Что такое белые списки и чем они отличаются от чёрных
Белые списки — это режим фильтрации интернета, при котором провайдер пропускает только трафик к заранее одобренным IP-адресам и доменам, а всё остальное блокируется по умолчанию. В отличие от классических чёрных списков, где запрещены конкретные ресурсы, здесь действует принцип «запрещено всё, кроме разрешённого».
Технически это реализовано на двух уровнях. Первый — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения и, если он не входит в белый список, просто отбрасывает пакет. Второй — прикладной (L7): система глубокого анализа трафика (DPI) проверяет SNI в TLS-рукопожатии и, если домен в чёрном списке, разрывает соединение. Таким образом, даже если IP-адрес разрешён, но SNI заблокирован, доступ будет закрыт.
Важно понимать: белые списки не блокируют физический сигнал. Байты идут, но ТСПУ решает, какие из них пропустить. Это делает обход более сложным, но не невозможным.
Почему обычные VPN не работают при белых списках
Стандартные VPN-протоколы легко распознать и заблокировать. OpenVPN имеет характерную сигнатуру в заголовках пакетов, IKEv2/IPSec использует фиксированные порты, а WireGuard — UDP-пакеты с узнаваемой структурой. Даже если VPN работает через порт 443, DPI анализирует паттерны трафика: размер пакетов, временные интервалы, последовательность — и отличает VPN от обычного HTTPS.
При белых списках проблема усугубляется: IP-адрес VPN-сервера, скорее всего, не входит в разрешённый список, поэтому пакеты до него просто не доходят. Обфускация, которая маскирует трафик под HTTPS, может помочь, но только если сервер находится на разрешённом IP. Именно поэтому большинство коммерческих VPN, особенно бесплатных, перестают работать в регионах с белыми списками.
Ещё один нюанс: даже если VPN использует обфускацию, DPI может блокировать протоколы QUIC и HTTP/3, которые часто применяются для ускорения. В режиме белых списков UDP-трафик почти полностью режется, включая DNS и WireGuard на стандартных портах.
Какие технологии реально обходят белые списки
На практике работают три основных подхода. Первый — обфускация трафика: VPN-пакеты модифицируются так, чтобы выглядеть как обычный HTTPS. Это могут делать Shadowsocks с плагинами (v2ray-plugin, simple-obfs) или специализированные VPN-сервисы с технологией маскировки.
Второй — VLESS + XTLS-Reality. Это современный протокол, который имитирует трафик популярных сайтов (Google, Facebook, Apple). Сервер «притворяется» настоящим сайтом из белого списка, и DPI не видит разницы. Reality использует TLS-шифрование и маскировку под реальные домены, что делает его одним из самых надёжных методов.
Третий — Trojan-GFW. Протокол маскирует трафик под обычный HTTPS: если открыть адрес сервера в браузере, увидите обычный сайт-заглушку. Это обманывает DPI, который не может отличить прокси от легитимного веб-сервера.
Важно: ни один из этих методов не гарантирует 100% работу, так как правила фильтрации постоянно меняются и различаются между операторами и регионами.
Метод 1: VLESS + Reality на российском VPS
Самый популярный и стабильный способ обхода белых списков — развернуть VLESS-сервер с Reality на VPS, IP-адрес которого входит в белый список. Такие VPS есть у российских хостинг-провайдеров: Timeweb, Yandex Cloud, VK Cloud, Selectel. Их подсети массово включены в белые списки, потому что на них размещены государственные и корпоративные сервисы.
Настройка включает несколько шагов. Сначала арендуете VPS с российским IP. Затем устанавливаете Xray-core с протоколом VLESS и включаете Reality. В конфиге указываете SNI — домен, который входит в белый список и не заблокирован (например, vk.com, ya.ru или storage.yandex.net). Клиент подключается к серверу, и трафик маскируется под HTTPS-запрос к этому домену.
Пример конфига: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vk.com&sid=...&flow=xtls-rprx-vision. Важно выбирать SNI, который точно не в чёрном списке: twitter.com, youtube.com и другие явно заблокированные домены использовать нельзя.
