Что такое VPN whitelists и зачем они нужны
В контексте интернет-цензуры whitelist (белый список) — это перечень разрешённых доменов, IP-адресов или сетей, доступ к которым не блокируется. Провайдеры и государственные регуляторы используют белые списки, чтобы ограничить доступ пользователей только определёнными ресурсами, например, государственными порталами или локальными сервисами. В России такая практика применяется в условиях усиления блокировок, когда доступ к большинству зарубежных сайтов ограничивается, а разрешёнными остаются только ресурсы, включённые в специальные перечни.
VPN-конфигурации, использующие whitelists, маскируют трафик под разрешённые домены или IP-адреса, что позволяет обойти ограничения. Вместо того чтобы пытаться подключиться к заблокированному серверу напрямую, клиент VPN устанавливает соединение с сервером, который имитирует легитимный трафик, например, обращение к сайту ВКонтакте или Яндекс. Такой подход особенно эффективен против SNI-фильтрации и блокировок по IP-адресам, которые активно применяются российскими провайдерами.
На GitHub существует проект igareck/vpn-configs-for-russia, который собирает и проверяет бесплатные VPN-конфигурации, оптимизированные для работы в России. В этом репозитории представлены как чёрные списки (для обычного доступа к заблокированным ресурсам), так и белые списки (для сценариев, когда провайдер вводит жёсткие ограничения). Белые списки включают CIDR-подсети и SNI-домены, которые разрешены, и используют их для маскировки VPN-трафика.
Как работают белые списки: CIDR и SNI
Белые списки в VPN-конфигурациях реализуются двумя основными способами: через CIDR-подсети и через SNI-домены.
CIDR (Classless Inter-Domain Routing) — это метод представления IP-адресов и подсетей. В белых списках используются CIDR-записи, которые включают диапазоны IP-адресов, принадлежащие разрешённым российским сервисам, таким как VK, Яндекс, Билайн и другие. Когда VPN-клиент подключается к серверу, он использует IP-адрес из этого диапазона, и трафик выглядит как обычное обращение к разрешённому ресурсу. Это позволяет обойти блокировки, основанные на IP-адресах.
SNI (Server Name Indication) — это расширение протокола TLS, которое позволяет клиенту указать имя сервера при установке зашифрованного соединения. Провайдеры могут анализировать SNI и блокировать соединения, если имя сервера находится в чёрном списке. В белых списках SNI используются для маскировки: VPN-клиент подключается к серверу, указывая SNI разрешённого домена (например, eh.vk.com), и трафик выглядит как обычное HTTPS-соединение с этим доменом. Это особенно эффективно против DPI (deep packet inspection), которое анализирует содержимое пакетов.
В репозитории igareck/vpn-configs-for-russia представлены файлы, такие как WHITE-CIDR-RU-all.txt и WHITE-SNI-RU-all.txt, которые содержат списки разрешённых подсетей и доменов. Эти файлы используются в конфигурациях VLESS+Reality, которые имитируют легитимный HTTPS-трафик и обходят фильтрацию.
Почему обычные VPN (OpenVPN, WireGuard) перестали работать
Традиционные VPN-протоколы, такие как OpenVPN и WireGuard, используют легко обнаруживаемые сигнатуры трафика. Они устанавливают зашифрованные туннели, которые можно выявить по характерным паттернам, например, по определённым портам или структуре пакетов. Российские провайдеры и Роскомнадзор активно внедряют DPI-системы, которые анализируют трафик в реальном времени и блокируют соединения, соответствующие известным VPN-протоколам.
В результате, даже платные VPN-подписки, использующие OpenVPN или WireGuard, перестали работать в России. Это подтверждается опытом пользователей и информацией из репозитория igareck/vpn-configs-for-russia, где отмечается, что обычные VPN не работают уже давно, независимо от того, платные они или бесплатные.
Для обхода блокировок необходимы более сложные протоколы, которые маскируют трафик под обычный HTTPS. К таким протоколам относятся VLESS+Reality, Trojan, Shadowsocks, Hysteria2 и другие. Они используют техники обфускации, чтобы сделать трафик неотличимым от обычного веб-серфинга. Именно такие протоколы включены в конфигурации репозитория, и они проходят регулярные проверки на работоспособность в российских условиях.
