Белые списки VPN: как работают ограничения и какие способы обхода существуют

Что такое белые списки и чем они отличаются от чёрных

В привычном понимании блокировки интернета чаще всего работают по принципу чёрного списка: доступ разрешён ко всем ресурсам, кроме тех, что попали в запрещённый перечень. Белый список (whitelist) — это противоположная модель: по умолчанию запрещено всё, а доступ открыт только к ограниченному числу заранее одобренных сайтов и сервисов. Такая схема радикально меняет правила игры для пользователей и для VPN-сервисов.

Когда в сети действует белый список, вы не можете подключиться не только к зарубежным платформам, но и к небольшим локальным сайтам, собственному домашнему серверу или любому другому ресурсу, которого нет в перечне. При этом важно понимать: белый список — это не просто фильтрация по доменам, а комплексная система, которая может включать ограничения по IP-адресам, SNI-полям и даже по объёму передаваемых данных в рамках одной сессии.

В отличие от чёрных списков, где достаточно сменить IP-адрес или использовать прокси, белые списки требуют более изощрённых методов обхода. Обычный VPN-клиент, который пытается установить соединение со своим сервером по прямому IP, будет заблокирован, потому что адрес сервера отсутствует в разрешённом перечне. Даже если сервер физически находится в той же стране, но его IP не входит в белый список, соединение не установится.

Почему обычные VPN не работают при белых списках

Классические VPN-протоколы, такие как OpenVPN или WireGuard, рассчитаны на работу в условиях, когда доступ в интернет есть, но некоторые ресурсы заблокированы. Они устанавливают прямое соединение с сервером по его IP-адресу, и если этот адрес не входит в белый список, пакеты просто не покидают сеть провайдера.

Даже если VPN-сервер использует порт 443 (стандартный для HTTPS), фильтрация по IP всё равно сработает: система видит попытку обращения к неизвестному адресу и обрывает соединение. Некоторые пользователи пытаются обойти это, используя SNI-подмену, когда в TLS-рукопожатии указывается домен из белого списка, но это работает только в том случае, если фильтрация не проверяет соответствие IP-адреса и SNI.

Дополнительная сложность возникает из-за систем глубокого анализа пакетов (DPI), которые могут распознавать VPN-трафик по характерным паттернам. Например, если в течение одной TCP-сессии передаётся более 15–20 килобайт данных, ТСПУ может «заморозить» соединение — пакеты перестают доходить, хотя формально соединение остаётся установленным. Это делает практически бесполезными прямые подключения к зарубежным серверам, даже если они используют современные протоколы с обфускацией.

Основные технологии обхода: SNI-подмена и обфускация

Один из самых распространённых методов обхода белых списков — подмена SNI (Server Name Indication). SNI — это поле в TLS-рукопожатии, которое сообщает серверу, какой сайт пользователь хочет посетить. Фильтры часто анализируют именно SNI, чтобы определить, разрешён ли ресурс. Если подменить SNI на домен из белого списка (например, vk.com или yandex.ru), фильтр пропустит соединение, а VPN-сервер, получив запрос, отбросит поддельный SNI и перенаправит трафик на реальный целевой ресурс.

Этот метод работает на многих операторах, но имеет ограничения. Во-первых, фильтры могут проверять не только SNI, но и IP-адрес назначения. Если IP-адрес VPN-сервера не входит в белый список, соединение всё равно будет заблокировано. Во-вторых, некоторые провайдеры уже научились обнаруживать подмену SNI, анализируя несоответствие между заявленным доменом и фактическим IP.

Более надёжным считается использование протоколов с обфускацией, таких как VLESS, Shadowsocks или Hysteria. Эти протоколы шифруют трафик таким образом, что для DPI он выглядит как обычный HTTPS-запрос или случайный набор байтов. Например, VLESS с транспортом Reality имитирует TLS-соединение с реальным сайтом, что делает его практически неотличимым от обычного веб-трафика. Однако и здесь есть нюансы: старые версии Reality могут быть обнаружены по анализу TLS 1.3 NewSessionTicket, поэтому важно использовать актуальные версии ядра Xray.

