Как обойти белые списки Роскомнадзора: рабочие методы и технические детали

Что такое белые списки и чем они отличаются от чёрных

Белые списки — это режим фильтрации интернета, при котором по умолчанию запрещено всё, кроме явно разрешённых ресурсов. В отличие от классических чёрных списков, где блокируются конкретные сайты из реестра Роскомнадзора, белые списки работают по принципу default deny: провайдер пропускает только трафик к IP-адресам и доменам из утверждённого перечня.

Идея была впервые публично озвучена главой Минцифры Максутом Шадаевым в июле 2025 года. Он заявил, что ведомство прорабатывает возможность обеспечения доступа к ограниченному перечню «массово востребованных сервисов» в периоды отключений. Тестирование началось осенью 2025 года, а к марту 2026 года система была активирована в 68–71 регионе России. Кульминацией стали масштабные отключения мобильного интернета в центре Москвы, начавшиеся 6 марта 2026 года и продлившиеся более недели.

Технически белые списки реализуются через ТСПУ (технические средства противодействия угрозам), которые устанавливаются у провайдеров. Фильтрация происходит на двух уровнях: сетевом (L3) и прикладном (L7). На L3 проверяется IP-адрес назначения — если он не в списке, пакет просто дропается. На L7 анализируется SNI в TLS-ClientHello — даже если IP разрешён, но домен в чёрном списке, соединение рвётся (RST).

Как устроена фильтрация: L3 и L7

Понимание двухуровневой архитектуры критически важно для выбора метода обхода.

Уровень L3 (сетевой) — это CIDR-фильтрация по IP. Если IP-адрес назначения не входит в разрешённые подсети, пакет физически не покидает сеть оператора. Сканирование, проведённое энтузиастами через мобильный интернет Мегафона, показало: для не-вайтлист IP (Google, Telegram, Twitter) не работает ничего — ни ICMP, ни TCP:80, ни TCP:443, ни UDP. При этом для разрешённых IP работают только порты 80, 443 и 22, а UDP режется почти весь, включая QUIC, DNS и WireGuard на стандартных портах.

Уровень L7 (прикладной) — DPI проверяет SNI в ClientHello. Даже если IP разрешён, но SNI в чёрном списке, соединение сбрасывается. Интересная деталь: правила SNI-фильтрации неконсистентны между подсетями. Например, SNI twitter.com через IP Яндекса пропускается, а через IP VK или MAX — режется. Это говорит о том, что единого общего чёрного списка SNI нет, и правила могут различаться в зависимости от ASN.

Порядок обработки пакета: сначала проверка IP (L3), затем SNI (L7). Если IP не в списке — пакет молча дропается. Если IP в списке, но SNI заблокирован — отправляется RST. Только если обе проверки пройдены, трафик проходит.

Почему обычные VPN не работают при белых списках

Стандартные VPN-протоколы легко распознать и заблокировать. OpenVPN имеет характерную сигнатуру в заголовках пакетов, IKEv2/IPSec использует фиксированные порты, WireGuard — UDP-пакеты с узнаваемой структурой. Даже если VPN использует порт 443, DPI-системы анализируют паттерны трафика: размеры пакетов, временные интервалы, последовательность — и вычисляют VPN-подключение.

При белых списках проблема усугубляется: IP-адреса VPN-серверов, как правило, не входят в разрешённый список. Даже если протокол замаскирован, пакет до сервера просто не дойдёт, потому что IP назначения не в белом списке. Поэтому классические VPN, даже с обфускацией, но на зарубежных серверах, оказываются бесполезны.

Единственный способ — использовать серверы, чьи IP-адреса уже включены в белый список, либо маскировать трафик под разрешённые домены. Именно на этом построены рабочие методы, описанные ниже.

Метод 1: VLESS + Reality на российском VPS

Самый надёжный и популярный метод обхода белых списков — развернуть собственный прокси-сервер на VPS, IP которого уже в белом списке. Сканирование показало, что в белый список входят IP-адреса многих российских хостинг-провайдеров: Yandex.Cloud (12 906 IP), Timeweb (2 904), Ростелеком (2 312), VK (1 958), Selectel (около 2 000) и другие.

Требования:

• VPS у провайдера, чьи подсети в белом списке (Timeweb, Yandex.Cloud, VK Cloud).
• SNI разрешённого домена (например, vk.com, ya.ru, storage.yandex.net).
• Протокол VLESS с XTLS-Reality и XTLS-Vision.

Пример конфига:

vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision

Reality работает по принципу имитации: сервер «притворяется» настоящим сайтом из белого списка. Если кто-то попытается открыть адрес сервера в браузере, он увидит обычный сайт-заглушку. DPI видит обычное HTTPS-подключение к разрешённому домену и не блокирует его.

Провайдеры:

• Timeweb — бесплатный reroll IP, но долго выбивать.
• Yandex.Cloud — бесплатный грант 4000₽ при регистрации, высокий шанс попасть в БС, но быстро сносят.
• VK Cloud — долго держится, но сложная верификация и дорого.

Хорошие SNI для маскировки: storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru, okcdn.ru. Опасные SNI — twitter.com, x.com, youtube.com — они проверяются и могут вызвать RST.

Метод 2: Yandex Cloud Functions как прокси

Альтернативный метод — использовать serverless-функции Yandex Cloud в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров, поскольку Яндекс — ключевой элемент инфраструктуры.

