Как настроить белый VPN: белые списки, цепочки и обход блокировок

Что такое белый VPN и зачем он нужен

Белый VPN — это не официальный термин, а собирательное название для схем, которые позволяют обходить блокировки и фильтрацию трафика, сохраняя доступ к сайтам и сервисам. В основе таких схем лежат два ключевых понятия: белые списки и цепочки серверов.

Белый список в контексте VPN — это перечень адресов, доменов или приложений, для которых VPN-клиент не шифрует трафик и не направляет его через туннель. Вместо этого запросы к этим ресурсам идут напрямую через обычное интернет-соединение. Это позволяет, например, сохранить высокую скорость для российских сайтов, которые и так доступны, и одновременно использовать VPN для доступа к заблокированным ресурсам.

Цепочка (или каскад) — это схема, при которой трафик проходит через несколько серверов последовательно. В типичной конфигурации для обхода блокировок используется два сервера: один внутри страны (например, в России), который называют «мостом» или «прокладкой», и второй за рубежом, который называют «выходной нодой». Клиент подключается к российскому серверу, тот передаёт трафик на зарубежный, и уже зарубежный сервер выходит в интернет. Для систем фильтрации такой трафик выглядит как обычный обмен данными между двумя серверами, что значительно снижает вероятность блокировки.

Зачем это нужно? В последнее время провайдеры и государственные системы фильтрации (например, ТСПУ в России) перестали просто разрывать соединения с VPN-серверами. Вместо этого они применяют более тонкие методы: замедление трафика, заморозку сессий после определённого объёма переданных данных, а также блокировку по DPI-признакам. Белый VPN с правильно настроенными списками и цепочками помогает обойти эти ограничения.

Как работают белые списки в VPN

Механизм работы белых списков довольно прост. Когда вы включаете VPN-клиент, он перехватывает весь исходящий трафик устройства. Для каждого запроса клиент проверяет, соответствует ли адрес назначения или имя приложения правилам из белого списка. Если совпадение найдено, трафик отправляется напрямую, минуя VPN-туннель. Если нет — трафик шифруется и уходит через VPN-сервер.

Такая логика даёт несколько преимуществ. Во-первых, снижается нагрузка на VPN-соединение, потому что часть трафика идёт напрямую. Во-вторых, для ресурсов, которые не заблокированы, сохраняется максимальная скорость, так как они не проходят через дополнительный сервер. В-третьих, белые списки помогают избежать конфликтов с сервисами, которые некорректно работают через VPN, например, из-за гео-ограничений или требований к IP-адресу.

На практике белые списки могут быть реализованы по-разному. В одних VPN-клиентах это просто список доменов, в других — список приложений (например, на Android или iOS). Некоторые клиенты позволяют использовать регулярные выражения для гибкой настройки правил. Важно понимать, что белый список — это не то же самое, что «белый IP-адрес» (чистый IP, который не блокируется). Это разные вещи, хотя оба понятия встречаются в контексте обхода блокировок.

Настройка белых списков на разных протоколах

Способ настройки белых списков зависит от используемого VPN-протокола. Рассмотрим три самых популярных: WireGuard, OpenVPN и IKEv2.

WireGuard — современный протокол с высокой скоростью и хорошей безопасностью. В большинстве клиентов, поддерживающих WireGuard, белые списки настраиваются через графический интерфейс. Обычно нужно открыть настройки профиля, найти раздел «Белые списки» или «Split Tunneling» и добавить нужные адреса или приложения. После сохранения изменений соединение перезапускается.

OpenVPN — более старый, но всё ещё широко используемый протокол. Здесь настройка белых списков чаще всего выполняется через конфигурационный файл. Можно использовать директиву route-nopull, чтобы исключить определённые маршруты из VPN-туннеля. Например, если нужно, чтобы трафик к конкретному IP-адресу шёл напрямую, добавляется строка вида route 192.168.1.0 255.255.255.0 net_gateway. Это требует базовых знаний синтаксиса конфигурационных файлов.

IKEv2 — протокол, который часто используется на мобильных устройствах и встроен в операционные системы. Настройка белых списков в IKEv2-клиентах обычно выполняется через графический интерфейс, аналогично WireGuard. Нужно найти раздел «Белые списки» или «Split Tunnel» и добавить нужные адреса.

Важно помнить, что реализация белых списков может отличаться даже в рамках одного протокола в зависимости от конкретного VPN-клиента. Поэтому всегда стоит обращаться к документации или интерфейсу вашего приложения.

Почему VPN может не работать: DPI и заморозка сессий

Многие пользователи сталкиваются с ситуацией, когда VPN-соединение устанавливается, но скорость падает до нуля или сайты перестают открываться. Часто причина кроется в методах фильтрации, которые применяют провайдеры и государственные системы.

