Обход белых списков в России: как работают ограничения и какие методы реально помогают

Что такое белый список и чем он отличается от обычных блокировок

Белый список — это режим фильтрации интернет-трафика, при котором разрешён доступ только к заранее одобренному набору доменов и IP-адресов, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные ресурсы, здесь действует принцип «запрещено всё, кроме явно разрешённого».

В России этот режим начал активно тестироваться с осени 2025 года. По данным сообщества, в белый список входит примерно 1000 доменов из миллиона популярных в мире — около 0,1%. Среди разрешённых: Госуслуги, сайты госорганов, маркетплейсы (Wildberries, Ozon), экосистема Яндекса, VK, OK, Mail.ru, банковские приложения и личные кабинеты операторов. Telegram, YouTube, WhatsApp, Discord, GitHub и большинство зарубежных сайтов при этом недоступны.

Важно понимать: белые списки касаются только мобильного интернета у операторов «большой четвёрки» — МТС, МегаФон, Билайн и Tele2. Домашний проводной интернет и Wi-Fi работают без ограничений. Если у вас «отключился интернет» на телефоне, но Wi-Fi открывает всё — скорее всего, включён именно белый список.

Как технически работает фильтрация: два уровня — L3 и L7

Фильтрация в режиме белого списка осуществляется на стороне ТСПУ — оборудования, установленного у операторов. Работает она на двух уровнях одновременно.

Уровень L3 (сетевой) — проверка IP-адреса назначения. Если IP не входит в разрешённый список подсетей (CIDR), пакет просто дропается на маршрутизаторе ещё до DPI. Это означает, что для не-вайтлист адресов не работает вообще ничего: ни ICMP, ни TCP, ни UDP. Пакеты физически не покидают сеть оператора.

Уровень L7 (прикладной) — DPI проверяет SNI в TLS ClientHello. Даже если IP разрешён, но SNI в чёрном списке, соединение рвётся с RST. Порядок такой: пакет → проверка IP → если нет, drop; если да, проверка SNI → если в чёрном списке, RST; если нет, трафик проходит.

Интересная деталь: для IP из белого списка открыты только порты 80, 443 и 22. UDP-трафик режется почти весь — включая QUIC, DNS и WireGuard на стандартных портах. Это важно для выбора протокола VPN.

Почему обычные VPN не работают в режиме белого списка

Большинство популярных VPN-протоколов — OpenVPN, WireGuard, Shadowsocks, Trojan — в режиме белого списка не работают. Причины разные.

OpenVPN использует UDP на порту 1194 или TCP на 443, но его сигнатура хорошо известна ТСПУ. Даже если порт 443 открыт, DPI распознаёт handshake и блокирует соединение.

WireGuard работает на UDP-порту 51820, который в белом списке закрыт. Даже если сменить порт, сигнатура протокола легко определяется по фиксированному размеру пакетов и структуре handshake.

Shadowsocks и Trojan маскируются под обычный TLS, но их алгоритмы шифрования и паттерны трафика известны. ТСПУ может блокировать их по характерным признакам.

Кроме того, если IP вашего VPN-сервера не входит в белый список, пакеты до него просто не дойдут — фильтрация на уровне L3 отсекает всё, что не разрешено. Поэтому даже самый хитрый протокол не поможет, если сервер находится за пределами разрешённых подсетей.

Какие протоколы реально проходят: VLESS+Reality, AmneziaWG, Hysteria2

По данным тестов сообщества, в режиме белого списка работают три протокола: VLESS+Reality, AmneziaWG и Hysteria2. Рассмотрим каждый.

VLESS+Reality — самый стойкий вариант. Reality маскирует TLS-handshake под обращение к реальному публичному сайту. Критичный нюанс: для России SNI должен быть из белого списка разрешённых ресурсов, иначе ТСПУ не пропустит даже handshake. Подходят yandex.ru, mail.ru, vk.com, ok.ru, max.ru, ozon.ru, wildberries.ru, 2gis.ru и другие. Современные VPN-сервисы для РФ-сегмента уже настраивают SNI правильно.

AmneziaWG — российская модификация WireGuard от команды Amnezia. Перед обычным handshake передаются junk-пакеты со случайными заголовками, из-за чего ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в белом списке обычно пропускается. Производительность — как у обычного WireGuard.

