VPN белые конфиги: как обойти белые списки и почему обычный VPN не работает

Что такое белый список и чем он отличается от чёрного

Когда говорят о блокировках в интернете, чаще всего представляют чёрный список: запрещены конкретные сайты или сервисы, а всё остальное работает. Белый список работает наоборот: разрешены только определённые ресурсы, а доступ ко всему остальному закрыт. Такая модель встречается в корпоративных сетях, на предприятиях, в учебных заведениях, а также у некоторых провайдеров в особых режимах, например при нулевом балансе, когда доступен только сайт оператора и пара служебных доменов.

Принципиальное отличие в том, что при белом списке блокируется не конкретный адрес, а любое неизвестное соединение. Если VPN-клиент пытается подключиться к своему серверу по прямому IP, которого нет в списке разрешённых, фаервол или система фильтрации просто обрывает соединение ещё на уровне локальной сети. Пакет не уходит дальше, поэтому никакие стандартные методы обхода, рассчитанные на чёрные списки, не работают.

Для пользователя это означает, что простой VPN-сервис, который отлично справляется с обходом блокировок по чёрному списку, в условиях белого списка оказывается бесполезен. Нужны специальные инструменты, которые умеют маскировать трафик под разрешённые типы соединений, например под обычный HTTPS-запрос на 443 порту или под DNS-запросы. Именно такие решения и называют «белыми конфигами» — это конфигурации VPN-клиентов, настроенные для работы в условиях жёсткой фильтрации.

Почему обычный VPN не проходит через белый список

Стандартные VPN-протоколы, такие как OpenVPN или WireGuard, имеют характерные сигнатуры, которые легко распознаёт система глубокой инспекции пакетов (DPI). Когда VPN-клиент устанавливает соединение, он отправляет пакеты на IP-адрес сервера, который не входит в белый список. Фаервол видит попытку обращения к неизвестному адресу и блокирует её.

Даже если серверу удастся каким-то образом попасть в белый список, DPI может распознать VPN-трафик по особенностям рукопожатия, по структуре пакетов или по поведению соединения. Например, OpenVPN по умолчанию использует UDP-порт 1194, который легко отличить от обычного веб-трафика. Поэтому в сетях с белым списком стандартные конфигурации почти всегда не работают.

Ещё одна проблема — тактика «заморозки» сессий, которую применяют современные системы фильтрации. Вместо того чтобы разрывать соединение, они просто перестают пропускать пакеты после определённого объёма данных. Пользователь видит, что соединение установлено, но данные не передаются. Это особенно актуально для прямых подключений к зарубежным серверам через протоколы VLESS или Reality: после 15–20 килобайт трафика в одной TCP-сессии пакеты перестают приходить, и соединение зависает до таймаута.

Чтобы обойти такие ограничения, нужно не просто использовать VPN, а применять технологии обфускации, которые делают трафик неотличимым от обычного HTTPS, или строить цепочки серверов, которые маскируют реальное назначение соединения.

Основные методы обхода: DNS-туннелирование, Shadowsocks, VLESS

Для обхода белых списков используются несколько технологий, каждая из которых имеет свои сильные и слабые стороны.

DNS-туннелирование — один из самых старых и надёжных методов. Он основан на том, что DNS-запросы разрешены практически в любой сети, ведь без них невозможно преобразовать доменные имена в IP-адреса. Суть метода в том, чтобы упаковать данные в DNS-запросы и ответы на них. Это медленно, но работает даже там, где заблокировано всё остальное. Подходит для передачи небольших объёмов данных, например текстовых сообщений.

Shadowsocks — протокол, разработанный для обхода китайского файрвола. Он шифрует трафик таким образом, что для DPI он выглядит как случайный набор байтов, похожий на HTTPS. Shadowsocks не пытается имитировать конкретный протокол, а просто делает трафик неотличимым от случайного шума. Это эффективно против многих систем фильтрации.

VLESS — более современный протокол, который часто используется вместе с технологией Reality. VLESS не имеет фиксированной сигнатуры и может маскироваться под реальные TLS-соединения с популярными сайтами. Reality позволяет серверу подменять TLS-рукопожатие так, что оно выглядит как обращение к легитимному ресурсу, например vkvideo.ru. Это делает VLESS+Reality одним из самых эффективных способов обхода DPI.

Также упоминается инкапсуляция в ICMP — передача данных через ping-запросы. Этот метод редко используется из-за низкой скорости и ограничений, но в некоторых сетях может работать.

Что такое «белые конфиги» и как они работают

Термин «белые конфиги» в контексте VPN означает конфигурационные файлы или строки подключения, которые настроены специально для работы в сетях с белым списком. Такие конфиги используют протоколы с обфускацией (Shadowsocks, VLESS, Xray), правильные порты (обычно 443), а иногда и дополнительные техники маскировки, например подмену SNI или использование цепочек серверов.

