Что такое белые списки и как они меняют интернет
Белый список (или whitelist) — это перечень интернет-ресурсов, которые остаются доступными при ограничении мобильного интернета. В отличие от привычных блокировок отдельных сайтов, здесь работает обратный принцип: по умолчанию запрещено всё, кроме утверждённого списка. Такой режим вводится в России с осени 2025 года в рамках мер по «суверенному интернету» и используется при отключениях, связанных с угрозами атак беспилотников.
По данным проекта «На связи», белые списки введены уже в 62 регионах, а блокировки затронули 66 регионов. Первая версия списка была опубликована Минцифры 5 сентября 2025 года и включала такие сервисы, как ВКонтакте, Одноклассники, Дзен, Rutube, Госуслуги, Яндекс, Ozon, Wildberries, Avito, сайты правительства и операторов связи. Позже, 14 ноября, список расширили, добавив сайты госорганов, банков, СМИ и другие ресурсы.
Важно понимать: белый список — это не просто блокировка по доменам, а комплексная фильтрация трафика на уровне оператора. Она затрагивает все виды соединений, включая VPN, и делает невозможным подключение к любым серверам, не входящим в список. Поэтому классические VPN-сервисы, которые работают при точечных блокировках, здесь оказываются бесполезны.
Почему классический VPN не работает при белых списках
При обычных блокировках (например, YouTube или Instagram) VPN работает, потому что он маскирует трафик под легитимный и обходит фильтрацию по SNI или IP. Но при белых списках ситуация принципиально иная: оператор разрешает только трафик к определённым IP-адресам и доменам, а всё остальное отбрасывает или «замораживает».
Технически это реализуется через DPI-системы (deep packet inspection), которые анализируют каждый пакет. Когда VPN-клиент пытается установить соединение с зарубежным сервером, DPI видит, что адрес назначения не входит в белый список, и блокирует соединение. Причём блокировка может быть разной: от полного разрыва (RST) до «заморозки» — когда после 15–20 КБ переданных данных пакеты перестают приходить, и соединение висит до таймаута.
Кроме того, при белых списках часто блокируются сами протоколы VPN (WireGuard, OpenVPN, VLESS), если они не замаскированы под разрешённый трафик. Поэтому даже если сервер физически доступен, соединение может быть заблокировано на уровне протокола. Всё это делает классические VPN-решения неработоспособными в условиях белых списков.
Как устроена фильтрация: SNI, IP и ASN
Фильтрация при белых списках может работать на нескольких уровнях. Самый простой — фильтрация по SNI (Server Name Indication), то есть по доменному имени, которое клиент передаёт при TLS-рукопожатии. Если домен не входит в белый список, соединение блокируется. Этот метод легко обходится подменой SNI на разрешённый домен, но он не единственный.
Более сложный уровень — фильтрация по IP-адресам и ASN (Autonomous System Number). Оператор может проверять, принадлежит ли IP-адрес назначения белому списку, и блокировать всё остальное. При этом учитываются не только отдельные IP, но и целые подсети, принадлежащие разрешённым компаниям. Например, если сервис VK использует определённый диапазон IP, оператор открывает доступ к этому диапазону, а всё остальное блокирует.
На практике операторы комбинируют эти методы. Как отмечают эксперты, из-за ротации IP-адресов и неполных данных списки могут работать нестабильно: некоторые ресурсы из белого списка открываются, а некоторые нет. Это связано с тем, что операторы по-разному запрашивают и обновляют IP-адреса, а также перестраховываются, блокируя лишнее, чтобы не пропустить запрещённое.
Почему белые списки работают нестабильно
Даже если ресурс официально включён в белый список, он может не открываться. Причины — в технической реализации. IP-адреса, которые используют крупные компании, не статичны: они арендуются, ротируются, от некоторых блоков отказываются. Операторы должны регулярно обновлять свои списки, но делают это с разной частотой и в разном объёме.
Кроме того, операторы сознательно перестраховываются. Если ошибочно открыть запрещённый ресурс, оператор понесёт ответственность, а если ошибочно закрыть разрешённый — нет. Поэтому они склонны блокировать больше, чем нужно. Это приводит к тому, что даже сервисы из белого списка могут быть недоступны у части абонентов.