Провайдеры: Timeweb даёт бесплатный reroll IP, Yandex Cloud — грант 4000 рублей при регистрации, VK Cloud — долго держит, но сложная верификация. Выбирайте тот, что удобнее.
Метод 2: Yandex Cloud Functions как прокси
Альтернативный метод — использовать serverless-функции Yandex Cloud как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех провайдеров, потому что Яндекс — критическая инфраструктура. DPI не применяет фильтрацию к IP Яндекса на уровнях L3 и L7.
Вы создаёте функцию, которая принимает запросы и перенаправляет их на целевые ресурсы. Затем настраиваете SOCKS5-клиент, который подключается к этой функции. Free tier Yandex Cloud включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд — этого достаточно для базового использования.
Этот метод проще в настройке, чем VLESS, но имеет ограничения: скорость ниже, а функция может быть заблокирована, если Яндекс изменит политику. Тем не менее, для обхода белых списков это рабочий вариант, особенно если у вас нет возможности арендовать VPS.
Метод 3: Shadowsocks с обфускацией
Shadowsocks — это лёгкий прокси-протокол, который изначально создавался для обхода цензуры. В сочетании с плагинами обфускации (v2ray-plugin, simple-obfs) он маскирует трафик под обычный HTTP/HTTPS, что позволяет проходить через DPI.
Для работы при белых списках Shadowsocks-сервер должен находиться на IP, который входит в белый список. Это может быть российский VPS или даже домашний сервер, если ваш провайдер включил его подсеть в список. Настройка проще, чем VLESS: устанавливаете Shadowsocks-сервер, включаете плагин обфускации, на клиенте указываете адрес и порт.
Однако Shadowsocks менее устойчив к активному DPI, чем Reality. Если ТСПУ обновит правила, соединение может быть разорвано. Поэтому для долгосрочного использования лучше комбинировать Shadowsocks с другими методами или переходить на VLESS.
Что не работает: QUIC, ECH и стандартные VPN
Некоторые технологии, которые часто рекомендуют для обхода блокировок, при белых списках бесполезны. QUIC/HTTP3 — протокол на основе UDP — блокируется почти всегда, даже на домашних провайдерах без белых списков. UDP:443 режется, поэтому любые попытки использовать QUIC обречены.
ECH (Encrypted Client Hello) — технология шифрования SNI — также блокируется ТСПУ. Но даже если бы она работала, она не помогла бы: основная блокировка идёт по IP (L3), а не по SNI. Шифровать имя домена бесполезно, когда сам адрес назначения не в белом списке.
Обычные VPN на зарубежных VPS не работают, потому что их IP не входят в белый список. Даже с обфускацией пакеты до сервера не дойдут. Поэтому все методы обхода требуют использования российских IP-адресов, которые разрешены.
Как проверить, работает ли обход, и что делать, если не работает
После настройки обхода важно проверить его работоспособность. Подключитесь к прокси или VPN, откройте сайт 2ip.ru или whoer.net и убедитесь, что ваш IP изменился. Затем попробуйте открыть заблокированные ресурсы — если они загружаются, обход работает.
Если ничего не открывается, даже разрешённые сайты, значит, соединение заблокировано. Попробуйте сменить сервер, протокол или порт. Для VLESS проверьте, что SNI не в чёрном списке, и что IP сервера действительно в белом списке. Для Shadowsocks — обновите плагин обфускации.
Если обход перестал работать со временем, это может быть связано с обновлением правил ТСПУ. Следите за актуальными списками разрешённых IP и доменов — например, в открытых репозиториях, которые обновляются еженедельно. Также полезно иметь несколько методов обхода и переключаться между ними.
Особенности белых списков: регионы, операторы и нестабильность
Белые списки работают неравномерно. В Москве они включаются эпизодически, на несколько часов, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно, 24/7. Причём у разных операторов правила различаются: у Мегафона и Т2 в одном регионе белые списки могут работать постоянно, у МТС — по расписанию, у Билайна — свои.
Даже в пределах одного города ситуация меняется от точки к точке: на одной улице интернет работает нормально, на следующей — уже с ограничениями. Списки разрешённых IP и доменов тоже различаются между операторами и постоянно обновляются. Например, подсеть, которая в белом списке у Мегафона, может отсутствовать у МТС.
