Что такое белые списки и чем они отличаются от обычных блокировок
Белые списки — это режим фильтрации интернет-трафика, при котором по умолчанию запрещено всё, кроме заранее одобренных ресурсов. В отличие от классических блокировок, работающих по принципу «чёрного списка» (запрещено конкретное, остальное можно), белые списки переворачивают логику: разрешён только явно одобренный трафик, всё остальное отбрасывается.
Технически это реализуется через оборудование ТСПУ (технические средства противодействия угрозам), которое устанавливается на сетях операторов. В обычном режиме ТСПУ ищет запрещённый контент и блокирует его, пропуская остальной поток. В режиме белых списков оно проверяет каждый пакет и пропускает только те, что соответствуют разрешённым адресам и доменам.
Для пользователя разница принципиальная: при обычной блокировке интернет работает, недоступны отдельные сайты. При белых списках интернет де-факто выключен — открываются лишь несколько одобренных сервисов. Это не просто ограничение доступа, а попытка превратить открытую сеть в закрытый интранет, управляемый в ручном режиме.
Как работает фильтрация: два уровня — IP и SNI
Белые списки работают на двух уровнях одновременно. Первый уровень — сетевой (L3): фильтрация по IP-адресам. Список разрешённых подсетей определяет, куда пакеты могут идти в принципе. Если IP-адрес назначения не в списке, пакет просто исчезает — drop на маршрутизаторе ещё до глубокой инспекции трафика.
Второй уровень — прикладной (L7): DPI проверяет SNI (Server Name Indication) в TLS-запросе ClientHello. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается (RST). Порядок проверки такой: пакет приходит → проверяется IP по белому списку → если нет, drop; если да, проверяется SNI по чёрному списку → если да, RST; если нет, трафик пропускается.
На практике это означает, что для не-вайтлист IP (например, Google, Telegram, Twitter) не работает вообще ничего: ни ICMP, ни TCP, ни UDP. Пакеты физически не покидают сеть оператора. Для разрешённых IP работают только порты 80 и 443, а также ICMP. UDP-трафик, включая QUIC, DNS и WireGuard, режется почти полностью.
Кто попадает в белые списки: официальные критерии и реальная практика
Официально главными критериями для включения в белый список являются популярность и социальная значимость ресурса. Минцифры заявляет, что ориентируется на рейтинги наиболее востребованных сервисов, которыми ежедневно пользуются миллионы россиян. Однако на практике принцип работает избирательно.
В первую волну (сентябрь 2025 года) попали госсервисы («Госуслуги»), соцсети группы VK и маркетплейсы (Ozon, Wildberries). Банки тогда остались за бортом, несмотря на инсайды СМИ. Второе расширение (14 ноября 2025 года) добавило транспорт и логистику («Почта России», РЖД, такси «Максим»), навигацию (2GIS) и ряд лояльных СМИ. Из банков официальный пропуск получил только «Альфа-Банк».
При этом в списке нет чрезвычайно популярных мессенджеров WhatsApp и Telegram, а также крупнейших банков — Сбера и Т-Банка. Это указывает на то, что популярность — не решающий фактор. Кандидаты должны соответствовать строгим критериям «суверенного интернета»: особые условия маршрутизации трафика и обязательное расположение серверов на территории России. Финальное решение принимает межведомственная комиссия, где решающее слово за силовым блоком, а не за Минцифры.
Почему даже разрешённые сервисы работают с перебоями
Попадание в белый список не гарантирует стабильной работы. Пользователи в Краснодарском крае и других регионах жалуются на проблемы с загрузкой даже одобренных сайтов. Технические специалисты выделяют три главные причины.
Первая — перегрузка оборудования ТСПУ. В режиме белых списков система должна проверить каждый пакет, сверить его с базой разрешённых адресов и принять решение. Это требует огромных вычислительных мощностей. В моменты пиковой нагрузки, когда миллионы людей одновременно пытаются зайти в VK или Ozon, ТСПУ превращаются в «бутылочное горлышко» — пакеты встают в очередь или теряются.
Вторая — проблема CDN. Современный сайт — это не один сервер, а сложный конструктор: текст подгружается с одного, картинки — с другого, оплата — с третьего. В белый список вносят только основной домен, а служебные адреса CDN часто не попадают. В результате приложение формально работает, но пользоваться им невозможно — картинки не грузятся, скрипты не выполняются.
Третья — бюрократическая инерция. IT-гиганты используют динамические IP-адреса для защиты от DDoS и балансировки нагрузки. Адрес сервера может меняться в течение дня, а обновление белых списков происходит с задержкой. Пока новый пул IP пройдёт все круги согласования, он может устареть.
