Как бороться с белыми списками: технические методы и практические советы

Что такое белые списки и чем они отличаются от обычных блокировок

Белые списки — это режим фильтрации интернета, при котором по умолчанию запрещено всё, кроме явно разрешённых ресурсов. В отличие от классических чёрных списков, где блокируются конкретные сайты из реестра, белые списки работают по принципу «запрещено всё, кроме разрешённого». Это означает, что даже если физический сигнал у вас есть и байты идут, ТСПУ (технические средства противодействия угрозам) решает, какие пакеты пропустить, а какие отбросить.

В России белые списки начали тестировать в отдельных регионах, и их применение неравномерно: в Москве они работают эпизодически, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно. При этом у разных операторов связи списки могут отличаться, и даже в пределах одного города доступность ресурсов может меняться от вышки к вышке. Это создаёт серьёзные сложности для пользователей и заставляет искать способы обхода.

Как устроена фильтрация: два уровня — L3 и L7

Фильтрация при белых списках работает на двух уровнях одновременно. Первый уровень — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения и пропускает только те пакеты, которые идут к адресам из белого списка. Если IP не в списке, пакет просто исчезает — соединение не устанавливается, и никакие протоколы, включая ICMP, TCP и UDP, не работают.

Второй уровень — прикладной (L7): если IP-адрес разрешён, ТСПУ проверяет SNI (Server Name Indication) в TLS-запросе. Если SNI находится в чёрном списке, соединение сбрасывается (RST). При этом правила SNI-фильтрации не всегда консистентны: один и тот же домен может пропускаться через один IP и блокироваться через другой. Например, twitter.com через IP Яндекса может открываться, а через IP VK — нет. Это связано с тем, что единого общего чёрного списка SNI не существует, и правила могут различаться для разных подсетей.

Почему обычные VPN не работают при белых списках

Стандартные VPN-протоколы легко распознать и заблокировать. OpenVPN имеет характерную сигнатуру в заголовках пакетов, IKEv2/IPSec использует фиксированные порты, а WireGuard — UDP-пакеты с узнаваемой структурой. Даже если VPN использует порт 443 (HTTPS), DPI-системы анализируют паттерны трафика: размеры пакетов, временные интервалы и другие признаки выдают VPN-подключение.

Кроме того, при белых списках блокировка идёт в первую очередь по IP-адресу. Если сервер VPN находится за границей или на обычном VPS, его IP не будет в белом списке, и пакеты до него просто не дойдут. Шифрование имени домена (ECH/ESNI) тоже не помогает, потому что основная блокировка — на уровне IP, а не SNI.

Метод 1: VLESS + Reality на российском VPS

Один из самых надёжных методов обхода белых списков — использование протокола VLESS с расширением Reality на сервере, IP которого находится в белом списке. Этот метод работает стабильно и относительно просто настраивается.

Требования:

• IP-адрес сервера должен быть в белом списке (например, VPS у Timeweb, Yandex.Cloud или VK Cloud);
• SNI должен быть доменом из белого списка (например, vk.com, ya.ru, vklive.enotfast.com);
• Используйте Reality + XTLS-Vision для маскировки трафика под обычный HTTPS.

Пример конфигурации: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision

Провайдеры, которые подходят для этого метода:

• Timeweb — бесплатный reroll IP, но долго выбивать;
• Yandex.Cloud — бесплатный грант 4000 рублей при регистрации, высокий шанс попасть в белый список;
• VK Cloud — долго держится, но сложная верификация и дорого.

Хорошие SNI для маскировки: storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru. Опасные SNI — twitter.com, x.com, youtube.com — они проверяются и могут вызвать RST.

Метод 2: Yandex Cloud Functions как прокси

Ещё один способ — использовать serverless-функции Yandex Cloud в качестве прокси. Эндпоинт functions.yandexcloud.net универсально находится в белом списке у всех провайдеров. Это значит, что трафик к IP Яндекса не блокируется на уровне L3 и L7.

Free tier Yandex Cloud Functions включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Вы можете написать SOCKS5-клиент, подключить его к функции — и получите рабочий прокси, который не блокируется. Этот метод особенно полезен, если у вас нет возможности арендовать VPS с белым IP.

