Что такое белый список и чем он отличается от обычной блокировки
Когда говорят о блокировках в интернете, чаще всего представляют черный список: конкретный сайт или сервис закрыт, а всё остальное продолжает работать. Белый список устроен иначе. В этом режиме по умолчанию запрещено всё, кроме ограниченного набора разрешенных ресурсов. Это могут быть сайт оператора, портал госуслуг, банковское приложение или корпоративная система.
Пользователь видит странную картину: интернет вроде бы есть, но YouTube, Telegram, Discord, зарубежные сайты и игровые серверы не открываются. При этом российские сервисы и сайты, внесенные в список, работают без проблем. Такая фильтрация применяется в корпоративных сетях, учебных заведениях, а также на уровне мобильных операторов в некоторых сценариях.
Ключевое отличие белого списка от черного — подход к фильтрации. Вместо поиска запрещенного трафика система пропускает только то, что явно разрешено. Это делает обход значительно сложнее, потому что стандартный VPN-запрос к неизвестному серверу блокируется еще на этапе установки соединения.
Почему обычный VPN не работает при белом списке
Большинство VPN-приложений создавались для приватности и обхода черных списков. Они шифруют трафик и скрывают IP-адрес, но при подключении обращаются к своему серверу по прямому IP-адресу. Если этот адрес не входит в белый список, фаервол сети обрывает соединение еще до того, как пакет покинет локальную сеть.
Вторая проблема — DPI (Deep Packet Inspection), или глубокий анализ пакетов. Современные фильтры умеют распознавать сигнатуры стандартных протоколов: OpenVPN, WireGuard, IKEv2. Даже если сервер доступен, DPI может определить, что трафик идет от VPN, и заблокировать его. Особенно жестко фильтруется UDP-трафик, который используют многие VPN по умолчанию.
Третья причина — публичные серверы бесплатных VPN быстро попадают в черные списки операторов. Если сегодня конфиг работает, завтра он может перестать. Это вечная гонка между пользователями и администраторами сетей. Поэтому фраза «установите любой VPN» при белых списках не работает.
Методы обхода: обфускация, туннелирование и маскировка трафика
Чтобы пробить белый список, нужно заставить VPN-трафик выглядеть как обычное разрешенное соединение. Основных методов несколько.
Обфускация — это маскировка VPN-трафика под обычный HTTPS. Если сеть разрешает трафик на 443 порт (стандартный порт веб-серфинга), VPN-пакеты упаковываются так, чтобы DPI не мог отличить их от обычного посещения сайта. Протоколы Shadowsocks и VLESS создавались именно для этой цели: они шифруют данные так, что для фильтра они выглядят как случайный набор байтов, похожий на HTTPS.
DNS-туннелирование — метод, при котором данные передаются внутри DNS-запросов. Сети, которые пропускают DNS-запросы для преобразования имен сайтов в IP-адреса, позволяют передавать через них и произвольные данные. Это самый медленный, но часто самый надежный способ, когда заблокировано практически всё. SlowDNS работает именно через 53 порт.
Инкапсуляция в ICMP — передача данных через ping-запросы. Метод редкий, но иногда работает в сетях, где разрешен ICMP-трафик.
Подмена SNI и заголовков — техника, используемая в HTTP Injector и подобных инструментах. Приложение подменяет имя сервера в TLS-запросе на разрешенный домен (например, сайт оператора), а VPN-сервер отбрасывает этот заголовок и перенаправляет трафик на нужный ресурс.
Бесплатные VPN-приложения для Android и iOS
Для обхода белых списков на телефоне подходят не все приложения. Обычные «кнопочные» VPN-сервисы здесь бесполезны. Нужны инструменты с поддержкой туннелирования, смены протоколов и обфускации.
Psiphon Pro — легендарное приложение для обхода цензуры. Оно автоматически перебирает протоколы (SSH, SSH+, VPN, OSSH), пока не найдет работающий канал. Плюс — не требует настройки. Минус — в бесплатной версии скорость сильно ограничена и много рекламы.
Lantern — использует пиринговую сеть: трафик идет через цепочку устройств других пользователей, что усложняет блокировку. Подходит для быстрого старта без технических знаний.
SlowDNS (TunnelGuru) — работает через DNS-туннель на 53 порту. Это «последний шанс», когда заблокировано всё. Скорость черепашья, но текстовые сообщения в мессенджерах проходят.
Orbot (Tor for Android) — использует сеть Tor с мостами (bridges) и транспортом obfs4. Обходит почти любые белые списки, но очень медленный.
v2rayNG / NapsternetV — это клиенты для протоколов V2Ray, Xray и Shadowsocks. Они не предоставляют серверы, а требуют конфиг (текстовую строку с адресом сервера). Для новичка это сложно, но для продвинутых пользователей дает гибкость и скорость.
Протоколы с обфускацией: VLESS, Shadowsocks, AmneziaWG
Современные протоколы с обфускацией — это основа обхода белых списков. Они не просто шифруют трафик, а «размывают» его паттерны, делая неотличимым от обычного HTTPS или шумного UDP.