Hysteria2 — современный протокол на QUIC поверх UDP, маскируется под HTTP/3. На нестабильных мобильных сетях работает хорошо благодаря собственному congestion-контролю Brutal, который удерживает заданную полосу пропускания даже при потерях пакетов.

Важно: чистые WireGuard, OpenVPN, Trojan и Shadowsocks без обфускации в режиме белого списка не проходят. Их сигнатуры известны ТСПУ, и handshake режется ещё на этапе подключения.

Как выбрать SNI для Reality: практические рекомендации

Выбор SNI — ключевой момент для работы VLESS+Reality в режиме белого списка. Если SNI не входит в белый список, соединение не установится. Вот что советуют эксперты.

Правило №1: SNI должен быть из белого списка разрешённых российских ресурсов. Это yandex.ru, mail.ru, vk.com, ok.ru, max.ru, ozon.ru, wildberries.ru, 2gis.ru и другие. Использовать google.com или twitter.com нельзя — они либо заблокированы по IP, либо в чёрном списке SNI.

Правило №2: SNI должен соответствовать IP-адресу сервера. ТСПУ может сравнивать IP, который резолвится из DNS для домена, с реальным IP назначения. Если они не совпадают, соединение блокируется. Поэтому лучше использовать домены, которые указывают на ваш VPS, или брать IP из подсетей, принадлежащих крупным хостингам вроде Yandex.Cloud или VK Cloud.

Правило №3: избегайте очевидно заблокированных доменов — twitter.com, x.com, youtube.com. Через некоторые IP они дают RST. Лучше использовать нейтральные домены из белого списка, например, storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru.

Если вы используете готовый VPN-сервис, проверьте, что он поддерживает российские SNI. Многие современные сервисы уже настроены правильно.

Практические схемы обхода: российский VPS, CDN, двойной туннель

Помимо выбора протокола, важна архитектура подключения. Вот несколько проверенных схем.

Схема 1: VLESS+Reality на российском VPS. Арендуете VPS у хостинга, чьи подсети входят в белый список — Timeweb, Yandex.Cloud, VK Cloud, Selectel. Настраиваете VLESS+Reality с SNI из белого списка. Трафик идёт на российский IP, который разрешён, а дальше сервер проксирует запросы в интернет. Минус — нужно подобрать IP, который реально в списке, и следить за его актуальностью.

Схема 2: CDN-обход. Используете CDN-сервисы, такие как Cloudflare, для маскировки трафика. Некоторые пользователи сообщают, что через CDN удаётся пробиться, но это дорого и не всегда стабильно. CDN-серверы должны быть в белом списке, что редкость.

Схема 3: двойной туннель. Клиент → ваш российский VPS с «белым» IP → зарубежный VPS → интернет. Между серверами трафик фильтруется слабее, так как Россия не блокирует исходящий трафик с коммерческих VPS. ТСПУ видит, что вы общаетесь с российским сервером, а дальше связь идёт нормально. Минусы: нужны два VPS (~$10/мес) и навыки настройки.

Схема 4: Yandex Cloud Functions. Serverless-функция как прокси. Эндпоинт functions.yandexcloud.net универсально в белом списке у всех провайдеров. Free tier включает 1 000 000 вызовов в месяц. Пишете SOCKS5-клиент, подключаетесь к функции — и трафик идёт через Яндекс. Это легальный и стабильный способ, но требует программирования.

Что делать, если VPN не подключается: пошаговая диагностика

Если VPN не работает в режиме белого списка, не паникуйте. Пройдите по шагам.

1. Проверьте, включён ли белый список. Откройте Госуслуги или Яндекс — если они работают, а Telegram нет, значит, режим активен. Если и Госуслуги не открываются, проблема может быть в другом.

1. Переключите протокол. Убедитесь, что используете VLESS+Reality, AmneziaWG или Hysteria2. Чистые WireGuard, OpenVPN, Trojan и Shadowsocks не пройдут.

1. Проверьте SNI. Для Reality SNI должен быть из белого списка (yandex.ru, max.ru и т.д.). Если SNI неправильный, handshake не пройдёт.

1. Смените сервер. Если один сервер не работает, попробуйте другую локацию. Возможно, IP вашего сервера не в белом списке у вашего оператора.

1. Перезапустите клиент. Иногда помогает простое переподключение.

