Обход белых списков в России: технические методы и ограничения 2026

Что такое белые списки и как они работают

Белые списки — это режим фильтрации трафика, при котором доступ разрешён только к заранее определённым IP-адресам и доменам. В отличие от чёрных списков, где блокируется конкретный ресурс, белые списки запрещают всё, кроме явно разрешённого. В России этот механизм используется для ограничения доступа к интернет-ресурсам в условиях угроз или в рамках государственной политики.

Фильтрация реализуется на двух уровнях: сетевом (L3) и прикладном (L7). На уровне L3 проверяется, принадлежит ли IP-адрес назначения к разрешённой подсети. Если нет — пакет отбрасывается ещё до того, как покинет сеть оператора. На уровне L7 система глубокого анализа пакетов (DPI) анализирует SNI (Server Name Indication) в TLS-рукопожатии. Даже если IP разрешён, но SNI находится в чёрном списке, соединение принудительно разрывается (RST).

Таким образом, трафик проходит двойную проверку: сначала по IP, затем по домену. Это делает обход белых списков сложнее, чем обычных блокировок.

Архитектура фильтрации: L3 и L7

На сетевом уровне (L3) фильтрация осуществляется по CIDR-подсетям. Если IP-адрес назначения не входит в белый список, пакет не покидает сеть оператора — он просто исчезает на втором прыжке маршрутизации. Это подтверждается тестами: для не-вайтлист IP наблюдается 100% потеря пакетов по всем протоколам (ICMP, TCP, UDP).

На прикладном уровне (L7) DPI-система перехватывает TLS-рукопожатие и извлекает SNI. Если SNI совпадает с чёрным списком, отправляется RST-пакет, и соединение разрывается. Интересно, что правила SNI-фильтрации могут различаться в зависимости от подсети: один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о неконсистентности настроек ТСПУ (Технических средств противодействия угрозам).

Важно: UDP-трафик (включая QUIC, DNS, WireGuard) на стандартных портах почти полностью блокируется. Это ограничивает использование многих протоколов, которые полагаются на UDP.

Где физически расположено ТСПУ

ТСПУ размещается непосредственно в сети оператора связи, сразу за первым маршрутизатором. Это подтверждается анализом TTL (Time To Live) пакетов. При попытке подключиться к заблокированному ресурсу (например, Telegram) ответ приходит с TTL 62, что означает всего два хопа — от пользователя до ТСПУ. Для разрешённого ресурса (например, Яндекс) TTL составляет 53, что соответствует 11 хопам — до реального сервера.

Таким образом, ТСПУ не является удалённым устройством — оно встроено в инфраструктуру оператора и обрабатывает трафик на ранних этапах маршрутизации. Это делает невозможным обход фильтрации через изменение маршрутов или использование альтернативных DNS.

Сканирование белого списка: что внутри

Сканирование российских подсетей (около 80 600 CIDR-блоков) через мобильный интернет Мегафона показало, что в белый список входит примерно 63 126 IP-адресов, что составляет около 0,14% от всех российских адресов. Эти адреса принадлежат 2 557 автономным системам (ASN).

Топ-15 ASN по количеству IP в белом списке:

• Yandex.Cloud (AS200350) — 12 906 IP
• Timeweb (AS9123) — 2 904 IP
• Ростелеком (AS12389) — 2 312 IP
• VK (AS47764) — 1 958 IP
• ССТ (AS34879) — 1 806 IP
• Beget (AS198610) — 1 644 IP
• CDNvideo (AS57363) — 1 638 IP
• IOT (AS29182) — 1 591 IP
• REG.RU (AS197695) — 1 380 IP
• Selectel (AS49505) — 1 037 IP

Яндекс.Облако занимает почти каждый пятый адрес в списке. Это делает его ключевой точкой для обхода белых списков.

DNS в режиме белых списков

В режиме белых списков внешние DNS-серверы (Google 8.8.8.8, Cloudflare 1.1.1.1, Яндекс 77.88.8.8) становятся недоступными — порт UDP:53 на них блокируется. Работает только DNS самого провайдера. Например, у Мегафона это 10.233.58.133.