Банковский парадокс: почему Сбер и Т-Банк остались за бортом
Отсутствие в белых списках крупнейших банков вызывает больше всего вопросов. Даже «Альфа-Банк», номинально попавший в список, по свидетельствам пользователей, во время шатдаунов работает крайне нестабильно или не работает вовсе. Эксперты связывают это не с политикой, а с архитектурой безопасности банковских приложений.
Первая причина — конфликт шифрования и DPI. Банковские приложения используют сложные протоколы шифрования и настроены так, что если кто-то пытается «посмотреть» трафик, связь немедленно разрывается. Система белых списков работает через DPI, которому нужно понимать, куда идёт трафик. Это создаёт неразрешимое противоречие.
Вторая — проклятие экосистем. Банковские приложения давно стали супераппами с маркетплейсами, сервисами бронирования и медиа. Они обращаются к тысячам разных узлов, и внесение в список IP процессинга не открывает доступ к остальным сервисам.
Третья — зависимость от облаков и пушей. Многие банковские приложения полагаются на микросервисы в «серых зонах» интернета, включая серверы Google или Apple для пуш-уведомлений. Без ответа от этих серверов приложение может зависнуть на этапе загрузки или не прислать код подтверждения.
География и неравномерность: почему белые списки работают по-разному
Белые списки работают крайне неравномерно как по регионам, так и по операторам. В Москве режим включается эпизодически, примерно на три часа. В Санкт-Петербурге — редко, бывают недели без ограничений. В большинстве регионов, например в Краснодарском крае и Свердловской области, белые списки работают постоянно, 24/7.
При этом даже внутри одного региона ситуация может меняться от точки к точке. У Мегафона и Т2 в одном районе белые списки работают постоянно, в другом включаются по расписанию. У МТС свои правила, у Билайна — свои. Человек может ехать по городу и наблюдать полную энтропию: на одной остановке работает один IP, на следующей он уже недоступен, а через километр интернет внезапно становится нормальным.
Списки разрешённых подсетей тоже различаются у операторов. Одна подсеть может быть в белом списке у Мегафона, но не у МТС. Списки постоянно меняются: что-то добавляют, что-то убирают. Это создаёт дополнительную нестабильность и делает невозможным предсказать, какой сервис будет доступен в конкретный момент.
Что реально работает в белых списках: иерархия доступа
Анализ белых списков позволяет выстроить иерархию доступа. Первый уровень — обязательный: мессенджер MAX (max.ru) присутствует в списках всегда, у всех операторов, во всех регионах. Это государственный мессенджер, который продвигается как замена WhatsApp, и его доступность — приоритет.
Второй уровень — почти всегда: VK, Яндекс, государственно значимая инфраструктура. Эти сервисы включают в себя поиск, почту, карты, такси, музыку, новости, соцсети и видеохостинг RUTUBE. Они работают стабильно, хотя и с перебоями из-за перегрузки ТСПУ.
Третий уровень — необязательный: банки, маркетплейсы, прочие сервисы. Тут лотерея: у одного оператора может быть Тинькофф, у другого — нет. Логики в этом мало. Забавная деталь: почти все банки в белом списке, кроме Сбербанка. При этом сервис видеозвонков от Сбера (salutejazz.ru) есть. Крупнейший банк страны недоступен, а его корпоративная видеозвонилка — пожалуйста.
Отдельный жанр — VPN-сервисы в белом списке. Сканирование выявило сотни серверов со словом vpn в домене, включая государственные VPN (например, vpn.gov45.ru для Курганской области) и «патриотические» сервисы. Это создаёт иронию: государство душит VPN на L7, но в собственном списке разрешённых адресов лежат VPN-серверы.
Можно ли обойти белые списки: что работает, а что нет
Вопрос обхода белых списков — один из самых острых. Обычные методы, такие как VPN на зарубежном VPS, не работают: IP-адрес сервера не в белом списке, и пакеты просто дропаются. QUIC/HTTP3 блокируется, ECH/ESNI тоже не помогает, потому что основная блокировка идёт по IP, а не по SNI.
Однако есть рабочие методы. Первый — VLESS + Reality на российском VPS. Требуется IP-сервера в белом списке (например, у Timeweb, Yandex.Cloud или VK Cloud) и SNI разрешённого домена (vk.com, ya.ru и т.д.). Reality + XTLS-Vision маскируют трафик под обычное HTTPS-соединение. Этот метод работает стабильно, но требует настройки.
