Как обойти ограничения белого списка: легальные способы и технические методы

Что такое белый список интернета и зачем он нужен

Белый список интернета — это перечень сайтов и сервисов, доступ к которым сохраняется в приоритетном порядке даже в условиях ограничений мобильной связи. В России с 2025 года такие ограничения вводятся в рамках усиления мер безопасности, в том числе для противодействия использованию сотовых сетей беспилотными летательными аппаратами. Формированием списка занимается Минцифры, а операторы связи настраивают доступ к этим ресурсам.

В белый список включаются государственные порталы, социально значимые ресурсы, крупнейшие российские платформы и системно значимые банки. Например, в перечень входят «Госуслуги», сайты правительства, «ВКонтакте», «Одноклассники», мессенджер Max, сервисы Яндекса и Mail.ru, Rutube, VK Видео, маркетплейсы Ozon, Wildberries, Avito, а также банковские сервисы Сбербанка, ВТБ, Альфа-Банка и Промсвязьбанка.

Важно понимать, что ограничения касаются только мобильного интернета — сетей 4G и LTE. При подключении к домашнему Wi-Fi или публичным сетям в кафе и торговых центрах доступ к интернет-ресурсам осуществляется в обычном режиме, и механизм белого списка не применяется. Это создаёт легальную возможность обойти ограничения, просто переключившись на другую сеть.

Как работают белые списки: техническая архитектура

Белые списки работают на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне фильтрация идёт по IP-адресам: если IP-адрес назначения не входит в разрешённый список подсетей, пакет просто отбрасывается маршрутизатором ещё до того, как попадёт в интернет. Это означает, что для не-вайтлист IP не работает ничего — ни ICMP, ни TCP, ни UDP.

На прикладном уровне DPI-система (ТСПУ) проверяет SNI в TLS-запросе ClientHello. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается. Порядок проверки такой: сначала проверяется IP, затем SNI. Если IP не в белом списке — пакет исчезает, если IP разрешён, но SNI запрещён — соединение рвётся, и только если оба параметра проходят — трафик идёт.

Интересная деталь: фильтрация по SNI не всегда консистентна. Например, один и тот же SNI telegram.org может пропускаться через IP Яндекса, но блокироваться через IP VK или MAX. Это говорит о том, что правила ТСПУ могут различаться для разных ASN или на каких-то узлах их забыли обновить.

Легальные способы обхода: выбор оператора и тарифа

Самый простой и полностью легальный способ обойти ограничения белого списка — выбрать оператора или тариф, на котором ограничения не действуют. Как показывает практика, у разных операторов ситуация сильно отличается. Например, у «МегаФона» в зонах действия ограничений часто открываются только сайты из белого списка, у «Билайна» часть тарифов и номеров физических лиц продолжает работать без ограничений, а у Т-Мобайла в большинстве районов ограничений мобильного интернета обычно нет.

Также стоит учитывать, что ограничения могут действовать не по всему городу, а только в определённых районах. Например, в Пензе ограничения затрагивают Окружную, центр города, Шуист и отдельные части Арбеково. Поэтому, если вам нужен интернет для работы или учёбы, можно подобрать оператора и тариф, проверив, будет ли ограничен доступ в вашем районе.

Ещё один легальный способ — использовать домашний Wi-Fi или публичные сети. Поскольку ограничения касаются только мобильного интернета, подключение к Wi-Fi в кафе, торговом центре или дома полностью решает проблему. Это особенно удобно, если вы находитесь в зоне действия ограничений, но рядом есть точка доступа Wi-Fi.

Почему VPN не всегда работает и какие риски он несёт

Многие пользователи пытаются обойти ограничения с помощью VPN, но это не всегда эффективно и может быть опасно. Главная проблема в том, что большинство VPN-сервисов используют зарубежные серверы, IP-адреса которых не входят в белый список. Поскольку фильтрация идёт на уровне IP, пакеты до таких серверов просто не доходят — соединение не устанавливается.

Кроме того, использование VPN несёт серьёзные риски для безопасности персональных данных. Информация о пользователях может оказаться в распоряжении третьих лиц, быть продана или утечь к злоумышленникам. Это может привести к социальной инженерии, попыткам оформления кредитов, созданию поддельных документов и другим мошенническим схемам.

Важно отметить, что в российском законодательстве на сегодняшний день нет ответственности для граждан за сам факт использования VPN-сервисов. Однако сами сервисы обхода блокируются, а их использование несёт риски утечки личных данных, паролей и банковских аккаунтов. Поэтому эксперты рекомендуют избегать сомнительных VPN и использовать легальные способы обхода.

Технические методы обхода: обзор работающих подходов

Для технически подкованных пользователей существуют методы обхода, которые работают даже в условиях белых списков. Основная идея — использовать серверы, которые сами находятся в белом списке, и маскировать трафик под разрешённые сервисы.

Метод 1: VLESS + Reality на российском VPS. Это основной метод, который работает стабильно. Требуется VPS-сервер с IP-адресом, входящим в белый список (например, у Timeweb, Yandex.Cloud или VK Cloud), и настройка протокола VLESS с маскировкой Reality. В качестве SNI используется домен из белого списка, например, vk.com или ya.ru. Это позволяет обойти фильтрацию, так как трафик выглядит как обычное HTTPS-соединение с разрешённым ресурсом.