В отличие от обычных конфигов, которые можно скачать с сайта провайдера, белые конфиги часто распространяются через Telegram-каналы, форумы или специальные боты. Они быстро устаревают, потому что системы фильтрации постоянно обновляются, и то, что работало вчера, сегодня может быть заблокировано.

Белый конфиг обычно содержит:

• адрес сервера (IP или домен);
• порт (чаще всего 443);
• протокол (VLESS, Shadowsocks, Xray);
• параметры обфускации (например, fingerprint, serverName, publicKey для Reality);
• UUID пользователя или пароль.

Пользователю нужно вставить этот конфиг в подходящий клиент, например v2rayNG, NapsternetV или официальный клиент Xray. После этого соединение устанавливается через сервер, который маскирует трафик под разрешённый тип.

Важно понимать, что белые конфиги — это не волшебная кнопка. Они работают только в том случае, если сервер, на который они указывают, сам не заблокирован и если протокол правильно настроен. Кроме того, публичные конфиги быстро «сгорают», поэтому для стабильной работы часто приходится искать свежие варианты.

Цепочки серверов: как обойти заморозку сессий

Современные системы фильтрации, такие как ТСПУ в России, научились распознавать прямые подключения к зарубежным VPN-серверам. Одна из тактик — заморозка сессии после передачи определённого объёма данных. Прямое подключение VLESS+Reality к серверу в Европе может работать только до 15–20 килобайт, после чего пакеты перестают приходить.

Чтобы обойти это ограничение, используется схема с цепочкой серверов. Суть в том, чтобы поставить промежуточный сервер («мост») внутри страны, например в российском облаке, и уже через него направлять трафик на зарубежный сервер. Для системы фильтрации такое соединение выглядит как обычный обмен данными между двумя серверами, который фильтруется гораздо слабее, чем прямой заход пользователя на иностранный хостинг.

Схема работы цепочки:

1. Клиент подключается к российской ноде (мосту). ТСПУ лояльно относится к внутрироссийскому трафику, поэтому сессия не замораживается.
2. Российская нода через протокол vnext (например, VLESS) пробрасывает трафик на зарубежную ноду.
3. Зарубежная нода выходит в открытый интернет.

Для настройки такой цепочки нужны два сервера с установленным Xray-core. На обоих серверах должны быть настроены соответствующие inbound и outbound. Важно использовать актуальные версии ядра, так как старые версии Reality могут быть распознаны по анализу TLS 1.3 NewSessionTicket.

На российской ноде также настраивается маршрутизация, чтобы трафик к российским сайтам (Яндекс, ВКонтакте, Госуслуги) шёл напрямую, а не через зарубежный сервер. Это экономит трафик и ускоряет доступ к локальным ресурсам.

Как выбрать сервер для цепочки: российские облака и «белые» IP

Ключевой момент при построении цепочки — выбор российского сервера-моста. Он должен иметь «белый» IP-адрес, то есть адрес, который не заблокирован и не вызывает подозрений у системы фильтрации. Если IP-адрес моста сам находится в чёрном списке, цепочка не заработает.

Среди российских облачных провайдеров выделяют несколько вариантов:

• Яндекс.Облако — считается наиболее надёжным. Рекомендуют искать IP-адреса в диапазонах 51.250.x.x или 212.233.x.x.
• VK Cloud — трафик бесплатный, но найти «белый» IP почти невозможно.
• EDGE — хорошая альтернатива с CDN.

Как проверить, «белый» ли IP? Можно развернуть на сервере любой веб-сервер на 443 порту и попробовать открыть его с мобильного интернета (МТС, Мегафон) без VPN. Если сайт открывается — IP «белый». Если нет — скорее всего, адрес заблокирован или фильтруется.

Важно понимать, что поиск «белых» IP — это лотерея. Облачные провайдеры постоянно меняют диапазоны, и то, что работало вчера, сегодня может быть заблокировано. Поэтому многие пользователи предпочитают готовые сервисы, которые уже внедрили цепочки и используют проверенные «белые» IP.

Популярные приложения и сервисы для обхода белых списков

Для обхода белых списков на Android и iOS существует несколько категорий приложений.

Автоматические комбайны — Psiphon Pro, Lantern. Они сами перебирают протоколы и ищут рабочий способ подключения. Psiphon использует SSH, SSH+, VPN, OSSH, а Lantern — пиринговую сеть, где трафик идёт через цепочку устройств других пользователей. Плюс — простота, минус — низкая скорость и реклама в бесплатных версиях.

Клиенты для ручной настройки — v2rayNG, NapsternetV, HTTP Injector. Они требуют вставить конфиг (текстовую строку) или настроить параметры вручную. Подходят для продвинутых пользователей, которые готовы разбираться в протоколах.