Также стоит учитывать, что белые списки у разных операторов отличаются. Например, у «Мегафона» в списке есть «Кинопоиск» и PREMIER, а у МТС — Kion и «МТС Музыка». Это создаёт путаницу: один и тот же ресурс может работать у абонентов одного оператора и не работать у другого. Всё это делает ситуацию непредсказуемой для пользователей.
Методы обхода: подмена SNI и использование разрешённых доменов
Один из первых способов обхода белых списков — подмена SNI. Суть в том, что VPN-клиент при установке TLS-соединения подставляет в поле SNI домен из белого списка (например, vk.com или yandex.ru), а реальный трафик идёт на зарубежный сервер. Если фильтрация проверяет только SNI, такое соединение проходит.
На практике этот метод работает, но не всегда. Как отмечают пользователи на форумах, на некоторых операторах подмена SNI позволяет восстановить доступ, но на других — нет. Всё зависит от того, насколько глубоко DPI анализирует трафик. Если проверяется не только SNI, но и IP-адрес назначения, подмена не поможет.
Тем не менее, для многих это остаётся первым шагом. В приложениях типа Invizible Pro или Nekobox есть функция «Подделать SNI», которая автоматически подставляет разрешённые домены. Однако важно понимать: этот метод не гарантирует стабильной работы и может быть быстро закрыт операторами.
Цепочки VPN: российский мост и зарубежный выход
Более надёжный способ — использование цепочки из двух серверов: российского «моста» и зарубежного «выхода». Схема работает так: клиент подключается к VPS-серверу внутри России (например, в Яндекс.Облаке или VK Cloud), который находится в белом списке или просто не блокируется. Этот сервер, в свою очередь, через защищённый туннель передаёт трафик на зарубежный сервер, который уже выходит в открытый интернет.
Для ТСПУ (технические средства противодействия угрозам) такое соединение выглядит как обычный обмен данными между двумя российскими серверами, поэтому оно не блокируется. Главное — чтобы российский сервер имел «белый» IP-адрес, то есть входил в список разрешённых. Как показывают обсуждения, IP-адреса из пулов Яндекс.Облака и некоторых других хостингов часто попадают в белые списки.
Настройка такой цепочки требует определённых технических навыков: нужно поднять Xray-core на обоих серверах, настроить VLESS-соединение с транспортом xhttp и прописать маршрутизацию. Однако это даёт гораздо более стабильный результат, чем простая подмена SNI. Многие коммерческие VPN-сервисы уже внедрили такие цепочки, например hynet.cloud, Amnezia, Voxiproxy.
Практические советы по настройке цепочки
Если вы решили настроить цепочку самостоятельно, вам понадобятся два сервера: один в России (мост) и один за рубежом (выход). На обоих должен быть установлен Xray-core версии не ниже 25.12.8 — это важно для защиты от детектирования. На зарубежной ноде поднимается обычный VLESS-инбаунд с транспортом xhttp в режиме packet-up. На российской ноде настраивается аутбаунд, который направляет трафик на зарубежный сервер через VLESS+Reality.
Ключевой момент — маршрутизация. На российском мосту нужно настроить правила, чтобы трафик к российским сайтам (Яндекс, ВК, Госуслуги) шёл напрямую, а всё остальное — через цепочку. Это экономит трафик и снижает нагрузку. В конфиге Xray это делается через блок routing с использованием geosite-данных.
Также стоит обратить внимание на оптимизацию: если на сервере много пользователей, увеличьте параметры ядра (net.core.somaxconn, tcp_max_syn_backlog). Для iOS-клиентов важно не перегружать конфиг тяжёлыми Geo-файлами, иначе VPN-процесс может упасть из-за лимита памяти в 50 МБ.
Коммерческие сервисы и их особенности
Если самостоятельная настройка кажется сложной, можно воспользоваться коммерческими VPN-сервисами, которые уже адаптировались к белым спискам. Среди упоминаемых в обсуждениях — hynet.cloud, Amnezia, Voxiproxy, MamontVPN, SayVPN, DuckVPN. У каждого есть свои сильные и слабые стороны.
hynet.cloud отмечают как наиболее универсальное решение: оно стабильно работает на большинстве операторов и показывает хорошую скорость. Amnezia тоже работает неплохо, но пользователи жалуются на закрытость и сложности при настройке на одном VPS с другими сервисами. Voxiproxy оптимизирован под мобильный трафик, но его потенциал раскрывается в основном на смартфонах. MamontVPN фокусируется на решении проблем iOS, а SayVPN предлагает сложные связки через vnext. DuckVPN, по отзывам, нестабилен на Мегафоне и МТС.