Цепочки серверов: как работает схема с российской прокладкой

Когда прямое подключение к зарубежному серверу блокируется или «замораживается» после первых килобайт данных, на помощь приходит схема с цепочкой серверов. Суть метода в том, чтобы использовать промежуточный сервер внутри страны, который имеет «белый» IP-адрес, и через него уже направлять трафик на зарубежную ноду.

Схема работает следующим образом: клиент подключается к российской VPS-ноде (например, в Яндекс.Облаке или VK Cloud), которая находится в белом списке. ТСПУ лояльно относится к внутрироссийскому трафику, поэтому соединение не блокируется. Российская нода, в свою очередь, через протокол VLESS или другой туннель передаёт трафик на зарубежный сервер, который уже выходит в открытый интернет. Для фильтра это выглядит как обычный обмен данными между двумя серверами, который контролируется гораздо слабее.

Ключевая проблема этой схемы — найти VPS с «белым» IP-адресом. Не все IP-диапазоны российских облачных провайдеров включены в белые списки. Пользователи отмечают, что у Яндекс.Облака есть хорошие диапазоны, тогда как у VK Cloud «белые» IP поймать почти невозможно. Проверить, подходит ли IP, можно, развернув на нём веб-сервер на 443 порту и попробовав открыть его с мобильного интернета без VPN. Если сайт открывается — IP «белый».

Настройка цепочки: практическое руководство

Для настройки цепочки вам понадобятся два сервера: зарубежный (выходной) и российский (мост). На обоих должен быть установлен Xray-core версии не ниже 25.12.8, чтобы избежать детектирования старых версий Reality.

На зарубежной ноде настраивается обычный VLESS-инбаунд с транспортом xhttp в режиме packet-up. Это позволяет снизить нагрузку на сервер и уменьшить вероятность обнаружения. Важно обновить ядро до актуальной версии, так как старые версии Reality могут быть распознаны по анализу TLS 1.3 NewSessionTicket.

На российской ноде (мосте) необходимо настроить outbound, который будет направлять трафик на зарубежный сервер. Пример конфигурации включает указание адреса евро-ноды, порта 443, UUID пользователя, а также параметры Reality: fingerprint chrome, serverName vkvideo.ru, publicKey и shortId. Транспорт также должен быть xhttp с режимом packet-up и путём /api/v1/update.

Кроме того, на российской ноде настраивается маршрутизация, чтобы трафик к российским сайтам (ВКонтакте, Госуслуги, Яндекс) шёл напрямую, а не через цепочку. Это экономит трафик и ускоряет доступ к локальным ресурсам. В правилах routing указываются домены из geosite:category-ru, регулярное выражение \.ru$, а также geosite:yandex. Для фикса «вечного таймаута» на клиентах добавляется full:cp.cloudflare.com.

Популярные приложения и сервисы для обхода белых списков

Для пользователей, которые не готовы самостоятельно настраивать серверы, существуют готовые приложения и сервисы. Среди них выделяются:

• Invizible Pro — Android-приложение с функцией подделки SNI. Позволяет вручную указать домен из белого списка, который будет подставляться в TLS-рукопожатие.
• Psiphon Pro — автоматически перебирает протоколы (SSH, SSH+, VPN, OSSH) и находит рабочий способ обхода. Минус — низкая скорость в бесплатной версии и реклама.
• Lantern — использует пиринговую сеть, где трафик идёт через устройства других пользователей, что усложняет блокировку.
• SlowDNS (TunnelGuru) — работает через DNS-туннель на 53 порту. Это «последний шанс», когда заблокировано всё, но скорость крайне низкая.
• v2rayNG / NapsternetV — клиенты для протоколов V2Ray, Xray и Shadowsocks. Требуют ручного ввода конфигурации (подписки).
• Orbot (Tor) — использует сеть Tor с мостами obfs4, обходит почти любые блокировки, но очень медленный.