Обзор репозитория igareck/vpn-configs-for-russia
Репозиторий igareck/vpn-configs-for-russia на GitHub — это коллекция бесплатных, публичных и автоматически обновляемых VPN-конфигураций, специально протестированных для работы в России. Проект был создан разработчиком под псевдонимом igareck и с тех пор приобрёл популярность: более 2600 звёзд и 92 форка на GitHub, что свидетельствует о доверии сообщества.
Репозиторий включает конфигурации для различных протоколов: VLESS, VMess, Shadowsocks, Hysteria2, Tuic, Trojan и других. Все конфигурации разделены на чёрные списки (для обычного доступа) и белые списки (для сценариев с жёсткими ограничениями). Каждая конфигурация представлена в виде TXT-подписки, которую можно импортировать в совместимый VPN-клиент.
Особенность проекта — автоматическая проверка конфигураций. Каждые 2-4 часа (в зависимости от типа подписки) конфигурации тестируются на сервере, расположенном в России, на предмет доступности, задержки и скорости. Медленные и нерабочие конфигурации отсеиваются, что гарантирует пользователям актуальный и качественный список. Первоначально проверки проводились вручную (с 13 ноября по 28 декабря 2025 года), но затем был разработан скрипт, автоматизировавший процесс.
Как выбрать подписку: чёрные и белые списки
В репозитории представлены два основных типа подписок: чёрные списки (ЧС) и белые списки (БС). Чёрные списки предназначены для обычного доступа к заблокированным ресурсам, таким как YouTube, Telegram и другие. Они включают конфигурации, которые обходят блокировки, но не маскируются под разрешённые ресурсы. Белые списки, напротив, используются в сценариях, когда провайдер вводит жёсткие ограничения, разрешая доступ только к определённым сайтам. В таких случаях VPN-трафик маскируется под разрешённые домены и IP-адреса.
Для начинающих пользователей рекомендуется выбирать мобильные подписки с ТОП-150 конфигураций, например, BLACK_VLESS_RUS_mobile.txt для чёрных списков или Vless-Reality-White-Lists-Rus-Mobile.txt для белых списков. Эти подписки оптимизированы для мобильных устройств и не перегружают их. Если мобильные подписки работают нестабильно, можно попробовать полные наборы, такие как BLACK_SS+All_RUS.txt или WHITE-CIDR-RU-all.txt.
Важно учитывать, что белые списки могут работать медленнее, так как они используют маскировку под разрешённые ресурсы, что может увеличивать задержку. Однако в условиях жёстких ограничений они являются единственным способом сохранить доступ к интернету.
Поддерживаемые протоколы и их особенности
Репозиторий поддерживает несколько протоколов, каждый из которых имеет свои особенности и преимущества.
VLESS+Reality — это современный протокол, который использует технологию Reality для маскировки трафика под легитимные HTTPS-соединения. Он эффективно обходит DPI и SNI-фильтрацию, имитируя обращение к разрешённым доменам. В репозитории представлены конфигурации VLESS+Reality с различными транспортами (XHTTP, GRPC, WS) и настройками Reality.
Trojan — протокол, который также маскирует трафик под HTTPS. Он использует TLS-шифрование и имитирует обычный веб-трафик, что делает его трудным для обнаружения.
Shadowsocks — лёгкий протокол, который использует шифрование и обфускацию для обхода блокировок. Он хорошо работает в условиях слабой фильтрации, но может быть менее эффективен против DPI.
Hysteria2 и Tuic — протоколы, основанные на UDP, которые обеспечивают высокую скорость передачи данных. Они используют современные алгоритмы контроля перегрузки и хорошо работают в условиях ограниченной пропускной способности.
Каждый протокол имеет свои сильные стороны, и выбор зависит от конкретных условий сети. В репозитории все конфигурации проходят проверку на работоспособность, что позволяет выбрать наиболее стабильные варианты.
Клиенты для использования конфигураций
Для использования конфигураций из репозитория необходимы совместимые VPN-клиенты. В README репозитория перечислены рекомендуемые клиенты для различных платформ.
Karing — универсальный клиент для ПК, Android и iOS. Он поддерживает большинство протоколов, включая VLESS, Trojan, Shadowsocks, и имеет встроенную автопроверку. Karing рекомендуется как лучший клиент для начинающих.
v2rayN — популярный клиент для Windows, Linux и macOS. Он поддерживает VLESS, VMess, Shadowsocks и другие протоколы. В репозитории есть специальные подписки для v2rayN с автоматической настройкой.
