отличаются от обычных блокировок

Белые списки — это режим фильтрации трафика, при котором по умолчанию разрешены только определённые IP-адреса и домены, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные ресурсы, здесь работает обратная логика: запрещено всё, кроме явно разрешённого.

Когда оператор включает белый список, пользователь видит характерную картину: российские сервисы вроде ВКонтакте и Яндекса открываются, а зарубежные сайты, мессенджеры и игры перестают работать. При этом физическое соединение с сетью есть — байты идут, но фильтрующее оборудование решает, какие пакеты пропустить, а какие отбросить.

Важно понимать, что белые списки работают не везде и не всегда. В Москве они включаются эпизодически, в Санкт-Петербурге — редко, а в большинстве регионов России действуют постоянно. Причём даже в пределах одного города ситуация может меняться от точки к точке: на одной улице интернет работает нормально, а через квартал — уже нет.

Как устроена фильтрация: два уровня блокировки

Белые списки реализованы на двух уровнях одновременно.

Уровень L3 (сетевой) — фильтрация по IP-адресам. Список разрешённых подсетей хранится на маршрутизаторе оператора. Если пакет направлен на IP, которого нет в списке, он просто отбрасывается — даже не доходя до DPI. Это объясняет, почему при белых списках не работает ничего: ни ICMP, ни TCP, ни UDP.

Уровень L7 (прикладной) — DPI проверяет SNI в TLS-запросе. Даже если IP-адрес разрешён, но домен в чёрном списке, соединение сбрасывается. Порядок проверки такой: сначала IP, потом SNI. Если IP не в белом списке — пакет молча исчезает. Если IP в списке, но SNI запрещён — приходит RST.

Интересная деталь: правила SNI-фильтрации неодинаковы для разных подсетей. Например, SNI telegram.org через IP Яндекса пропускается, а через IP ВКонтакте — блокируется. Это говорит о том, что единого чёрного списка SNI нет, и правила могут различаться даже внутри одного оператора.

Почему обычные VPN не работают при белых списках

Стандартные VPN-сервисы создавались для приватности и обхода обычных блокировок, но белые списки ставят перед ними другую задачу. Главная проблема — сервер VPN может быть просто недоступен, если его IP не входит в белый список оператора. Даже если сервер находится в России, но его адрес не разрешён, подключение не установится.

Вторая проблема — протоколы. OpenVPN, стандартный WireGuard и IKEv2 легко определяются по сигнатурам трафика. DPI видит характерные паттерны и блокирует соединение. Особенно жёстко режется UDP, что критично для видео, игр и звонков.

Третья проблема — публичные серверы. Популярные бесплатные VPN быстро попадают под фильтрацию, потому что их адреса известны и легко блокируются. Поэтому фраза «установите любой VPN» здесь не работает — нужен сервис с маскировкой трафика и запасными серверами.

Метод 1: VLESS + Reality на российском VPS

Один из самых надёжных способов обхода белых списков — поднять собственный прокси на сервере, IP которого уже входит в белый список. Для этого подходят VPS у российских провайдеров: Timeweb, Yandex.Cloud, VK Cloud, Selectel и других.

Суть метода: используете протокол VLESS с расширением Reality и XTLS-Vision. Reality маскирует трафик под обычное TLS-соединение, а SNI подставляете от разрешённого домена — например, vk.com или ya.ru. DPI видит обычное зашифрованное соединение и пропускает его.

Требования к серверу:

• IP должен быть в белом списке (проверяется сканированием или эмпирически);
• SNI должен быть из списка разрешённых доменов (например, storage.yandex.net, userapi.com);
• Настройка занимает 15–20 минут, если следовать инструкциям.

Провайдеры имеют свои особенности: Timeweb позволяет бесплатно менять IP, Yandex.Cloud даёт грант 4000 рублей при регистрации, VK Cloud сложнее в верификации, но серверы держатся дольше. Выбор зависит от ваших задач и бюджета.

Метод 2: Serverless-функции как прокси

Альтернативный подход — использовать serverless-платформы, например Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех операторов, поэтому трафик к нему не блокируется.

Вы пишете небольшую функцию, которая работает как SOCKS5-прокси, и подключаетесь к ней через любой клиент. Бесплатный тариф Yandex Cloud Functions включает 1 миллион вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд — этого достаточно для личного использования.

Преимущество метода — не нужно покупать VPS и настраивать сервер. Недостаток — функция может быть удалена, если нарушает условия использования, а также есть ограничения по времени выполнения и объёму трафика. Но для периодического доступа к заблокированным ресурсам это вполне рабочий вариант.