VLESS — протокол из семейства V2Ray/Xray. Создан для обхода китайского фаервола, но эффективен и против российских DPI. Маскирует трафик под HTTPS, работает быстро. Многие Telegram-боты выдают рабочие VLESS-конфиги.
Shadowsocks — легкий прокси-протокол, который шифрует данные так, что они выглядят как случайный трафик. Отлично маскируется под TLS. Outline от Jigsaw (лаборатория Google) использует именно Shadowsocks и позволяет поднять собственный сервер на VPS.
AmneziaWG — модификация WireGuard от российского проекта AmneziaVPN. DPI-фильтры не отличают его от обычного шумного UDP-трафика. Считается одним из лучших open-source решений для обхода DPI у крупных российских операторов.
Hysteria — протокол на базе QUIC, который использует нестандартные механизмы для маскировки и оптимизации. Некоторые сервисы, например ComfyVPN, используют его для стабильной работы на мобильных сетях.
Бесплатные VPN-сервисы с реальными лимитами
Полностью бесплатных VPN, которые стабильно работают при белых списках, практически не существует. Но есть сервисы с щедрыми бесплатными тарифами, которых хватает для Telegram.
ProtonVPN — швейцарский сервис от создателей Proton Mail. Бесплатный тариф безлимитный по трафику, но с одним сервером. Прошел независимый аудит SEC Consult, клиенты с открытым кодом. Поддерживает WireGuard и Stealth-протокол для маскировки. Минус — бесплатный сервер часто перегружен, особенно вечером.
Windscribe — канадский сервис с бесплатным тарифом 10 ГБ/мес после подтверждения email. Поддерживает WireGuard, kill switch и конструктор правил R.O.B.E.R.T. для блокировки трекеров. Этого объема хватает на переписку в Telegram, голосовые и немного видео.
AdGuard VPN — бесплатные 3 ГБ/мес без ограничения по сроку. Встроенный блокировщик рекламы и трекеров на уровне DNS. Подходит для легкой переписки, но не для видео и звонков.
Cloudflare WARP (1.1.1.1) — бесплатный туннель на базе WireGuard от Cloudflare. Безлимитный трафик, без регистрации, включается в одно нажатие. Но скрывает IP только от внешних сервисов, не от провайдера, и не помогает, если домен Telegram блокируется на DNS-уровне.
Собственный VPN на VPS: бесплатный софт, платный сервер
Для тех, кто готов потратить 15–20 минут на настройку, оптимальный вариант — поднять собственный VPN на арендованном сервере (VPS). Софт бесплатный, платить нужно только за аренду — от 200 до 400 рублей в месяц.
Outline от Jigsaw — самый простой способ. Устанавливается через Outline Manager в один клик, использует Shadowsocks. Один ключ можно раздать всей семье. Рекомендуется брать VPS у Hetzner или Aeza — у них дешевые серверы в Европе с разлоченными портами.
AmneziaVPN — российский open-source проект. Поддерживает AmneziaWG, OpenVPN, Shadowsocks с Cloak. Установка серверной части автоматизирована, есть клиенты для всех платформ. Считается чемпионом по обходу DPI среди open-source решений.
Важно: не используйте публичные ключи из Telegram-ботов — они часто логируют трафик. Только собственный сервер гарантирует приватность. Если арендовать VPS на двоих, выходит около 100–150 рублей в месяц с человека — дешевле большинства платных VPN.
Как настроить обход белого списка на телефоне: пошаговая инструкция
Правильная настройка решает больше, чем выбор конкретного приложения. Вот базовый алгоритм для Android и iPhone.
Android:
- Удалите или отключите старые VPN-приложения, которые могут конфликтовать.
- Установите выбранный VPN-клиент (например, v2rayNG или Psiphon).
- Разрешите создание VPN-профиля в системных настройках.
- В настройках соединения выберите порт TCP 443 — это порт HTTPS, открытый в 99% сетей.
- Включите опции обфускации: «Scramble», «Stealth», «Obfuscation» или «Use Proxy».
- Подключитесь через мобильный интернет, а не Wi-Fi — белые списки чаще всего бьют именно по мобильной сети.
- Если соединение висит, смените сервер или протокол, затем перезапустите мобильные данные.
iPhone:
- Проверьте, не включен ли другой VPN-профиль в настройках iOS.
- Установите приложение или импортируйте конфигурацию.
- Разрешите добавление VPN-конфигурации.
- Отключите Wi-Fi и проверьте работу на LTE/5G.
- Если сайты открываются через Wi-Fi, но не через мобильную сеть — проблема в операторской фильтрации, а не в телефоне.
Общие советы:
- Всегда проверяйте VPN на мобильной сети, а не только на домашнем Wi-Fi.
- Если подключение есть, но сайты не открываются, поменяйте DNS на 8.8.8.8 или 1.1.1.1.
