Что такое белые списки и чем они отличаются от чёрных
Белые списки — это режим фильтрации, при котором провайдер пропускает только трафик к заранее разрешённым IP-адресам и доменам, а всё остальное блокируется по умолчанию. В отличие от классических чёрных списков Роскомнадзора, где блокируются конкретные сайты из реестра, белый список отсекает все неразрешённые соединения ещё на уровне маршрутизации.
На практике это означает, что даже если ваш VPN-сервер не внесён в реестр запрещённых, его IP-адрес просто не входит в список разрешённых — и пакеты до него не доходят. При этом пользователь видит не ошибку TLS или таймаут, а полное отсутствие соединения: пинги не проходят, TCP-хендшейк не завершается.
В России белые списки начали тестировать в отдельных регионах с конца 2025 года. По сообщениям пользователей, операторы внедряют их поэтапно: сначала блокировка по SNI, затем по IP-адресам, а в самых жёстких случаях — по CIDR-диапазонам. Это делает обход значительно сложнее, чем при обычной блокировке доменов.
Почему стандартные VPN-протоколы перестают работать
OpenVPN, IKEv2, L2TP и даже стандартный WireGuard имеют характерные сигнатуры, которые DPI-системы распознают без труда. Например, OpenVPN использует фиксированные порты и специфическую структуру заголовков, а WireGuard отправляет UDP-пакеты с предсказуемым размером и временными интервалами.
Даже если VPN-клиент использует порт 443 (HTTPS), DPI анализирует не только порт, но и паттерны трафика: размер пакетов, частоту отправки, TLS-заголовки. Если трафик не похож на реальный браузерный, соединение помечается как VPN и блокируется.
Пользователи на Хабр Q&A отмечают, что после 6 ноября 2025 года массово перестали работать VLESS, Trojan, VMess и XTLS-Reality на мобильных операторах. При этом на Wi-Fi те же конфигурации продолжали функционировать — это указывает на то, что операторы внедрили более глубокую фильтрацию именно на мобильных сетях.
Как DPI определяет VPN-трафик: SNI, IP и CIDR
Современные системы глубокого анализа пакетов (DPI) используют несколько уровней проверки. Первый — это SNI (Server Name Indication), то есть доменное имя, которое клиент передаёт при TLS-рукопожатии. Если SNI не входит в белый список, соединение блокируется.
Второй уровень — проверка IP-адреса назначения. Даже если SNI выглядит легитимно (например, stats.vk-portal.net), DPI сверяет IP-адрес, на который реально идёт трафик, с DNS-резолвом этого домена. Если адрес не совпадает или не входит в разрешённый CIDR-диапазон, соединение обрывается.
Третий, самый жёсткий уровень — проверка по CIDR-диапазонам. Оператор включает в белый список целые подсети крупных сервисов (Яндекс, VK, Mail.ru) и пропускает только трафик к этим диапазонам. В этом случае даже идеально замаскированный SNI не поможет, если IP вашего сервера не находится внутри разрешённой подсети.
Методы обхода: от подмены SNI до аренды серверов в белых подсетях
Самый простой метод — подмена SNI на домен из белого списка (например, ya.ru или vk.com). Этот способ работал до осени 2025 года, но после внедрения проверки IP-адресов стал ненадёжным. Если ваш VPS находится за пределами разрешённых подсетей, соединение будет заблокировано.
Более продвинутый вариант — аренда VPS в облаках, которые входят в белые списки: Yandex Cloud, VK Cloud, Mail.ru Cloud. Пользователи сообщают, что на некоторых операторах (МТС, Мегафон) такие серверы продолжают работать, но не все подсети одинаково доступны — нужно подбирать конкретный CIDR.
Третий метод — использование CDN (Content Delivery Network). Если ваш сервер спрятан за CDN, трафик идёт на IP-адреса CDN-узлов, которые часто входят в белые списки. Однако это дорого и не всегда эффективно, так как операторы могут блокировать и CDN-диапазоны.
Протоколы, которые реально работают: VLESS, XTLS-Reality, Trojan
VLESS с XTLS-Reality — один из самых обсуждаемых протоколов в контексте обхода белых списков. Его идея в том, что сервер имитирует TLS-рукопожатие реального сайта (например, Google или VK), а трафик выглядит как обычный HTTPS. Однако с ноября 2025 года этот метод перестал работать на многих операторах, потому что DPI начал проверять не только SNI, но и IP-адрес назначения.
Trojan-GFW маскирует трафик под HTTPS и требует наличия на сервере сайта-заглушки. Если кто-то откроет адрес сервера в браузере, он увидит обычную страницу, что затрудняет обнаружение. Но и этот протокол уязвим перед проверкой IP.
Shadowsocks с плагинами (v2ray-plugin, simple-obfs) также может работать, но его трафик легче распознать, чем VLESS с Reality. Некоторые пользователи сообщают, что на Tele2 и Билайне работают только CDN-решения (например, VK Cloud CDN или Yandex Cloud CDN).
Экзотические методы: WebRTC-туннелирование через звонки
Один из самых нестандартных подходов — туннелирование трафика через WebRTC-звонки. Идея в том, что WebRTC использует протоколы, которые сложно заблокировать, так как они задействуют медиасерверы (SFU) и выглядят как обычные аудио/видеозвонки.