Также упоминаются коммерческие сервисы, такие как hynet.cloud, Amnezia, Voxiproxy, MamontVPN, SayVPN и DuckVPN. По отзывам, hynet.cloud считается наиболее универсальным решением, стабильно работающим на большинстве провайдеров. Amnezia часто критикуют за закрытость и проблемы с настройкой на одном VPS с другими сервисами. Voxiproxy оптимизирован под мобильный трафик, а MamontVPN фокусируется на решении проблем iOS.

Проблемы и ограничения: почему обход может не работать

Даже при использовании современных протоколов и цепочек могут возникать проблемы. Одна из самых частых — ошибка Handshake Failed, когда сервер не отвечает на рукопожатие. Это может означать, что провайдер заблокировал IP-адрес сервера или распознал протокол. Решение — сменить сервер или включить более агрессивную обфускацию.

Другая распространённая ситуация — «подключение есть, интернета нет». Обычно это связано с DNS: телефон использует DNS провайдера, который блокирует запросы. В этом случае помогает прописать в настройках соединения Google DNS (8.8.8.8) или Cloudflare (1.1.1.1).

Циклическое переподключение часто возникает на UDP-протоколах в сетях с высоким уровнем потери пакетов. Решение — переключиться на TCP. Также стоит учитывать, что публичные конфиги и подписки живут недолго: операторы быстро заносят их в чёрные списки, поэтому приходится искать свежие решения каждый день.

Отдельная проблема — лимиты на iOS. На iPhone лимит памяти для VPN-процесса составляет всего 50 МБ. Если в конфиг загружены тяжёлые Geo-файлы, клиент может падать при старте. В этом случае рекомендуется использовать облегчённые версии Geo-файлов или переходить на транспорт packet-up вместо stream-up.

Как выбрать подходящий способ обхода

Выбор метода обхода белых списков зависит от ваших технических навыков, требований к скорости и доступных ресурсов. Если вы новичок и не хотите разбираться в настройках, проще всего использовать готовые приложения с автоматическим подбором протоколов, такие как Psiphon или Lantern. Однако будьте готовы к низкой скорости и рекламе.

Если вам нужна стабильная скорость и вы готовы потратить время на настройку, стоит рассмотреть вариант с цепочкой серверов. Для этого потребуется арендовать VPS в России и за рубежом, установить Xray-core и настроить конфигурацию. Это сложнее, но даёт больше контроля и надёжности.

Для пользователей, которые хотят быстро получить рабочий конфиг, существуют Telegram-боты, выдающие готовые VLESS-подписки. Например, ComfyVPN автоматически генерирует конфигурацию с обфускацией, не требуя ручной настройки. Такие сервисы часто платные, но экономят время.

Также важно учитывать, что ни один способ не даёт 100% гарантии. Операторы постоянно совершенствуют системы фильтрации, и то, что работало вчера, может перестать работать сегодня. Поэтому рекомендуется иметь несколько запасных вариантов и следить за обновлениями в профильных сообществах.

Будущее белых списков и обхода: что ожидать

Ситуация с белыми списками продолжает развиваться. По данным обсуждений, ТСПУ перешли на «эконом-режим»: вместо полной блокировки протоколов они «замораживают» сессии после первых пакетов данных. Это делает прямое подключение к зарубежным серверам практически невозможным, но цепочки серверов остаются рабочим решением.

Однако поиск «белых» IP-адресов в облачных провайдерах становится всё более сложной задачей. Пользователи отмечают, что это превратилось в «бесконечную лотерею». Многие мигрируют со статических панелей на Remnawave, который позволяет управлять сложными цепочками и маршрутами без ручного переписывания конфигов.

Вероятно, в будущем фильтрация станет ещё более изощрённой, и простые методы обхода перестанут работать. Уже сейчас обсуждается возможность блокировки по AS-номерам и пулам IP-адресов, что сделает невозможным использование облачных серверов в качестве прокладок. В ответ на это будут развиваться новые технологии обфускации и децентрализованные сети.

Пока же пользователям остаётся следить за обновлениями в сообществах, тестировать разные методы и иметь запасные варианты. Важно помнить, что обход белых списков — это техническая задача, и её решение зависит от конкретных условий вашего провайдера и региона.

Вопросы и ответы