VPN против белых списков: как работают ограничения и что реально помогает

Что такое «белый список» и чем он отличается от привычных блокировок

В России с осени 2025 года при угрозах атак беспилотников региональные власти периодически вводят режим ограничения мобильного интернета. Вместо точечной блокировки отдельных сайтов, как в случае с реестром Роскомнадзора, операторы переходят на «белый список» — перечень разрешённых ресурсов. Всё, что в него не входит, автоматически становится недоступным.

Привычная модель — «чёрный список»: закрыты конкретные домены, остальной интернет работает. «Белый список» работает наоборот: по умолчанию разрешено только то, что одобрено, а остальной трафик режется. Пользователь видит странную картину: Госуслуги, маркетплейсы и «Яндекс» открываются, а Telegram, YouTube, Discord и большинство зарубежных сайтов не грузятся. При этом Wi-Fi и домашний проводной интернет продолжают работать без ограничений — режим касается только мобильной передачи данных операторов «большой четвёрки»: МТС, МегаФон, Билайн и Tele2.

Важно понимать: это не постоянная блокировка, а временная мера, которая может длиться от пары часов до нескольких суток. Точный график отсутствует — режим включают точечно, часто без предварительного объявления.

Как технически реализована фильтрация по белому списку

Фильтрация выполняется на стороне ТСПУ — оборудования, которое с 2021 года установлено в сетях российских мобильных операторов. Технология Deep Packet Inspection (DPI) анализирует трафик и смотрит на TLS SNI — имя сервера, передаваемое в начале handshake, или на HTTP Host header у незашифрованных запросов.

Если домен входит в «белый список», соединение проходит, страница открывается. Если нет — TCP-соединение технически устанавливается, handshake может даже успешно завершиться, но после передачи примерно 16–20 килобайт данных пакеты перестают доходить. Это не разрыв с RST-флагом, а намеренное «замораживание»: пользователь видит не ошибку соединения, а бесконечную загрузку и таймаут.

Именно из-за этой особенности многие VPN формально «подключаются», но интернет через них не работает: трафик упирается в стену сразу после установки туннеля. Поэтому недостаточно просто включить любой VPN — нужно, чтобы протокол был устойчив к DPI-фильтрации.

Что входит в «белый список»: состав и региональные различия

Первую версию перечня Минцифры опубликовало 5 сентября 2025 года. В неё вошли: соцсети «ВКонтакте» и «Одноклассники», «Дзен», Rutube, Mail.ru, мессенджер Max; сервисы Госуслуг; экосистема «Яндекса»; маркетплейсы Ozon, Wildberries, Avito; сайт платёжной системы «Мир»; сайты правительства, администрации президента и платформа ДЭГ; сайты операторов связи.

Обновление появилось только 14 ноября. К списку добавили сайты Госдумы, федеральных министерств, Генпрокуратуры, региональных правительств, Почту России, Альфа-Банк, систему «Честный знак», сайты крупных СМИ («Комсомольская правда», «РИА Новости», «РБК»), РЖД, «Туту.ру», навигатор «2ГИС», такси «Максим» и Gismeteo. Сбербанк и ВТБ в официальный перечень пока не попали, хотя источники упоминали их как планируемых участников.

При этом операторы публикуют собственные списки, которые отличаются от перечня Минцифры. Например, у «МегаФона» есть «Кинопоиск», PREMIER и Yappy, у «МТС» — Kion, «МТС Музыка» и «Строки». Сетевые магазины («Магнит», «Пятёрочка», «Перекрёсток») присутствуют у нескольких операторов. Полный перечень официально не публикуется — энтузиасты с Habr оценивают его примерно в 1000 доменов из миллиона популярных в мире, то есть около 0,1%. Из-за отсутствия нормативной базы состав постоянно меняется, а у разных операторов могут быть свои исключения.

Почему VPN не работает в режиме белого списка

Многие пользователи рассчитывают, что VPN, который помогал при точечных блокировках WhatsApp или YouTube, справится и с «белым списком». Однако на практике всё сложнее. Во-первых, если адрес VPN-сервера не входит в «белый список», приложение даже не сможет установить соединение — handshake будет заблокирован. Во-вторых, даже если подключение устанавливается, трафик режется после первых килобайт данных.