На Хабре появился проект, который реализует такой туннель: клиент подключается к SFU-серверу через WebRTC, а тот перенаправляет трафик в интернет. Есть реализации для Android, iOS (в режиме прокси) и десктопа. Для iOS требуется установка VPN-приложения с поддержкой SOCKS5 (например, Shadowrocket или Streisand), так как полноценный VPN требует платной подписки разработчика.
Этот метод пока работает, но имеет ограничения: скорость ниже, чем у обычного VPN, и требуется стабильное соединение с SFU-сервером. Тем не менее, это один из немногих способов, который может обойти белые списки, так как WebRTC-трафик сложно отличить от обычных звонков.
Практические советы: как проверить, что работает именно у вас
Прежде чем менять протокол или арендовать новый сервер, проведите диагностику. Подключитесь к VPN и проверьте, изменился ли ваш IP на сайте 2ip.ru или whoer.net. Если IP не меняется, значит VPN-соединение не устанавливается.
Попробуйте открыть несколько разных сайтов: если открываются только российские ресурсы, а зарубежные нет, скорее всего, работает белый список. Если не открывается вообще ничего, возможно, блокировка идёт по IP.
Используйте скрипты для проверки SNI: например, скрипт с openssl, который проверяет, доступен ли домен по 443 порту. Если домен пингуется, но VPN не работает, проблема может быть в IP-адресе сервера.
Попробуйте разные операторы: пользователи сообщают, что МТС и Мегафон пока менее строги, чем Tele2 и Билайн. На Tele2 белые списки введены практически полностью, и обход возможен только через CDN.
Ограничения и риски: что не стоит пробовать
Важно понимать, что ни один метод не даёт 100% гарантии. Белые списки — это постоянно эволюционирующая система, и то, что работало вчера, может перестать работать завтра. Пользователи на Хабр Q&A отмечают, что операторы обновляют фильтры каждые несколько недель.
Не рекомендуется использовать бесплатные VPN-сервисы: они почти всегда используют стандартные протоколы без обфускации и быстро блокируются. Кроме того, бесплатные VPN часто продают данные пользователей.
Не стоит полагаться на публичные списки «рабочих SNI» — они устаревают в течение нескольких дней. Лучше самостоятельно проверять домены через openssl или аналогичные инструменты.
Наконец, помните, что обход блокировок может нарушать законодательство РФ. Статья 15.1 ФЗ-149 предусматривает ответственность за предоставление средств обхода, но обычные пользователи редко привлекаются к ответственности. Тем не менее, риски существуют.
Будущее обхода белых списков: что дальше
Судя по тенденциям, операторы будут ужесточать фильтрацию: от SNI к IP, от IP к CIDR, а затем, возможно, к анализу поведения пользователя. Уже сейчас обсуждается проверка не только IP, но и соответствия SNI и IP вплоть до третьего октета адреса.
В ответ на это появляются новые методы: WebRTC-туннели, использование протоколов реального времени (RTP), маскировка под онлайн-игры или стриминговые сервисы. Некоторые пользователи экспериментируют с передачей данных через DNS-запросы или ICMP-пакеты, но это пока экзотика.
Вероятно, в 2026 году мы увидим рост популярности персональных прокси-серверов, арендованных в облаках, которые входят в белые списки. Однако это требует технических знаний и регулярного обслуживания.
Для обычных пользователей оптимальным решением остаются коммерческие VPN с обфускацией, которые постоянно адаптируют свои протоколы под новые методы блокировки. Но даже они не гарантируют работу во всех регионах и на всех операторах.
Вопросы и ответы
Почему VPN перестал работать на мобильном интернете, но работает на Wi-Fi?
Скорее всего, ваш мобильный оператор ввёл белые списки по IP или CIDR. На Wi-Fi трафик идёт через домашнего провайдера, который может не использовать такие фильтры. Проверьте, работает ли VPN на другом операторе или через другую сеть.
Какой протокол лучше всего подходит для обхода белых списков?
На данный момент наиболее эффективны VLESS с XTLS-Reality и Trojan-GFW, но они работают только если IP вашего сервера входит в белый список. Если нет, можно попробовать Shadowsocks с плагинами обфускации или WebRTC-туннелирование.
Можно ли обойти белые списки без VPN?
Теоретически можно использовать Tor с мостами или Shadowsocks, но это сложно настраивать и скорость будет низкой. WebRTC-туннелирование — ещё один вариант, но он требует специального ПО. Для большинства пользователей проще использовать VPN с обфускацией.
Что делать, если все методы перестали работать?
Попробуйте сменить оператора (МТС и Мегафон пока менее строги), арендовать VPS в Yandex Cloud или VK Cloud, или использовать CDN. Также следите за обновлениями в профильных сообществах — новые методы появляются регулярно.
Безопасно ли использовать публичные списки рабочих SNI?
Нет, они быстро устаревают и могут содержать вредоносные домены. Лучше самостоятельно проверять SNI через openssl или использовать проверенные источники. Помните, что даже рабочий SNI не гарантирует обход, если IP-адрес сервера не в белом списке.