Один из таких методов — глубокая проверка пакетов (DPI). DPI позволяет анализировать содержимое трафика, а не только заголовки. Система может распознать признаки VPN-протокола (например, характерные паттерны рукопожатия) и замедлить или заблокировать такое соединение. Особенно уязвимы старые версии протоколов и конфигураций.

Другой метод, который стал популярен в последнее время, — «заморозка» сессии. Вместо того чтобы разрывать соединение через RST-пакеты, система просто перестаёт передавать пакеты после того, как объём данных в одной TCP-сессии превышает определённый порог (например, 15–20 КБ). Клиент продолжает считать соединение активным, но данные не приходят, и в итоге соединение обрывается по таймауту. Это особенно неприятно, потому что не сразу понятно, что проблема в фильтрации, а не в самом VPN.

Чтобы противостоять таким методам, важно использовать актуальные версии протоколов и ядер. Например, для Xray-core регулярно выходят обновления, которые улучшают маскировку трафика под обычный TLS. Также помогает использование цепочек, о которых мы поговорим далее.

Цепочка серверов: как обойти белые списки и заморозку

Цепочка серверов — это один из самых эффективных способов обхода современных методов блокировки. Схема работает следующим образом.

Вы арендуете два сервера: один в России (например, в Яндекс.Облаке или VK Cloud), другой за рубежом (в Европе, США или Азии). На обоих серверах устанавливается Xray-core (или аналогичное ПО). Российский сервер выступает в роли «моста»: он принимает трафик от вашего клиента и передаёт его на зарубежный сервер. Зарубежный сервер, в свою очередь, выходит в интернет.

Почему это работает? Системы фильтрации (ТСПУ) более лояльно относятся к трафику внутри страны. Когда вы подключаетесь к российскому серверу, сессия не замораживается, потому что она выглядит как обычное внутреннее соединение. Затем российский сервер передаёт данные на зарубежный — для фильтрации это выглядит как обмен между двумя серверами, который также не вызывает подозрений. В итоге вы получаете доступ к заблокированным ресурсам, а фильтрация не срабатывает.

Важный нюанс: российский сервер должен иметь «белый» IP-адрес, то есть не находиться в списках блокировки. Проверить это можно, развернув на сервере веб-сервер на порту 443 и попробовав открыть его с мобильного интернета без VPN. Если сайт открывается — IP чистый.

Пошаговая настройка цепочки на Xray-core

Рассмотрим практический пример настройки цепочки с использованием Xray-core. Вам понадобятся два сервера: «выходной» (за рубежом) и «мост» (в России). На обоих должна быть установлена актуальная версия Xray-core (не ниже 25.12.8, чтобы избежать детектирования по TLS-признакам).

Шаг 1. Настройка зарубежной ноды. На зарубежном сервере создаётся обычный VLESS-инбаунд. Для транспорта рекомендуется использовать xhttp в режиме packet-up — это снижает нагрузку на память и уменьшает вероятность детектирования. Важно обновить ядро до последней версии, так как старые версии Reality могут быть распознаны через анализ TLS 1.3 NewSessionTicket.

Шаг 2. Настройка российского сервера (моста). В конфиге Xray на российском сервере нужно настроить входящее соединение от клиента и исходящее соединение на зарубежную ноду. Пример аутбаунда для связи нод выглядит так:

{
  "outbounds": [
    {
      "tag": "chain-to-europe",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "ip-вашей-евро-ноды",
            "port": 443,
            "users": [
              {
                "id": "uuid-вашего-юзера-на-евро-ноде",
                "flow": "xtls-rprx-vision",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "xhttp",
        "security": "reality",
        "realitySettings": {
          "fingerprint": "chrome",
          "serverName": "vkvideo.ru",
          "publicKey": "ваш-pbk-с-евро-ноды",
          "shortId": "ваш-sid"
        },
        "xhttpSettings": {
          "mode": "packet-up",
          "path": "/api/v1/update"
        }
      }
    },
    {
      "protocol": "freedom",
      "tag": "DIRECT"
    }
  ]
}

Шаг 3. Настройка маршрутизации. Чтобы российские сайты (ВК, Госуслуги, Яндекс) шли напрямую, а заблокированные — через цепочку, добавьте правила роутинга. Например:

"routing": {
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    {
      "type": "field",
      "outboundTag": "DIRECT",
      "domain": [
        "geosite:category-ru",
        "regexp:\\.ru$",
        "geosite:yandex",
        "full:cp.cloudflare.com"
      ]
    },
    {
      "type": "field",
      "inboundTag": ["inbound-от-клиента"],
      "outboundTag": "chain-to-europe"
    }
  ]
}

После настройки перезапустите Xray на обоих серверах и подключитесь к российскому серверу с клиента. Если всё сделано правильно, вы получите доступ к заблокированным ресурсам.