- При циклическом переподключении переключитесь с UDP на TCP.
Частые ошибки и способы их решения
Даже правильно настроенный VPN может давать сбои. Разберем типичные проблемы.
Handshake Failed — сервер не ответил на рукопожатие. Причина: провайдер заблокировал IP-адрес сервера или распознал протокол. Решение: сменить сервер или включить более агрессивную обфускацию.
Подключение есть, интернета нет — проблема с DNS. Телефон использует DNS провайдера, который блокирует запросы. Решение: прописать в настройках соединения Google DNS (8.8.8.8) или Cloudflare (1.1.1.1).
Циклическое переподключение — часто бывает на UDP-протоколах в сетях с высоким уровнем потери пакетов. Решение: переключиться на TCP.
Telegram открывается, видео нет — часть трафика идет мимо туннеля или режется UDP. Решение: включить полный туннель (full tunnel) и проверить настройки split tunneling.
На Wi-Fi работает, на мобильном нет — ограничение со стороны мобильного оператора. Решение: проверить другой сервер, другой VPN или SIM другого оператора.
YouTube грузит только низкое качество — высокая задержка или перегруз сервера. Решение: выбрать ближайший сервер, отключить фоновые загрузки.
Почему бесплатные конфиги живут недолго и что с этим делать
Публичные конфиги для HTTP Injector, OpenVPN и даже VLESS быстро попадают в черные списки операторов. Причина — массовое использование. Как только конфиг становится популярным, DPI-системы оператора учатся его распознавать и блокируют.
Это вечная гонка вооружений. Сегодня конфиг работает, завтра — нет. Поэтому полагаться на случайные публичные ключи из Telegram-каналов — плохая стратегия. Они не только нестабильны, но и могут быть опасны: некоторые боты логируют трафик пользователей.
Что делать?
- Используйте сервисы, которые автоматически обновляют конфиги и серверы (например, ComfyVPN или VPNTYPE).
- Поднимите собственный сервер на VPS — тогда конфиг знаете только вы, и блокировать его сложнее.
- Держите запасной вариант: если один VPN перестал работать, быстро переключайтесь на другой.
- Следите за обновлениями приложений — разработчики часто добавляют новые методы обфускации.
Вопросы и ответы
Что такое белый список интернета и чем он отличается от черного?
Белый список — это режим фильтрации, при котором по умолчанию разрешены только определенные сайты и приложения, а всё остальное блокируется. Черный список, наоборот, блокирует конкретные ресурсы, оставляя остальной интернет доступным. При белом списке обычный VPN часто не работает, потому что его сервер не входит в список разрешенных адресов.
Какой бесплатный VPN реально обходит белые списки?
Полностью бесплатных и стабильных решений почти нет. Можно попробовать Psiphon, Lantern или SlowDNS — они автоматически подбирают протоколы. Также есть ProtonVPN с безлимитным бесплатным тарифом и Windscribe с 10 ГБ/мес. Но для надежного обхода лучше использовать собственный VPN на VPS с протоколами VLESS, Shadowsocks или AmneziaWG — это стоит от 200 рублей в месяц.
Почему Telegram не работает даже с VPN?
Причин может быть несколько: сервер VPN заблокирован оператором, протокол распознается DPI-фильтром, DNS-запросы блокируются, или используется UDP, который режется жестче. Решение: смените сервер и протокол, включите обфускацию, переключитесь на TCP-порт 443, поменяйте DNS на 8.8.8.8 или 1.1.1.1.
Что такое обфускация и зачем она нужна?
Обфускация — это маскировка VPN-трафика под обычный HTTPS или другой разрешенный тип трафика. Она нужна, чтобы DPI-фильтры не могли распознать, что вы используете VPN. Протоколы VLESS, Shadowsocks, AmneziaWG и Hysteria используют обфускацию для обхода белых списков и глубокой фильтрации пакетов.
Какой протокол лучше всего обходит DPI в России?
По отзывам пользователей и тестам, лучшие результаты показывают VLESS (из семейства Xray), Shadowsocks с Cloak и AmneziaWG. Эти протоколы специально создавались для обхода DPI и маскируют трафик под обычный HTTPS или шумный UDP. Стандартные OpenVPN и WireGuard без обфускации часто блокируются.
Безопасно ли использовать публичные VPN-конфиги из Telegram-каналов?
Нет, это рискованно. Публичные конфиги могут быть созданы злоумышленниками для перехвата трафика. Они часто логируют данные пользователей. Кроме того, такие конфиги быстро блокируются операторами. Безопаснее использовать проверенные сервисы с пробным периодом или поднять собственный VPN на VPS.
Сколько стоит поднять собственный VPN для обхода белых списков?
Аренда VPS-сервера в Европе стоит от 200 до 400 рублей в месяц. Софт (Outline, AmneziaVPN) бесплатный. Если арендовать сервер на двоих, выходит около 100–150 рублей с человека. Это дешевле большинства платных VPN-подписок и дает полный контроль над конфигурацией.