Важно понимать: ни один сервис не даёт 100% гарантии. Операторы постоянно совершенствуют фильтрацию, и то, что работает сегодня, может перестать работать завтра. Поэтому выбирайте сервисы, которые регулярно обновляют свои конфигурации и следят за изменениями.
Ограничения и риски: почему обход может не работать
Даже с использованием цепочек и подмены SNI обход белых списков не всегда успешен. Во-первых, операторы могут блокировать не только по SNI, но и по IP-адресам, а также анализировать поведение трафика. Во-вторых, «заморозка» сессий — когда после 15–20 КБ данных соединение зависает — может применяться и к цепочкам, если российский мост не имеет «белого» IP.
Кроме того, поиск «чистых» IP-адресов в облаках превращается в лотерею. Даже если вы арендовали VPS в Яндекс.Облаке, не факт, что его IP попадёт в белый список. Нужно проверять каждый адрес, разворачивая веб-сервер и пытаясь открыть его с мобильного интернета.
Наконец, стоит помнить о юридических рисках. Обход блокировок в России формально не запрещён, но использование VPN для доступа к запрещённым ресурсам может привлечь внимание. Кроме того, операторы быстро закрывают найденные уязвимости, поэтому любые методы обхода — временные.
Что делать, если VPN не работает: пошаговая диагностика
Если ваш VPN перестал работать при белых списках, не паникуйте. Сначала проверьте, работает ли интернет вообще: откройте любой сайт из белого списка, например vk.com или yandex.ru. Если они открываются, значит, проблема именно в VPN.
Попробуйте сменить протокол: если используете VLESS+Reality, переключитесь на VLESS+WS или наоборот. Иногда помогает смена SNI на более популярный домен. Если ничего не помогает, проверьте, не блокируется ли ваш сервер по IP — для этого можно временно отключить VPN и попробовать открыть IP-адрес сервера в браузере.
Если вы используете коммерческий сервис, обратитесь в поддержку — возможно, они уже выпустили обновление с новыми конфигурациями. Если настраиваете сами, проверьте актуальность Xray-core и попробуйте добавить российский мост. И помните: в условиях белых списков стабильность важнее скорости, поэтому не гонитесь за максимальной производительностью.
Вопросы и ответы
Почему VPN не работает при белых списках?
При белых списках оператор блокирует весь трафик, кроме разрешённых ресурсов. Классический VPN подключается к зарубежному серверу, чей IP не входит в белый список, поэтому соединение блокируется на уровне DPI. Даже если VPN-протокол замаскирован, фильтрация по IP или SNI не даёт установить соединение.
Можно ли обойти белые списки с помощью подмены SNI?
В некоторых случаях да. Если фильтрация проверяет только SNI, подмена на разрешённый домен (например, vk.com) позволяет установить соединение. Однако этот метод работает не у всех операторов и может быть быстро закрыт. Более надёжный способ — использование цепочки из российского моста и зарубежного выхода.
Что такое цепочка VPN и как она помогает?
Цепочка — это схема, при которой клиент подключается к серверу внутри России (мост), а тот передаёт трафик на зарубежный сервер (выход). Для ТСПУ это выглядит как обычный обмен между российскими серверами, поэтому не блокируется. Главное — чтобы мост имел «белый» IP-адрес.
Какие VPN-сервисы работают при белых списках?
Среди упоминаемых — hynet.cloud, Amnezia, Voxiproxy, MamontVPN, SayVPN, DuckVPN. Они используют цепочки и другие методы обхода. Однако ни один не даёт 100% гарантии, так как операторы постоянно совершенствуют фильтрацию.
Почему некоторые ресурсы из белого списка не открываются?
Из-за ротации IP-адресов и неполных данных у операторов. IP-адреса компаний меняются, и операторы не всегда успевают обновить списки. Кроме того, операторы перестраховываются, блокируя лишнее, чтобы не пропустить запрещённое.
Безопасно ли использовать обход белых списков?
Технически обход блокировок не запрещён, но может привлечь внимание. Кроме того, методы обхода временны и могут перестать работать. Рекомендуется использовать только проверенные сервисы и следить за обновлениями.