Это создаёт дополнительные сложности для обхода: то, что работало вчера, сегодня может быть заблокировано. Поэтому важно использовать гибкие методы, которые можно быстро перенастроить, и следить за актуальной информацией.
Безопасность и юридические аспекты обхода белых списков
Обход белых списков — это технически сложная задача, но она сопряжена с юридическими рисками. В России использование VPN и других средств обхода блокировок не запрещено напрямую, но законодательство постоянно ужесточается. Роскомнадзор может блокировать VPN-сервисы, а провайдеры обязаны ограничивать доступ к ним.
При использовании обходных методов важно соблюдать меры предосторожности. Не используйте пиратские или сомнительные VPN-сервисы — они могут красть данные. Настраивайте собственные серверы или используйте проверенные протоколы с открытым исходным кодом. Также помните, что даже при обходе белых списков ваши действия могут логироваться, поэтому используйте шифрование и избегайте передачи чувствительной информации.
С юридической точки зрения, ответственность за обход блокировок в основном лежит на провайдерах и владельцах VPN-сервисов, а не на конечных пользователях. Однако в отдельных случаях пользователи могут быть привлечены к ответственности за распространение запрещённой информации. Будьте осторожны и соблюдайте местные законы.
Вопросы и ответы
Почему Telegram не работает при белых списках, и как его обойти?
Telegram блокируется на уровне IP: его серверы не входят в белый список, поэтому пакеты до них не доходят. Обойти можно, используя прокси или VPN на российском VPS с IP из белого списка. Например, VLESS + Reality с SNI разрешённого домена (vk.com, ya.ru) или Shadowsocks с обфускацией. Также можно использовать Yandex Cloud Functions как прокси. Важно, чтобы IP сервера был в белом списке, иначе соединение не установится.
Какие бесплатные методы обхода белых списков существуют?
Бесплатные методы включают использование Yandex Cloud Functions (free tier: 1 млн вызовов в месяц), аренду VPS с бесплатным грантом (например, Yandex Cloud даёт 4000 рублей при регистрации) или использование открытых репозиториев с актуальными списками разрешённых IP. Также можно настроить Shadowsocks на домашнем сервере, если ваш провайдер включил его IP в белый список. Однако бесплатные методы менее стабильны и требуют технических навыков.
Чем VLESS Reality отличается от обычного VPN?
VLESS Reality — это протокол, который маскирует трафик под HTTPS-запросы к реальным сайтам (например, vk.com). В отличие от обычного VPN, который создаёт туннель с характерными сигнатурами, Reality имитирует легитимный веб-трафик, поэтому DPI не может его распознать. Кроме того, Reality работает на порту 443 и использует TLS-шифрование, что делает его неотличимым от обычного HTTPS. Это делает его более эффективным при белых списках, чем стандартные VPN-протоколы.
Можно ли обойти белые списки без VPN, используя только прокси?
Да, можно использовать прокси-протоколы, такие как Shadowsocks или VLESS, которые не являются полноценными VPN, но позволяют перенаправлять трафик. Они работают на прикладном уровне и маскируют трафик под HTTPS. Главное — чтобы прокси-сервер находился на IP из белого списка. Также можно использовать SOCKS5-прокси через Yandex Cloud Functions. Однако прокси обычно менее стабильны, чем VPN с обфускацией, и требуют ручной настройки.
Как часто обновляются белые списки, и влияет ли это на обход?
Белые списки обновляются регулярно, иногда еженедельно. Это влияет на обход: если IP вашего сервера или SNI домена удалят из списка, соединение перестанет работать. Поэтому важно использовать актуальные данные — например, из открытых репозиториев, которые отслеживают изменения. Также рекомендуется иметь несколько методов обхода и быстро переключаться между ними. Некоторые операторы обновляют списки неравномерно, что создаёт дополнительные сложности.
Какие SNI-домены безопасно использовать для маскировки в Reality?
Безопасно использовать домены, которые точно входят в белый список и не заблокированы. Примеры: vk.com, ya.ru, storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru. Избегайте доменов, которые явно заблокированы, например twitter.com, youtube.com, так как они вызывают RST. Также стоит проверять актуальные списки разрешённых доменов, так как правила могут меняться.