1. Проверьте на Wi-Fi. Если на Wi-Fi VPN работает, а на мобильном нет — дело в белом списке. Если и на Wi-Fi не работает — проблема в конфигурации.

1. Обновите клиент и конфиги. Протоколы и списки меняются, поэтому используйте актуальные версии.

Если ничего не помогает, скорее всего, ваш VPN-сервер заблокирован у оператора. Попробуйте другой сервис из проверенных подборок.

Ограничения и риски: что важно знать перед настройкой

Обход белых списков — это гонка вооружений. Методы, которые работают сегодня, завтра могут перестать. Вот ключевые ограничения.

Блокировка по IP. Основная фильтрация идёт по IP-адресу. Если ваш сервер не в белом списке, никакой протокол не поможет. Списки CIDR постоянно обновляются, и то, что работало вчера, может быть заблокировано сегодня.

Неравномерность. Белые списки различаются по регионам и операторам. У МегаФона и Tele2 в одном регионе БС работает постоянно, у МТС — эпизодически. Даже в пределах одного города доступность может меняться от вышки к вышке.

Нестабильность SNI. Правила SNI-фильтрации неконсистентны между подсетями. Один и тот же SNI через Яндекс пропускается, а через VK — режется. Поэтому нужно тестировать.

Юридические риски. Использование VPN для обхода блокировок в России не запрещено, но распространение информации о методах обхода может подпадать под административную ответственность. Будьте осторожны.

Технические сложности. Настройка своего VPS требует знаний. Если вы новичок, проще использовать готовые VPN-сервисы, которые уже адаптированы под российские реалии.

Скорость. Даже рабочие протоколы могут быть медленными из-за дополнительной обфускации и проксирования. Не ждите идеальной скорости на мобильном интернете.

Как проверить, что ваш IP в белом списке, и что делать, если нет

Прежде чем настраивать VPN, убедитесь, что IP вашего сервера входит в белый список. Есть несколько способов.

Способ 1: сканирование. Энтузиасты публикуют списки разрешённых подсетей в открытых репозиториях, например, openlibrecommunity/twl. Можно скачать список и проверить свой IP.

Способ 2: тест подключения. Попробуйте подключиться к своему серверу по SSH или HTTPS с мобильного интернета в режиме белого списка. Если соединение устанавливается — IP в списке. Если нет — скорее всего, нет.

Способ 3: использование известных хостингов. Если вы арендуете VPS у Yandex.Cloud, VK Cloud, Timeweb или Selectel, шанс попасть в белый список выше. Но не гарантирован — нужно проверять.

Если ваш IP не в белом списке, есть варианты:

• Сменить IP. Некоторые хостинги позволяют перевыпускать IP-адрес (например, Timeweb — бесплатно). Можно перебирать, пока не попадёте в список.
• Использовать CDN. Подключите свой домен к Cloudflare или другому CDN, который может быть в белом списке. Но это не всегда работает.
• Использовать двойной туннель. Если у вас есть российский VPS с белым IP, можно направить трафик через него.
• Воспользоваться готовым сервисом. Многие VPN-провайдеры уже имеют серверы в белых подсетях.

Будущее белых списков и обхода: тенденции и прогнозы

Ситуация с белыми списками динамична. По данным сообщества, к марту 2026 года режим был протестирован в 68–71 регионе России. Списки постоянно обновляются: что-то добавляют, что-то убирают. Например, в белом списке оказались сотни VPN-серверов, включая государственные и «патриотические» — это создаёт лазейки.

Тенденции:

• Ужесточение фильтрации. Операторы переходят от SNI-фильтрации к проверке IP-адресов вплоть до третьего октета. Это делает обход сложнее.
• Рост использования CDN. CDN-серверы, особенно российские (CDNvideo, VK CDN), становятся точками обхода.
• Развитие протоколов. Появляются новые модификации VLESS, AmneziaWG, Hysteria2, которые адаптируются под ТСПУ.
• Неравномерность. В разных регионах и у разных операторов правила различаются, что создаёт возможности для манёвра.

Прогнозы: белые списки, скорее всего, останутся инструментом точечных ограничений, а не постоянного режима. Но гонка вооружений продолжится. Пользователям стоит следить за обновлениями в сообществах и использовать гибкие настройки.

Вопросы и ответы