Метод 3: Обфускация и Shadowsocks

Обфускация — это технология, которая маскирует VPN-трафик под обычный HTTPS. Пакеты модифицируются так, чтобы выглядеть как обычный веб-трафик: с хаотичными размерами, правдоподобными временными интервалами и TLS-заголовками. DPI видит обычное HTTPS-подключение и не блокирует его.

Shadowsocks с плагинами маскировки (v2ray-plugin, simple-obfs) также работает: трафик выглядит как обычный HTTP/HTTPS и проходит через белые списки. Протокол Trojan-GFW маскирует трафик под HTTPS, и при попытке открыть адрес сервера в браузере вы увидите обычный сайт-заглушку.

Эти методы менее стабильны, чем VLESS+Reality, но могут быть полезны, если у вас нет доступа к российскому VPS.

Что не работает: QUIC, ECH, обычные VPN и иностранные SIM-карты

Некоторые технологии, которые могут показаться перспективными, на самом деле не работают при белых списках. QUIC/HTTP3 блокируется почти всегда, даже на домашних провайдерах без белых списков. UDP:443 режется в режиме белых списков. ECH/ESNI блокируется ТСПУ, и даже если бы работал, не помог бы, потому что основная блокировка идёт по IP.

Обычные VPN на зарубежных серверах не работают, так как их IP не в белом списке. Иностранные SIM-карты, вопреки распространённому мнению, тоже не гарантируют обход: они работают только у части пользователей за счёт системы Home Routing, когда данные идут через страну домашнего оператора. Это может помочь обойти замедления, но не гарантирует доступ при белых списках.

Как выбрать VPN для обхода белых списков

При выборе VPN для обхода белых списков важно обращать внимание на несколько факторов. Во-первых, сервис должен использовать обфускацию или протоколы, маскирующие трафик под HTTPS. Во-вторых, у сервиса должен быть открытый код или хотя бы техническое описание принципов работы — это снижает риск того, что ваши данные будут переданы третьим лицам.

Эксперты рекомендуют с осторожностью относиться к бесплатным VPN: исследование RKS Global показало, что 16 из 87 самых скачиваемых бесплатных VPN-приложений передают данные на серверы в России и используют Яндекс.Метрику, которая обязана предоставлять данные силовикам. Всегда есть риск, что сервис сам собирает и продаёт ваши данные.

Среди сервисов, которые заявляют о поддержке обхода белых списков, — Blanc VPN, Liberty VPN, Durev VPN и Proton VPN. Однако ни один из них не даёт стопроцентной гарантии: хороший результат — это обход в 5 из 10 случаев, отличный — в 8 из 10. Чем стабильнее соединение, тем больше сервису приходится платить за аренду «белых» IP-адресов.

Практические советы и ограничения

При использовании методов обхода белых списков важно помнить о нескольких ограничениях. Во-первых, списки постоянно меняются: что-то добавляют, что-то убирают, и у разных операторов они разные. Поэтому необходимо регулярно проверять актуальность используемых IP-адресов и SNI.

Во-вторых, даже если метод работает сегодня, завтра он может перестать работать. Роскомнадзор и операторы постоянно совершенствуют системы фильтрации. Например, в январе появилась информация о запрете российским облачным провайдерам сдавать в аренду IP-адреса из белых списков, что привело к сбоям у некоторых VPN-сервисов.

В-третьих, не стоит полагаться на один инструмент. Эксперты советуют иметь несколько запасных вариантов: например, VLESS+Reality на одном VPS и Shadowsocks на другом. Также полезно заранее настроить Delta Chat — мессенджер, работающий через электронную почту, который не блокируется при белых списках, если использовать почту Яндекса или Mail.ru.

Будущее обхода блокировок

В борьбе с блокировками не может быть окончательного решения. За каждым ограничением следует разработка, которая помогает его обойти. Как отмечают эксперты, «это как шахматы: наша партия началась в 2022 году, и мы ещё в её середине». Блокировки обойти нельзя только в том случае, если интернет полностью выключен, как, например, в Северной Корее.

Пока работают хотя бы несколько десятков сайтов, всегда найдутся способы использовать их инфраструктуру для доступа к глобальной сети. Методы, описанные в этой статье, — лишь отправная точка. Следите за обновлениями в сообществах, тестируйте разные конфигурации и помните: главное — сохранять доступ к информации и не нарушать закон.

Вопросы и ответы