Это означает, что резолвинг доменов происходит только через внутренний DNS оператора. Если домен не разрешён, он не будет преобразован в IP, и соединение не установится. Однако, если домен есть в белом списке, он будет работать даже при использовании стандартного DNS провайдера.

Важно: DNS-фильтрация может различаться у разных операторов. У некоторых внешние DNS могут быть доступны, но это исключение.

География и приоритеты белых списков

Белые списки работают неравномерно по регионам и операторам. В Москве они включаются эпизодически, примерно на 3 часа. В Санкт-Петербурге — редко, иногда неделями без ограничений. В большинстве регионов белые списки работают постоянно 24/7.

Приоритеты в белых списках:

• 1 уровень (обязательный): max.ru — всегда доступен у всех операторов.
• 2 уровень (почти всегда): vk.com, ya.ru, государственная инфраструктура.
• 3 уровень (необязательный): банки, маркетплейсы, прочие сервисы. Здесь всё зависит от оператора: у Мегафона может быть Тинькофф, у МТС — нет.

Забавная деталь: Сбербанк часто отсутствует в белом списке, но его корпоративный сервис видеозвонков salutejazz.ru — присутствует.

Методы обхода белых списков: что работает

Метод 1: VLESS + Reality на российском VPS Это основной и наиболее стабильный метод. Требуется VPS с IP-адресом, который входит в белый список (например, у Timeweb, Yandex.Cloud, VK Cloud). На сервере настраивается прокси-сервер с протоколом VLESS, маскировкой Reality и XTLS-Vision. В качестве SNI для маскировки используется whitelisted домен (например, vk.com, ya.ru, storage.yandex.net).

Пример конфигурации: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision

Метод 2: Yandex Cloud Functions Serverless-функция Яндекса может использоваться как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров. Бесплатный tier включает 1 000 000 вызовов в месяц. DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому домены *.yandexcloud.net проходят без ограничений.

Что не работает:

• QUIC/HTTP3 — UDP:443 блокируется.
• ECH/ESNI — блокируется ТСПУ, и не помогает, так как основная блокировка по IP.
• Обычный VPN на зарубежном VPS — IP не в белом списке.

Практические примеры и ограничения

Пример 1: Использование VLESS+Reality на Timeweb Timeweb предоставляет возможность бесплатного reroll IP, что позволяет подобрать адрес, входящий в белый список. После настройки прокси трафик маскируется под легитимный, и пользователь получает доступ к заблокированным ресурсам.

Пример 2: Yandex Cloud Functions как SOCKS5 прокси Пользователь пишет простой SOCKS5 клиент, который подключается к функции Яндекса. Весь трафик проходит через IP Яндекса, который не фильтруется. Это бесплатно и просто в настройке.

Ограничения:

• Не все VPS-провайдеры гарантируют попадание IP в белый список. Yandex.Cloud и Timeweb — наиболее надёжные варианты.
• SNI для маскировки должны быть из whitelisted доменов. Использование заблокированных доменов (twitter.com, youtube.com) приведёт к RST.
• Методы обхода могут перестать работать после обновления правил ТСПУ. Рекомендуется регулярно проверять актуальность белых списков (например, через репозиторий openlibrecommunity/twl).

Будущее обхода белых списков

С каждым годом методы фильтрации становятся всё более изощрёнными. В 2026 году власти ужесточили борьбу с VPN-сервисами, запретив им обходить белые списки. Многие VPN-сервисы потеряли доступ к российским серверам, которые использовались для маскировки трафика.

Однако, как показывает практика, полностью заблокировать обход невозможно. Технические специалисты продолжают находить новые лазейки, используя облачные сервисы, CDN и нестандартные протоколы. Ключевым фактором остаётся доступ к IP-адресам, которые входят в белый список.

Для бизнеса важно не полагаться на пользовательские методы обхода, а обеспечивать доступность своих ресурсов через инфраструктурные решения, такие как CDN и хостинг на whitelisted IP. Это позволяет сохранять продажи и SEO-позиции даже в условиях блокировок.

Вопросы и ответы