Выбор хостинга для «моста»: как найти белый IP

Ключевой момент в настройке цепочки — выбор российского хостинга для «моста». Если IP-адрес сервера сам находится в чёрных списках, вся схема не будет работать. Поэтому важно выбрать хостинг, который предоставляет «белые» IP-адреса.

По опыту пользователей, наиболее надёжным вариантом является Яндекс.Облако. Нужно искать IP-адреса в диапазонах 51.250.x.x или 212.233.x.x — они чаще всего оказываются «белыми». VK Cloud также предлагает бесплатный трафик, но найти «белый» IP там практически невозможно. EDGE Cloud — хорошая альтернатива с CDN-поддержкой.

Как проверить, «белый» ли IP? Разверните на сервере любой веб-сервер на порту 443 и попробуйте открыть его с мобильного интернета (МТС, Мегафон) без VPN. Если сайт открывается — IP чистый. Если нет — скорее всего, адрес заблокирован, и нужно искать другой.

Важно понимать, что поиск «белых» IP — это лотерея. Даже у одного хостинга не все адреса могут быть чистыми. Поэтому иногда приходится перебирать несколько серверов, прежде чем найдётся подходящий.

Решение типичных проблем при настройке

При настройке белого VPN и цепочек пользователи часто сталкиваются с типичными проблемами. Рассмотрим несколько из них и способы их решения.

Проблема с iOS. На iPhone лимит памяти для VPN-процесса составляет всего 50 МБ. Если в конфиг загружены тяжёлые Geo-файлы, клиент может падать при старте. Решение — использовать транспорт xhttp в режиме packet-up вместо stream-up, а также перейти на облегчённые версии Geo-файлов.

Проблемы с WhatsApp или Instagram. Бывает, что один сервис работает, а другой зависает в статусе «подключение». Один из способов — добавить IPv6 на выходную ноду. Также можно попробовать убрать поток vision из конфига для этих сервисов.

Оптимизация под нагрузку. Если на вашем каскаде работает много пользователей, стоит подкрутить параметры ядра в /etc/sysctl.conf. Например, увеличить net.core.somaxconn и net.ipv4.tcp_max_syn_backlog до больших значений. Однако будьте осторожны с отключением tcp_syncookies — это может снизить защиту от DDoS-атак.

Проблемы с «вечным таймаутом». Иногда клиенты не могут подключиться из-за блокировки Cloudflare. Добавьте full:cp.cloudflare.com в правила DIRECT, чтобы обойти эту проблему.

Готовые сервисы и альтернативы ручной настройке

Не все готовы самостоятельно настраивать цепочки и искать «белые» IP. Для таких пользователей существуют готовые сервисы, которые уже внедрили подобные схемы. Вот несколько упоминаемых в обсуждениях вариантов.

hynet.cloud (или hynet.space) — отмечается как наиболее универсальное решение. Стабильно работает на большинстве крупных провайдеров и выдаёт неплохую скорость.

Amnezia — работает неплохо, но пользователи жалуются на закрытость и плохую совместимость с другими сервисами на одном VPS. Часто возникают ошибки при настройке сложных конфигураций.

Voxiproxy — оптимизирован под мобильный трафик, но его потенциал раскрывается в основном на смартфонах.

MamontVPN — фокусируется на решении специфических проблем iOS.

SayVPN — предлагает сложные связки через vnext под конкретные задачи.

DuckVPN — показывает хорошие результаты на ряде провайдеров, но есть жалобы на проблемы с доступностью через Мегафон и МТС.

Также стоит упомянуть Remnawave — панель управления для сложных цепочек и маршрутов, которая позволяет управлять конфигурациями без ручного редактирования файлов.

Заключение: что важно запомнить

Настройка белого VPN — это не разовая операция, а постоянный процесс адаптации к меняющимся методам блокировки. Системы фильтрации развиваются, и то, что работало вчера, может перестать работать завтра.

Ключевые выводы:

• Белые списки позволяют направлять часть трафика напрямую, сохраняя скорость и обходя блокировки.
• Цепочки серверов — эффективный способ обойти DPI и заморозку сессий.
• Важно использовать актуальные версии ПО и протоколов, чтобы избежать детектирования.
• Поиск «белых» IP — это лотерея, но есть хостинги, где вероятность выше.
• Если не хотите настраивать всё вручную, можно воспользоваться готовыми сервисами.

Помните, что любая схема обхода блокировок может быть нестабильной и требовать регулярного обслуживания. Будьте готовы к тому, что придётся обновлять конфигурации и искать новые решения.

Вопросы и ответы