Как это работает:

• Создаёте serverless-функцию в Yandex Cloud.
• Пишете SOCKS5-клиент, который подключается к функции.
• Весь трафик идёт через эндпоинт functions.yandexcloud.net, который не блокируется.

Free tier (бессрочно):

• 1 000 000 вызовов в месяц.
• 100 000 ГБ-секунд.
• 40 000 ГГц-секунд.

DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому домены *.yandexcloud.net проходят без проблем. Этот метод особенно удобен для тех, кто не хочет возиться с VPS, но требует навыков программирования.

Метод 3: Обфускация и Shadowsocks

Обфускация — это технология маскировки VPN-трафика под обычный HTTPS. Пакеты модифицируются: размеры становятся хаотичными, временные интервалы правдоподобными, добавляются TLS-заголовки. DPI видит обычное HTTPS-подключение и не блокирует его.

Shadowsocks + плагины — прокси-протокол с плагинами маскировки (v2ray-plugin, simple-obfs). Трафик выглядит как обычный HTTP/HTTPS. Shadowsocks можно развернуть на VPS с IP в белом списке, аналогично VLESS.

Trojan-GFW — протокол, который маскирует трафик под обычный HTTPS. Если кто-то попытается открыть адрес сервера в браузере, он увидит обычный сайт-заглушку. Trojan также требует VPS с IP в белом списке.

Важно: обфускация без белого IP не поможет — если IP сервера не в списке, пакет не дойдёт. Поэтому все методы обхода так или иначе завязаны на использование разрешённых IP-адресов.

Что не работает: QUIC, ECH, обычные VPN

Некоторые технологии, которые могли бы помочь, в режиме белых списков бесполезны.

QUIC/HTTP3 — блокируется даже на домашних провайдерах без БС. UDP:443 режется почти всегда. В режиме белых списков тем более.

ECH/ESNI (Encrypted Client Hello) — блокируется ТСПУ. Но даже если бы работал, не помог бы: основная блокировка идёт по IP (L3), а не по SNI. Шифровать имя домена бесполезно, когда сам адрес назначения не в белом списке.

Обычный VPN на зарубежном VPS — не работает, потому что IP не в белом списке. Даже с обфускацией пакеты до сервера не дойдут.

Бесплатные VPN — практически никакие не работают. Они используют стандартные протоколы без обфускации, их трафик легко распознать. Из бесплатных иногда работает ZoogVPN с технологией ZoogShadow, но это скорее исключение.

Как проверить, работает ли обход

После настройки обхода важно убедиться, что он действительно работает. Вот пошаговая инструкция:

1. Подключитесь к вашему прокси или VPN.
2. Откройте сайт 2ip.ru или whoer.net.
3. Проверьте, что IP изменился на IP вашего сервера.
4. Попробуйте открыть заблокированные сайты (YouTube, TikTok, Instagram).
5. Если всё открывается — обход работает.
6. Если ничего не открывается (даже разрешённые сайты) — скорее всего, трафик блокируется.

Если обход не работает, попробуйте:

• Сменить SNI на другой разрешённый домен.
• Переключиться на другой порт (443, 80, 8080).
• Использовать TCP вместо UDP.
• Проверить, что IP вашего сервера действительно в белом списке (можно через сервисы проверки доступности).

Помните: белые списки работают неравномерно. В Москве они включаются эпизодически, в большинстве регионов — постоянно. Списки меняются, поэтому то, что работало вчера, может перестать работать сегодня.

Юридические и этические аспекты

Обход белых списков — серая зона с юридической точки зрения. В России нет прямой ответственности за использование VPN или прокси, но власти активно борются с популяризацией таких инструментов. В марте 2026 года Минцифры озвучило требование к ресурсам, претендующим на включение в белые списки, — ограничение доступа при включённом VPN. Это попытка ограничить использование VPN без введения ответственности.

Закон, подписанный в феврале 2026 года, обязывает операторов связи немедленно прекращать оказание услуг по требованию ФСБ без решения суда. Это создаёт правовую основу для массовых отключений, но не запрещает обход.

С этической точки зрения, обход белых списков — это способ сохранить доступ к информации, которая не является запрещённой законом, но блокируется по техническим причинам. Многие эксперты считают, что белые списки нарушают права на свободу выражения мнений и доступ к информации, как отмечает Human Rights Watch, называя это «цифровым железным занавесом».

Практические советы и выводы

Подводя итог, вот ключевые рекомендации для тех, кто хочет сохранить доступ к заблокированным сайтам в условиях белых списков:

1. Используйте VLESS + Reality на российском VPS — это самый надёжный метод. Выбирайте провайдеров с IP в белом списке: Timeweb, Yandex.Cloud, VK Cloud.
2. Маскируйте SNI под разрешённые домены — storage.yandex.net, vk.com, ya.ru. Избегайте очевидно заблокированных доменов.
3. Рассмотрите Yandex Cloud Functions — если не хотите возиться с VPS, это бесплатный и простой вариант.
4. Обфускация обязательна — даже с белым IP, DPI может распознать VPN по паттернам трафика. Используйте Reality, Shadowsocks с плагинами или Trojan.
5. Следите за обновлениями — белые списки постоянно меняются. Подписывайтесь на открытые репозитории, например openlibrecommunity/twl, где публикуются актуальные списки.

Помните, что ситуация в разных регионах и у разных операторов отличается. То, что работает у Мегафона, может не работать у МТС. Тестируйте и адаптируйтесь.

Вопросы и ответы