Что такое белые списки и чем они отличаются от обычных блокировок
Белые списки (whitelist) — это механизм фильтрации интернет-трафика, при котором по умолчанию запрещён весь трафик, а доступ разрешён только к заранее утверждённым IP-адресам и доменам. В отличие от классических чёрных списков, где блокируются конкретные сайты, а остальное работает, белые списки делают интернет де-факто выключенным для всех ресурсов, кроме нескольких десятков разрешённых. В Калужской области, по данным источников, белые списки введены на постоянной основе у ряда операторов, включая Tele2, и работают неравномерно: в одних районах ограничения жёсткие, в других — периодически отключаются. Ключевое отличие: при белых списках даже VPN-соединения блокируются на уровне сети оператора, если сервер VPN не входит в разрешённый список.
Как устроена фильтрация: два уровня — L3 и L7
Фильтрация при белых списках работает на двух уровнях одновременно. Первый уровень — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения. Если он не входит в белый список, пакет просто отбрасывается (DROP) — никакого ответа не приходит, даже ICMP. Второй уровень — прикладной (L7): если IP разрешён, система глубокого анализа пакетов (DPI) проверяет SNI (Server Name Indication) в TLS-приветствии. Если SNI находится в чёрном списке (например, twitter.com), соединение принудительно разрывается (RST). Таким образом, даже если IP-адрес сервера разрешён, но домен в запросе заблокирован, трафик не пройдёт. Эта двухуровневая архитектура делает обход сложнее, чем при обычной блокировке по IP.
Почему белые списки в Калужской области работают неэффективно
Несмотря на заявленные цели, система белых списков в регионе сталкивается с серьёзными проблемами. Как сообщается, контроль через белые списки в Калужской области «буксует на ровном месте», оставляя лазейки для нежелательного контента. Причины: неконсистентность правил между разными операторами и даже между разными вышками одного оператора, а также технические ограничения — например, в белых списках оказываются целые подсети хостинг-провайдеров, что позволяет использовать их для обхода. Кроме того, списки постоянно меняются: что-то добавляют, что-то убирают, и единого реестра не существует. Это создаёт ситуацию, когда в одном районе города интернет практически отсутствует, а в соседнем — работает почти нормально.
Какие ресурсы реально доступны при белых списках
На основе анализа и практического опыта можно выделить иерархию доступности. На первом уровне — обязательные сервисы: мессенджер MAX (всегда в белом списке у всех операторов), VK, Яндекс (поиск, почта, карты, такси, музыка), Госуслуги, RUTUBE. На втором уровне — почти всегда доступны: банковские приложения (частично), Mir Pay, государственные сервисы. На третьем уровне — необязательные: маркетплейсы, отдельные банки (например, Тинькофф может быть у одного оператора, но отсутствовать у другого). Примечательно, что Сбербанк часто отсутствует в белых списках, хотя его корпоративный сервис видеозвонков salutejazz.ru может быть доступен. Поиск Яндекса работает, но сайты из выдачи, не входящие в белый список, не открываются.
Почему обычные VPN и прокси не работают
При белых списках стандартные методы обхода блокировок оказываются бесполезными. Обычный VPN на зарубежном VPS не работает, потому что IP-адрес сервера не входит в белый список — пакеты отбрасываются на уровне L3 ещё до установки соединения. Протоколы QUIC/HTTP3 блокируются, так как UDP-порт 443 режется почти полностью. ECH/ESNI (Encrypted Client Hello) также не помогают, поскольку основная блокировка идёт по IP, а не по SNI — шифрование имени домена бесполезно, когда адрес назначения запрещён. Даже смена DNS на публичные серверы (8.8.8.8, 1.1.1.1) не работает: порт UDP:53 на внешние DNS закрыт, работает только DNS провайдера.
Метод 1: VLESS + Reality на российском VPS
Самый надёжный способ обхода — развёртывание собственного прокси-сервера на VPS, который находится в белом списке. Для этого подходят хостинг-провайдеры, чьи IP-адреса гарантированно разрешены: Timeweb, Yandex.Cloud, VK Cloud, Selectel, Beget. Технически настраивается протокол VLESS с шифрованием Reality и маскировкой под легитимный трафик (XTLS-Vision). В качестве SNI для маскировки используются домены из белого списка, например: storage.yandex.net, userapi.com, vkuser.net, cdnvideo.ru. Важно: не использовать в качестве SNI заведомо заблокированные домены (twitter.com, youtube.com), так как они проверяются DPI. Провайдеры: Timeweb позволяет бесплатно менять IP (reroll), Yandex.Cloud даёт грант 4000 рублей при регистрации, VK Cloud требует верификации.