Кроме того, сигнатуры популярных протоколов — чистого WireGuard, OpenVPN, Trojan, Shadowsocks — хорошо известны ТСПУ. Их определяют по характеру трафика ещё на этапе handshake и блокируют. Поэтому «любой VPN» в этом сценарии не работает — нужны протоколы с обфускацией или маскировкой.

Дополнительная проблема — публичные серверы бесплатных VPN. Они быстро попадают под фильтрацию: как только адрес становится известен, оператор добавляет его в негласный «чёрный список» внутри «белого». В результате даже сервисы, которые ещё вчера работали, сегодня могут оказаться недоступны.

Какие VPN-протоколы реально проходят фильтрацию

На практике в режиме «белого списка» работают три типа протоколов: VLESS+Reality, AmneziaWG и Hysteria2. Рассмотрим их подробнее.

VLESS+Reality — самый устойчивый вариант. Reality маскирует TLS-handshake под обращение к реальному публичному сайту. Критичный нюанс: в России SNI (имя сервера) должен быть из «белого списка» — например, yandex.ru, mail.ru, vk.com, max.ru, ozon.ru, wildberries.ru или 2gis.ru. Если SNI не входит в перечень, ТСПУ не пропустит даже handshake. Современные VPN-сервисы для РФ-сегмента уже настраивают SNI правильно, но при самостоятельной настройке VPS нужно выбирать именно «русский» домен.

AmneziaWG — российская модификация WireGuard от команды Amnezia. Перед обычным handshake протокола передаются junk-пакеты со случайными заголовками, из-за чего ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в режиме whitelist обычно пропускается. Производительность — как у обычного WireGuard, без накладных расходов на обёртку.

Hysteria2 — современный протокол на QUIC поверх UDP, маскируется под HTTP/3-трафик. Особенно хорошо работает на нестабильных мобильных сетях благодаря собственному алгоритму управления перегрузкой Brutal: пользователь задаёт реальную полосу пропускания, и протокол её удерживает даже при потерях пакетов.

Чистые WireGuard, OpenVPN, Trojan и Shadowsocks без обфускации в режиме whitelist не проходят — их сигнатуры известны, и handshake режется на этапе подключения.

Практические советы: как настроить VPN для работы с белым списком

Если вы столкнулись с тем, что мобильный интернет работает только частично, не спешите удалять VPN-приложение. Проблема часто не в сервисе, а в маршруте до сервера.

Алгоритм действий:

1. Проверьте, работает ли интернет через Wi-Fi. Если да, а на мобильной сети нет — почти наверняка включён режим whitelist.
2. Подключитесь к VPN через мобильные данные, а не Wi-Fi. Многие совершают ошибку, тестируя VPN дома на Wi-Fi, где ограничений нет.
3. Убедитесь, что протокол — VLESS+Reality, AmneziaWG или Hysteria2. Если ваш сервис использует чистый WireGuard или OpenVPN, шансов мало.
4. Если используется Reality, проверьте, что SNI настроен на домен из «белого списка» (например, yandex.ru).
5. Попробуйте сменить сервер — возможно, конкретный адрес уже заблокирован оператором.
6. Перезапустите мобильные данные и VPN-клиент.

Для Android: отключите старые VPN-приложения в фоне, разрешите создание VPN-профиля в системе, подключайтесь через мобильную сеть.

Для iPhone: проверьте, нет ли конфликтующих VPN-профилей в настройках iOS, разрешите добавление конфигурации, тестируйте на LTE/5G.

Для Windows: отключите старые VPN-клиенты, прокси и антивирусные фильтры, проверяйте через раздачу с телефона.

Более сложный сценарий: двойной туннель через свой VPS

Для тех, кому нужна максимальная стабильность, энтузиасты описывают технику двойного туннеля: клиент → российский VPS с «белым» IP → зарубежный VPS → интернет. Между двумя серверами трафик фильтруется значительно слабее, чем при прямом подключении пользователя за рубеж — Россия не блокирует исходящий трафик с собственных коммерческих VPS на внешние сети.