NekoBox и v2rayNG — клиенты для Android, которые поддерживают большинство протоколов. Они просты в использовании и имеют функцию автопроверки.
Streisand и Shadowrocket — клиенты для iOS. Shadowrocket особенно популярен среди пользователей iPhone.
Clash Verge Rev и Clash Mi — клиенты на основе Clash/Mihomo, которые поддерживают конфигурации в формате YAML. Они имеют встроенную автопроверку и маршрутизацию.
Важно выбирать клиент, который поддерживает протоколы, используемые в выбранной подписке. Также рекомендуется включать автообновление подписок, чтобы всегда иметь актуальные конфигурации.
Зеркала репозитория: как обойти блокировку GitHub
В связи с возможной блокировкой GitHub в России, разработчики репозитория создали несколько зеркал, которые синхронизируются с основным репозиторием. Это позволяет пользователям получать доступ к конфигурациям даже в случае блокировки GitHub.
Основные зеркала включают:
- GitLab (gitlab.com/igareck/vpn-configs-for-russia) — полноценная копия репозитория, рекомендуется как лучшее зеркало.
- Codeberg (codeberg.org/igareck/vpn-configs-for-russia) — зеркало для FOSS-энтузиастов.
- Gitea (gitea.com/igareck/vpn-configs-for-russia) — ещё одно FOSS-зеркало.
- SourceHut (git.sr.ht/~igareck/vpn-configs-for-russia) — зеркало для разработчиков.
- Bitbucket (bitbucket.org/igareck/vpn-configs-for-russia) — коммерческое зеркало.
Для получения RAW-ссылок на подписки можно использовать прокси-сервисы, такие как GitHack (raw.githack.com) или CDN.jsDelivr. Также существует специальная связка Yandex+Bitbucket, которая позволяет загружать конфигурации даже в режиме жёстких ограничений.
Рекомендуется заранее заменить оригинальные RAW-ссылки на зеркальные, чтобы избежать проблем с доступом в будущем.
Безопасность и уязвимости мобильных VPN-клиентов
В 2026 году на Habr была опубликована статья о критической уязвимости мобильных VPN-клиентов на базе xray/sing-box. Суть проблемы в том, что клиент поднимает локальный SOCKS5-прокси без авторизации, и любое вредоносное приложение на устройстве может подключиться к нему и определить выходной IP-адрес VPN-сервера. Это особенно опасно, если на устройстве установлены российские приложения, которые могут быть недоверенными.
Автор статьи составил рейтинг клиентов, которые решили эту проблему. Среди них: Karing, Throne, Happ, v2rayNG, v2raytun, Exclave. Эти клиенты добавили возможность установки логина и пароля для локального прокси. Клиенты, такие как Hiddify, Streisand, NekoBox, V2Box, не решили проблему, и их использование с недоверенными приложениями небезопасно.
Для защиты рекомендуется:
- Использовать только клиенты с поддержкой авторизации локального прокси.
- Настроить раздельную маршрутизацию: российский трафик направлять напрямую, а остальной — через VPN.
- Использовать отдельный профиль на Android для российских приложений.
- В идеале — использовать отдельное устройство для российского софта.
Эти меры помогут снизить риск утечки IP-адреса и повысить безопасность.
Практические советы по настройке и использованию
Для успешного использования бесплатных VPN-конфигураций с GitHub важно следовать нескольким рекомендациям.
Настройка DNS: В некоторых случаях конфигурации могут подключаться, но трафик не проходит. Это часто связано с DNS-настройками. Рекомендуется использовать зашифрованные DNS-over-HTTPS (DoH) серверы, такие как https://dns.google/dns-query или https://cloudflare-dns.com/dns-query. В клиентах, таких как Karing или v2rayN, можно настроить удалённый DNS.
Автообновление подписок: Публичные конфигурации быстро устаревают, поэтому важно включить автообновление подписок в клиенте. Рекомендуется обновлять подписки не реже, чем раз в 12 часов.