Метод 2: Yandex Cloud Functions как прокси
Альтернативный подход — использование serverless-функций Yandex Cloud. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех операторов. Можно написать простой SOCKS5-клиент, который подключается к функции, и через него направлять трафик. Бесплатный лимит включает 1 миллион вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд — этого достаточно для личного использования. DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому домены *.yandexcloud.net проходят без ограничений. Этот метод проще в настройке, чем VLESS, но может быть менее стабильным при высоких нагрузках.
Практические рекомендации по настройке и выбору VPS
Для успешного обхода белых списков в Калужской области следуйте этим шагам: 1) Выберите VPS у провайдера, чьи IP входят в белый список (Timeweb, Yandex.Cloud, VK Cloud). 2) Убедитесь, что IP-адрес сервера не заблокирован — проверьте через мобильный интернет в режиме белых списков. 3) Настройте VLESS+Reality с XTLS-Vision, используя в качестве SNI один из проверенных доменов (например, vkuser.net или storage.yandex.net). 4) Используйте нестандартный порт (443 или 80) для маскировки. 5) Регулярно обновляйте список разрешённых IP и SNI — он меняется еженедельно. Для мониторинга можно использовать открытые репозитории, например openlibrecommunity/twl. Помните: даже при правильной настройке возможны временные сбои из-за нестабильности работы белых списков.
Ограничения и риски: что нужно знать перед обходом
Обход белых списков сопряжён с рядом ограничений. Во-первых, методы работают только при условии, что ваш VPS находится в разрешённой подсети — если провайдер изменит политику, доступ может пропасть. Во-вторых, скорость соединения может быть ниже обычной из-за дополнительной маршрутизации. В-третьих, использование обходных методов может нарушать условия предоставления услуг оператора связи, хотя на практике ответственность для конечных пользователей маловероятна. Также стоит учитывать, что белые списки могут включаться и отключаться в зависимости от времени суток или региона — в Калужской области, по отзывам, система работает нестабильно, и в некоторые дни интернет может быть полностью доступен без обходных методов. Рекомендуется иметь запасной план: офлайн-карты, скачанные документы, контакты в мессенджере MAX.
Вопросы и ответы
Почему в Калужской области белые списки работают нестабильно?
Система белых списков в регионе страдает от неконсистентности: правила различаются не только между операторами (Tele2, МТС, Билайн, МегаФон), но и между разными вышками одного оператора. Кроме того, списки постоянно обновляются, и единого реестра не существует. В результате в одном районе города интернет может быть почти полностью заблокирован, а в соседнем — работать нормально.
Какие VPN-протоколы работают при белых списках?
Стандартные протоколы (OpenVPN, WireGuard, IPSec) не работают, так как их серверы обычно находятся за пределами белых списков. Единственный рабочий метод — VLESS+Reality с маскировкой под легитимный трафик (XTLS-Vision) на VPS, который входит в белый список. Также можно использовать Shadowsocks с obfuscation, но он менее стабилен.
Можно ли обойти белые списки без покупки VPS?
Да, можно использовать бесплатные serverless-функции Yandex Cloud (грант 4000 рублей при регистрации) или бесплатные пробные периоды хостинг-провайдеров, таких как Timeweb. Однако бесплатные решения имеют ограничения по трафику и времени работы. Для постоянного использования рекомендуется арендовать VPS.
Какие SNI-домены безопасно использовать для маскировки?
Безопасные SNI — те, которые гарантированно входят в белый список и не проверяются DPI: storage.yandex.net, yastatic.net, userapi.com, vkuser.net, vkuservideo.ru, cdnvideo.ru, okcdn.ru, hosting.reg.ru. Избегайте использования twitter.com, x.com, youtube.com — они могут быть заблокированы на уровне SNI.
Почему Сбербанк часто отсутствует в белых списках?
По данным анализа, Сбербанк не входит в белые списки у многих операторов, хотя его корпоративный сервис видеозвонков salutejazz.ru может быть доступен. Причины точно не известны, но предполагается, что это связано с техническими особенностями фильтрации или политикой операторов. Для оплаты в магазинах при белых списках работает только Mir Pay.
Как часто обновляются белые списки и где их отслеживать?
Белые списки обновляются еженедельно, иногда чаще. Для отслеживания можно использовать открытые репозитории, например openlibrecommunity/twl, где публикуются результаты сканирования. Также полезно мониторить тематические чаты и форумы, где пользователи делятся актуальной информацией.
Что делать, если обход перестал работать?
Если ваш метод обхода перестал работать, проверьте: 1) не изменился ли IP-адрес VPS (возможно, провайдер перевёл его в другую подсеть); 2) не обновились ли белые списки — возможно, ваш SNI-домен теперь заблокирован; 3) не изменились ли настройки DPI у оператора. В большинстве случаев помогает смена IP (reroll) у хостинг-провайдера или переход на другой SNI-домен.