Второй метод — использование Yandex Cloud Functions как прокси. Эндпоинт functions.yandexcloud.net универсально в белом списке у всех провайдеров. Бесплатный тариф включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Пишете SOCKS5-клиент, подключаетесь к функции — и получаете доступ к интернету. DPI не применяется к IP Яндекса на уровне L3 и L7.
Важно понимать: обход белых списков — это серая зона. Методы могут перестать работать в любой момент, когда списки обновятся. Кроме того, использование обходных путей может привлечь внимание. Для обычного пользователя лучшая стратегия — подготовиться к автономной работе: скачать офлайн-карты, сохранить документы, записать контакты.
Что дальше: перспективы и последствия для пользователей
Белые списки — это не временная мера, а часть долгосрочной стратегии по изоляции российского интернета. Сначала они вводились только по тревоге, потом стали постоянными в отдельных регионах, теперь обсуждается их расширение. Каждый шаг выглядит как временная мера безопасности, но временные меры имеют свойство становиться постоянными.
Главный вывод: попытка наложить карту государственных границ на глобальную сеть ломает саму логику интернета. Современный IT-сервис не может существовать в вакууме — без внешних библиотек, облачных хранилищ и зарубежных сертификатов он начинает сбоить. Мы движемся к двухскоростному интернету: в первом блоке останутся сервисы, готовые переписать архитектуру под требования силовиков, во втором — весь остальной рынок.
Для пользователей это означает, что привычный интернет постепенно исчезает. Даже если вы пользуетесь только VK и Яндексом, качество сервисов будет падать из-за перегрузки ТСПУ и проблем с CDN. Для всех остальных белые списки — это де-факто полное отключение от глобальной сети. Разница между «ограниченным доступом» и «нет интернета» в реальной жизни оказывается минимальной.
Готовиться к автономной работе стоит заранее. Офлайн-карты, скачанные документы, заранее записанные контакты — всё это перестаёт быть паранойей и становится базовой цифровой гигиеной. Техническая инфраструктура для полного переключения на национальный сегмент уже построена и обкатана.
Вопросы и ответы
Чем белые списки отличаются от обычной блокировки сайтов?
При обычной блокировке интернет работает, недоступны конкретные ресурсы (чёрный список). Белые списки работают наоборот: запрещено всё, кроме явно разрешённого. Это означает, что при включённом режиме белых списков открываются только одобренные сервисы, а весь остальной трафик блокируется на уровне оператора. Для пользователя это ощущается как полное отключение интернета, за исключением нескольких разрешённых приложений.
Почему даже разрешённые сайты работают с перебоями?
Есть три основные причины. Первая — перегрузка оборудования ТСПУ: в режиме белых списков система проверяет каждый пакет, что требует огромных вычислительных мощностей, и в пиковые моменты не справляется. Вторая — проблема CDN: в белый список вносят основной домен, а служебные адреса CDN, с которых грузятся картинки и скрипты, часто не попадают. Третья — бюрократическая инерция: списки обновляются медленно, а IP-адреса сервисов меняются динамически, поэтому новые адреса не успевают добавить.
Почему Сбер и Т-Банк не попали в белые списки?
Эксперты связывают это с архитектурой безопасности банковских приложений. Банки используют сложное шифрование, которое разрывает соединение при попытке DPI-инспекции. Кроме того, банковские супераппы обращаются к тысячам разных узлов, включая зарубежные облака для пуш-уведомлений, что делает их несовместимыми с режимом белых списков. Переписывание кода для работы в автономном контуре занимает месяцы.
Можно ли обойти белые списки?
Обычные методы (VPN на зарубежном сервере, QUIC, ECH) не работают, потому что блокировка идёт по IP-адресу. Рабочие методы включают использование VLESS + Reality на российском VPS с IP в белом списке и SNI разрешённого домена, а также использование Yandex Cloud Functions как прокси. Однако эти методы требуют технических навыков и могут перестать работать при обновлении списков.
Какие сервисы гарантированно работают в белых списках?
Гарантированно работает мессенджер MAX (max.ru) — он всегда в списке. Почти всегда доступны VK, Яндекс (поиск, почта, карты, такси, музыка), Госуслуги, RUTUBE. Банки и маркетплейсы — лотерея: у разных операторов списки различаются. Например, у Мегафона может быть Тинькофф, а у МТС — нет. Сбербанк, как правило, отсутствует.
Почему белые списки работают неравномерно в разных регионах?
Режим белых списков включается не везде одинаково. В Москве он работает эпизодически (около трёх часов), в Санкт-Петербурге — редко, в большинстве регионов — постоянно. Даже внутри одного города ситуация может меняться от вышки к вышке. Списки разрешённых подсетей также различаются у операторов и постоянно обновляются, что создаёт хаотичность.