Что не работает: QUIC, ECH и другие тупиковые пути

Некоторые технологии, которые могли бы помочь, в режиме белых списков оказываются бесполезными.

QUIC/HTTP3 — протокол на основе UDP:443. В белых списках UDP режется почти полностью, поэтому QUIC не работает. Даже на обычных провайдерах без белых списков QUIC иногда блокируется.

ECH (Encrypted Client Hello) — технология шифрования SNI. Технически она могла бы скрыть имя домена, но основная блокировка идёт по IP, а не по SNI. Даже если ECH заработает, IP-адрес назначения всё равно будет проверяться на уровне L3, и если он не в белом списке — пакет будет отброшен.

Обычный VPN на зарубежном VPS — не работает, потому что IP зарубежного сервера заведомо не входит в белый список. Даже если протокол замаскирован, соединение не установится на уровне IP.

Важно понимать: белые списки — это многоуровневая фильтрация, и обход должен учитывать все уровни.

Как проверить, что ваш IP в белом списке

Прежде чем настраивать обход, нужно убедиться, что выбранный сервер действительно доступен. Есть несколько способов проверки.

Прямое подключение — попробуйте открыть сайт по IP без SNI. Если соединение устанавливается, IP в белом списке. Но учтите, что многие серверы не отвечают на запросы без SNI.

Сканирование портов — используйте masscan или аналогичные инструменты для проверки доступности порта 443 на выбранном IP. Если порт открыт через мобильный интернет с белым списком — IP разрешён.

Публичные списки — энтузиасты публикуют обновляемые списки IP, которые входят в белые списки. Например, репозиторий openlibrecommunity/twl содержит результаты сканирования. Но помните, что списки меняются, и то, что работало вчера, может не работать сегодня.

Также полезно проверить SNI: даже если IP разрешён, SNI может быть заблокирован. Используйте curl с параметром --resolve, чтобы подставить нужный SNI и посмотреть, установится ли TLS-соединение.

Особенности DNS в режиме белых списков

В режиме белых списков DNS-запросы к внешним серверам (8.8.8.8, 1.1.1.1, 77.88.8.8) обычно блокируются. Работает только DNS самого провайдера. Это значит, что даже если вы настроите VPN, но DNS-запросы будут идти мимо туннеля, они могут не разрешиться.

Решение — использовать DNS внутри VPN-туннеля. Большинство современных VPN-клиентов поддерживают эту опцию. Также можно прописать DNS-сервер провайдера в настройках, но это не всегда помогает, если провайдер фильтрует определённые домены.

Интересный факт: у некоторых операторов DNS работает только для IP из белого списка. То есть вы можете запросить DNS для ya.ru, но для google.com ответа не будет. Это ещё один уровень фильтрации, который нужно учитывать.

Как выбрать VPN-сервис для обхода белых списков

Если вы не хотите настраивать собственный сервер, можно использовать коммерческие VPN-сервисы, которые адаптированы под российские реалии. При выборе обращайте внимание на несколько критериев.

Маскировка трафика — ищите упоминания об обфускации, stealth, VLESS, Shadowsocks, Reality. Это значит, что сервис умеет маскировать VPN-трафик под обычный HTTPS.

Запасные серверы — чем больше серверов в разных регионах, тем выше шанс, что хотя бы один будет доступен. Проверьте, есть ли у сервиса российские серверы.

Поддержка мобильных сетей — белые списки чаще всего бьют по мобильному интернету, поэтому сервис должен стабильно работать на LTE/5G.

Простота настройки — когда интернет уже режется, сложная установка превращается в квест. Хорошо, если есть бот, инструкция или быстрый импорт конфигурации.

Пробный период — лучше проверить сервис до оплаты на год. Ищите триал или короткую подписку на месяц.

Практические советы и типичные ошибки

При обходе белых списков важно избегать распространённых ошибок.

Не проверяйте VPN только на домашнем Wi-Fi. Белые списки чаще всего проявляются на мобильном интернете, поэтому тест должен быть честным: сначала Wi-Fi, потом мобильная сеть, потом другой оператор.

Не используйте старые VPN-приложения. Они могут конфликтовать с новыми и создавать лишний трафик, который будет заблокирован.

Если VPN не подключается, не спешите его удалять. Проблема часто в маршруте до сервера, а не в самом сервисе. Попробуйте сменить сервер, протокол или перезапустить мобильные данные.

Помните про DNS. Если сайты не открываются, хотя VPN подключён, проверьте, не идёт ли DNS мимо туннеля. Включите полный туннель или настройте DNS внутри VPN.

Будьте готовы к тому, что списки меняются. То, что работало вчера, может не работать сегодня. Имейте запасной вариант — второй VPN или собственный сервер.

Вопросы и ответы