Специализированные сервисы — hynet.space, Amnezia, Voxiproxy, MamontVPN, SayVPN, DuckVPN. Эти сервисы предлагают готовые решения с уже настроенными цепочками и «белыми» IP. По отзывам, hynet.space считается наиболее универсальным, стабильно работает на большинстве провайдеров. Amnezia хвалят за простоту, но критикуют за закрытость и проблемы с настройкой сложных конфигураций. Voxiproxy оптимизирован под мобильный трафик. MamontVPN фокусируется на iOS. SayVPN и DuckVPN имеют ограничения на некоторых операторах.

Также упоминается ComfyVPN — Telegram-бот, который выдаёт готовый VLESS-конфиг. Это удобно для тех, кто не хочет разбираться в настройках.

При выборе приложения важно учитывать, что бесплатные публичные конфиги живут недолго. Операторы быстро заносят их в чёрные списки, поэтому приходится регулярно обновлять конфигурации.

Пошаговая настройка обхода белого списка на телефоне

Если вы решили настроить обход белого списка самостоятельно, вот примерный алгоритм.

1. Выберите приложение. Для начала подойдёт v2rayNG (Android) или Shadowrocket (iOS). Также можно использовать NapsternetV.
2. Найдите свежий конфиг. Ищите в Telegram-каналах, на форумах или у ботов. Убедитесь, что конфиг поддерживает VLESS или Shadowsocks с обфускацией.
3. Вставьте конфиг. В приложении обычно есть кнопка «+» или «Импорт из буфера». Скопируйте строку конфига и вставьте.
4. Настройте порт. Если есть возможность выбора порта, ставьте TCP 443 — это порт HTTPS, который открыт почти везде.
5. Включите обфускацию. Ищите опции «Scramble», «Obfuscation», «Stealth» или «Reality». Включите их, если они есть.
6. Проверьте DNS. Если соединение устанавливается, но интернет не работает, пропишите DNS-серверы Google (8.8.8.8) или Cloudflare (1.1.1.1) в настройках соединения.
7. Подключитесь. Нажмите кнопку подключения и проверьте доступ к нужным сайтам.

Если ничего не работает, попробуйте:

• сменить сервер в конфиге;
• переключиться с UDP на TCP;
• обновить приложение до последней версии;
• найти другой конфиг.

Для более сложных сценариев, например обхода ограничений конкретного оператора, может потребоваться HTTP Injector с ручной настройкой SNI и Payload. Это уже уровень продвинутого пользователя.

Частые ошибки и способы их решения

Даже с правильным конфигом могут возникать проблемы. Рассмотрим типичные ошибки.

Handshake Failed — сервер не ответил на рукопожатие. Причины: заблокирован IP-адрес сервера, распознан протокол, неверные параметры конфига. Решение: сменить сервер, включить более агрессивную обфускацию, обновить Xray-core.

Подключение есть, но интернет не работает — проблема с DNS. Телефон использует DNS провайдера, который блокирует запросы. Решение: прописать в настройках VPN Google DNS (8.8.8.8) или Cloudflare (1.1.1.1).

Циклическое переподключение — часто бывает на UDP-протоколах в сетях с потерями пакетов. Решение: переключиться на TCP.

iOS-клиент падает при старте — на iPhone лимит памяти для VPN-процесса составляет 50 MiB. Если в конфиге тяжёлые Geo-файлы, приложение может вылетать. Решение: использовать режим packet-up вместо stream-up, перейти на облегчённые Geo-файлы.

Отваливается WhatsApp или Instagram — если один сервис работает, а другой нет, попробуйте добавить IPv6 на выходную ноду или убрать поток vision из конфига для этих сервисов.

Скорость слишком низкая — туннелирование требует ресурсов, поэтому скорость всегда ниже, чем при прямом подключении. Если скорость критична, выбирайте серверы ближе к вашей локации или используйте платные сервисы с более мощными серверами.

Бесплатные конфиги: почему они быстро умирают и что делать

Бесплатные публичные конфиги — это палка о двух концах. С одной стороны, они позволяют получить доступ без затрат. С другой — их срок жизни очень короток. Операторы и системы фильтрации постоянно обновляют базы, и как только конфиг становится популярным, его быстро блокируют.

Причины быстрой смерти бесплатных конфигов:

• Массовое использование — чем больше людей используют один конфиг, тем быстрее он попадает в поле зрения DPI.
• Отсутствие поддержки — авторы бесплатных конфигов не заинтересованы в их долгосрочной работе.
• Технические ограничения — бесплатные серверы часто имеют ограничения по трафику и скорости.

Что делать, если конфиг перестал работать?

1. Ищите свежие конфиги в проверенных Telegram-каналах или у ботов.
2. Используйте сервисы, которые автоматически обновляют конфиги (например, ComfyVPN).
3. Рассмотрите платные VPN-сервисы с гарантией стабильности.
4. Если вы технически подкованы, настройте собственный сервер с цепочкой.

Важно помнить: бесплатный сыр бывает только в мышеловке. Если сервис предлагает бесплатный доступ к обходу белых списков, будьте готовы к тому, что он либо будет медленным, либо будет собирать ваши данные, либо быстро перестанет работать.

Вопросы и ответы