Метод 2: Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров. Можно написать serverless-функцию, которая будет работать как прокси, и подключаться к ней через SOCKS5. Бесплатный тариф включает 1 000 000 вызовов в месяц, что достаточно для большинства задач. DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому домены *.yandexcloud.net проходят без проблем.

Как выбрать VPS для обхода белого списка

Выбор VPS-провайдера критически важен для успешного обхода. По результатам сканирования белых списков, наибольшее количество IP-адресов принадлежит Yandex.Cloud (12 906 IP), Timeweb (2 904 IP), Ростелекому (2 312 IP), VK (1 958 IP) и Selectel (почти 2 000 IP). Эти провайдеры наиболее вероятно попадут в белый список.

При выборе VPS обратите внимание на следующие моменты:

• Timeweb — предлагает бесплатный reroll IP, но выбить подходящий адрес может быть сложно.
• Yandex.Cloud — даёт бесплатный грант 4 000 рублей при регистрации, высокий шанс попасть в белый список, но аккаунты могут быстро блокировать.
• VK Cloud — серверы долго держатся, но верификация сложная и дорогая.

Также важно выбирать IP из подсетей с высокой плотностью белого списка. Например, подсети VK CDN (87.240.166.0/24 и 87.240.167.0/24) имеют плотность около 32%, а подсеть Яндекса 77.88.0.0/24 — 31.6%. Это повышает шанс, что ваш IP будет в списке.

Какие SNI использовать для маскировки

Для маскировки трафика под разрешённые сервисы важно выбрать правильный SNI. Из сканирования белых списков было выявлено 1176 whitelisted доменов, среди которых есть хорошие кандидаты для маскировки:

• Яндекс CDN: storage.yandex.net, yastatic.net
• VK CDN: userapi.com, vkuser.net, vkuservideo.ru
• Хостинги: hosting.reg.ru
• CDN: cdnvideo.ru, okcdn.ru

При этом следует избегать SNI, которые явно заблокированы, например, twitter.com, x.com, youtube.com — через некоторые IP они вызывают RST. Также не стоит использовать SNI, которые могут быть проверены DPI, например, очевидно заблокированные домены.

Важно помнить, что правила SNI-фильтрации неконсистентны между подсетями, поэтому один и тот же SNI может работать через один IP и не работать через другой. Рекомендуется тестировать разные комбинации IP и SNI.

Что не работает в режиме белого списка

Некоторые методы обхода, которые работают при обычных блокировках, в режиме белого списка оказываются бесполезными. Вот что не работает:

• QUIC/HTTP3 — UDP:443 режется, поэтому HTTP3 не работает даже на домашних провайдерах без белого списка.
• ECH/ESNI (Encrypted Client Hello) — блокируется ТСПУ. Даже если бы он работал, он не помог бы, потому что основная блокировка идёт по IP, а не по SNI. Шифровать имя домена бесполезно, когда сам адрес назначения не в белом списке.
• Обычный VPN на зарубежном VPS — не работает, так как IP-адреса зарубежных серверов не входят в белый список.
• Внешние DNS-серверы — порт UDP:53 на внешние DNS (8.8.8.8, 1.1.1.1, 77.88.8.8) закрыт. Работает только DNS самого провайдера.

Эти ограничения важно учитывать при выборе метода обхода. Если вы планируете использовать VPN, убедитесь, что сервер находится в России и его IP входит в белый список.

География и нестабильность белых списков

Белые списки работают неравномерно как по регионам, так и по времени. В Москве они включаются эпизодически, примерно на 3 часа, в Санкт-Петербурге — редко, бывают недели без ограничений, а в большинстве регионов работают постоянно 24/7. Причём у разных операторов в одном регионе режим может отличаться: у Мегафона и Т2 белый список может работать постоянно, у МТС — по своим правилам, у Билайна — свои.

Даже в пределах одного города ситуация может меняться от точки к точке. Например, на одной остановке один IP-адрес работает, на следующей он уже недоступен, а через километр белые списки вообще отключены и интернет работает нормально. Это создаёт дополнительные сложности, но также открывает возможности: если вы перемещаетесь по городу, можно найти зону, где ограничений нет.

Списки также постоянно меняются: что-то добавляют, что-то убирают. Поэтому важно следить за обновлениями. Существуют открытые репозитории, например, openlibrecommunity/twl, где еженедельно публикуются актуальные списки белых IP и доменов.

Практические рекомендации и выводы

Подводя итог, можно выделить несколько практических рекомендаций для тех, кто столкнулся с ограничениями белого списка:

1. Проверьте, действуют ли ограничения в вашем районе. Возможно, у вашего оператора или тарифа ограничений нет, или они не затрагивают вашу локацию.
2. Используйте Wi-Fi. Домашний или публичный Wi-Fi не подвержен ограничениям, поэтому это самый простой легальный способ.
3. Рассмотрите смену оператора. Если ограничения мешают работе или учёбе, возможно, стоит перейти на оператора, у которого они не действуют.
4. Для технических пользователей — настройте VLESS + Reality на российском VPS с IP из белого списка и используйте SNI-маскировку.
5. Избегайте сомнительных VPN. Они не только часто не работают, но и несут риски утечки данных.

Помните, что ситуация с белыми списками динамична, и то, что работает сегодня, может перестать работать завтра. Следите за обновлениями в открытых источниках и адаптируйте свои методы.

Вопросы и ответы