В whitelist-режиме это особенно важно: ТСПУ видит, что вы общаетесь с «российским» сервером (его IP или SNI в белом списке), а дальше связь идёт нормально. Минусы: нужны два VPS (примерно $10 в месяц) и навыки настройки. Но для критически важных сценариев это один из самых стабильных вариантов.

Однако помните: любые методы обхода не дают 100% гарантии. Ошибки в «белом списке» легко обнаружить и устранить, поэтому VPN, который маскируется под разрешённый сервис, может проработать недолго. По данным экспертов, сейчас методы имитации разрешённых сервисов работают не более чем у трети абонентов.

Критерии выбора VPN-сервиса для российских реалий

Не все VPN одинаково полезны при «белых списках». При выборе обращайте внимание на следующие признаки:

Маскировка трафика. Ищите в описании слова: обфускация, stealth, shadow, маскировка, VLESS, Shadowsocks, Reality. Если сервис не упоминает ничего подобного, скорее всего, он не рассчитан на работу с DPI.

Запасные серверы. Один сервер может лечь, другой продолжит работать. Важно, чтобы в приложении или поддержке были альтернативные точки подключения.

Поддержка мобильных сетей. Белые списки бьют именно по мобильному интернету, поэтому проверяйте работу отдельно на Wi-Fi и на мобильной сети.

Простая настройка. Когда интернет уже режется, сложная установка превращается в квест. Хорошо, если есть бот, инструкция или быстрый импорт конфигурации.

Пробный период. Лучше проверить сервис до оплаты на год. Ищите бесплатный триал или короткую подписку на месяц. Как показывает практика, полностью бесплатные VPN первыми ложатся под фильтрацией — у них публичные серверы, перегруз и мало мотивации быстро обновлять инфраструктуру.

Ограничения и риски: что важно знать каждому пользователю

Важно понимать: «белый список» — это не панацея и не постоянная мера. Технология не гарантирует защиту от дронов — у большинства беспилотников есть инерциальная система наведения, которая работает без интернета и GPS. По словам военных экспертов, отключение интернета делает дроны менее точными, но не бесполезными. Некоторые эксперты считают, что блокировки нужны региональным властям скорее для отчётности.

Кроме того, состав «белого списка» не регулируется законодательно. Нет нормативных актов, определяющих, как сервисы попадают в перечень. Это создаёт коррупционные риски: компании могут платить операторам за включение в список. При этом социально значимые сервисы, например приложения для мониторинга уровня сахара у детей-диабетиков, могут остаться за бортом.

Пользователям стоит помнить: VPN — это не волшебная кнопка. Даже лучшие протоколы могут не работать у конкретного оператора или в конкретном регионе. Результат зависит от множества факторов: качества сети, нагрузки на сервер, актуальности конфигурации. Поэтому разумно иметь запасной VPN-сервис и заранее настроить автоматическое подключение, чтобы при следующей блокировке не пришлось разбираться в спешке.

Перспективы: как будет развиваться ситуация с белыми списками

По данным проекта «На связи», «белые списки» уже введены более чем в 60 регионах России, и это число растёт. Только за одно воскресенье блокировки затронули 66 регионов. Минцифры обещает обновлять перечень еженедельно, но на практике обновления выходят реже — первое появилось через два месяца после публикации.

Технические эксперты отмечают, что чем больше расширяется «белый список», тем выше вероятность найти уязвимости. Каждый новый домен — потенциальная лазейка для обхода. Однако ошибки в списке исключений довольно легко обнаружить и устранить, поэтому любые методы маскировки под разрешённые сервисы, скорее всего, будут недолговечны.

Пока не существует надёжного способа обхода блокировок мобильного интернета, но ситуация меняется быстро. VPN-сервисы адаптируются, появляются новые протоколы, а сообщество тестирует их в реальных условиях. Следите за обновлениями в Telegram-каналах операторов и Минцифры (@mintsifry), чтобы быть в курсе, когда включается режим и какие домены входят в список.

Вопросы и ответы