Выбор времени использования: В дневное время (с 11:00 до 23:00 по МСК) публичные VPN-конфигурации работают нестабильно из-за высокой нагрузки и усиленных блокировок. Лучшее время для использования — ночь (с 23:00 до 11:00). В дневное время рекомендуется использовать Tor Bridges, которые более стабильны.
Перезапуск подключения: Если соединение оборвалось, просто перезапустите подключение в клиенте. Через 5-20 секунд клиент автоматически выберет лучший прокси.
Следуя этим советам, вы сможете поддерживать стабильное подключение и обходить блокировки.
Вопросы и ответы
Что такое whitelist в VPN и как он помогает обходить блокировки?
Whitelist (белый список) в VPN — это перечень разрешённых доменов, IP-адресов или подсетей, которые не блокируются провайдером. VPN-конфигурации с whitelist маскируют трафик под эти разрешённые ресурсы, что позволяет обойти блокировки. Например, вместо подключения к заблокированному серверу, клиент использует IP-адрес из диапазона ВКонтакте или Яндекса, и трафик выглядит как обычное обращение к этим сервисам. Это особенно эффективно против SNI-фильтрации и блокировок по IP.
Какие протоколы VPN лучше всего работают в России?
В России лучше всего работают протоколы, которые маскируют трафик под обычный HTTPS. К ним относятся VLESS+Reality, Trojan, Shadowsocks, Hysteria2 и Tuic. Эти протоколы используют обфускацию и имитацию легитимного трафика, что позволяет обходить DPI и SNI-фильтрацию. Традиционные протоколы, такие как OpenVPN и WireGuard, легко обнаруживаются и блокируются, поэтому они неэффективны.
Как выбрать подписку: чёрные или белые списки?
Чёрные списки (ЧС) подходят для обычного доступа к заблокированным ресурсам, когда провайдер не вводит жёстких ограничений. Белые списки (БС) необходимы, когда провайдер разрешает доступ только к определённым сайтам (например, только российским). Если у вас мобильный интернет с ограничениями, используйте белые списки. Для начала рекомендуется выбирать мобильные подписки с ТОП-150 конфигураций, например, BLACK_VLESS_RUS_mobile.txt для ЧС или Vless-Reality-White-Lists-Rus-Mobile.txt для БС.
Какие VPN-клиенты поддерживают конфигурации из репозитория?
Конфигурации из репозитория igareck/vpn-configs-for-russia поддерживаются большинством популярных VPN-клиентов. Рекомендуемые клиенты: Karing (ПК, Android, iOS), v2rayN (Windows, Linux, macOS), NekoBox и v2rayNG (Android), Streisand и Shadowrocket (iOS), Clash Verge Rev и Clash Mi (на основе Clash/Mihomo). Важно, чтобы клиент поддерживал протоколы, используемые в подписке, например, VLESS+Reality или Shadowsocks.
Почему бесплатные VPN-конфигурации быстро перестают работать?
Публичные VPN-конфигурации быстро перестают работать, потому что провайдеры и Роскомнадзор постоянно обновляют методы блокировки. Серверы, используемые в конфигурациях, могут быть заблокированы по IP или SNI, или стать недоступными из-за перегрузки. Поэтому важно использовать репозитории с автоматическим обновлением, такие как igareck/vpn-configs-for-russia, где конфигурации проверяются каждые 2-4 часа и отсеиваются нерабочие.
Как защититься от уязвимости локального прокси в VPN-клиентах?
Уязвимость локального прокси позволяет вредоносным приложениям на устройстве определить ваш выходной IP-адрес. Чтобы защититься, используйте VPN-клиенты, которые поддерживают авторизацию локального прокси (например, Karing, v2rayNG, Throne). Установите логин и пароль для локального прокси в настройках. Также рекомендуется использовать раздельную маршрутизацию (geoip:ru -> direct) и изолировать российские приложения в отдельном профиле или на отдельном устройстве.
Что делать, если GitHub заблокирован в России?
Если GitHub заблокирован, используйте зеркала репозитория, такие как GitLab, Codeberg, Gitea, SourceHut или Bitbucket. Они синхронизируются с основным репозиторием и содержат те же конфигурации. Для получения RAW-ссылок можно использовать прокси-сервисы, например, GitHack (raw.githack.com) или связку Yandex+Bitbucket. Рекомендуется заранее заменить оригинальные RAW-ссылки на зеркальные, чтобы избежать проблем с доступом.