Что такое белые списки и как они работают
Белые списки (БС) — это механизм фильтрации трафика, при котором доступ разрешён только к ограниченному перечню ресурсов, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные сайты, белые списки работают по принципу «запрещено всё, кроме разрешённого». Это означает, что при включении БС пользователь не может открыть ни зарубежные сервисы, ни даже небольшой локальный сайт, если он не внесён в перечень.
Технически фильтрация реализуется на двух уровнях. Первый — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения и пропускает пакеты только к подсетям из белого списка. Если адрес не в списке, пакет просто отбрасывается (drop). Второй уровень — прикладной (L7): система глубокого анализа трафика (DPI) проверяет SNI в TLS-запросе. Даже если IP-адрес разрешён, но SNI содержит запрещённый домен, соединение разрывается (RST). Таким образом, фильтрация происходит в два этапа: сначала проверяется IP, затем — доменное имя.
Важно понимать, что белые списки не являются статичными. Они обновляются, различаются у разных операторов и даже в разных регионах. Например, у одного оператора может быть доступен Тинькофф, а у другого — нет. Кроме того, списки могут меняться в течение дня: на одной улице интернет работает, а через квартал — уже нет. Это создаёт дополнительные сложности для пользователей и разработчиков обходных методов.
Почему классические VPN не работают при белых списках
Классические VPN-сервисы, такие как OpenVPN, WireGuard или IPSec, обычно используют выделенные серверы за рубежом. При включении белых списков IP-адреса этих серверов не входят в разрешённый перечень, поэтому пакеты к ним блокируются на сетевом уровне ещё до установления соединения. Даже если VPN-сервер находится в России, его IP может не быть в белом списке, если он не принадлежит крупному хостинг-провайдеру или облачному оператору.
Кроме того, многие VPN-протоколы используют UDP-порты, которые в режиме белых списков часто блокируются. Например, стандартный порт WireGuard (UDP 51820) обычно закрыт, как и порт 443 для QUIC. Это означает, что даже если IP-адрес сервера разрешён, трафик может быть заблокирован на уровне портов.
Наконец, DPI-системы могут распознавать VPN-трафик по характерным сигнатурам и блокировать его, даже если он идёт на разрешённый IP. Поэтому для обхода белых списков необходимы более изощрённые методы, которые маскируют трафик под обычные HTTPS-запросы к разрешённым доменам.
Portal WG: что это и почему он эффективен
Portal WG — это технология, которая использует протокол WireGuard, но с дополнительными механизмами маскировки трафика. В отличие от стандартного WireGuard, Portal WG работает через порт 443 и маскирует пакеты под HTTPS-трафик, что позволяет обходить DPI-фильтрацию. Ключевая особенность — использование SNI-подмены: клиент отправляет запрос на разрешённый домен (например, vk.com), но фактически устанавливает туннель с VPN-сервером.
Эффективность Portal WG обусловлена тем, что он сочетает несколько техник:
- Использование IP-адресов, входящих в белый список (например, из подсетей Yandex.Cloud или VK).
- Маскировка под TLS-соединение с легитимным доменом.
- Работа через порт 443, который обычно не блокируется.
Таким образом, Portal WG позволяет обойти оба уровня фильтрации: и IP-фильтрацию, и SNI-проверку. Однако для этого необходимо, чтобы VPN-сервер находился на IP-адресе, входящем в белый список, и использовал корректный SNI.
Методы обхода белых списков: обзор и сравнение
Существует несколько методов обхода белых списков, каждый из которых имеет свои особенности и ограничения.
1. VLESS + Reality на российском VPS Этот метод считается одним из самых стабильных. Он использует протокол VLESS с расширением Reality, которое маскирует трафик под TLS-соединение с реальным сайтом. Сервер должен находиться на IP-адресе, входящем в белый список, например, в Yandex.Cloud или Timeweb. В качестве SNI используется разрешённый домен, например, vk.com или yastatic.net.
2. Yandex Cloud Functions Можно использовать серверные функции Yandex Cloud как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех операторов. Это бесплатный способ, но с ограничениями по трафику.
3. TURN-серверы VK Calls Использование TURN-серверов, которые применяются для видеозвонков VK, с шифрованием DTLS. Этот метод менее распространён, но работает.
4. Подмена SNI Некоторые приложения позволяют подменить SNI в TLS-запросе на разрешённый домен. Однако этот метод работает только в том случае, если IP-адрес назначения уже в белом списке.
5. Использование приложений-прокси Существуют приложения, которые создают туннель через разрешённые сервисы, например, через Яндекс.Диск или VK. Это экзотические методы, но они могут работать в отдельных случаях.
Каждый метод имеет свои плюсы и минусы. VLESS + Reality считается наиболее надёжным, но требует настройки. Yandex Cloud Functions проще, но имеет лимиты. Выбор зависит от ваших технических навыков и потребностей.
Как настроить собственный VPN-сервер для обхода белых списков
Для создания собственного VPN-сервера, способного обходить белые списки, необходимо выполнить несколько шагов.
Шаг 1: Выбор хостинга Важно выбрать хостинг-провайдера, чьи IP-адреса входят в белый список. Согласно исследованиям, наибольшее количество IP в белом списке принадлежит Yandex.Cloud (около 13 000), Timeweb (около 2 900), VK (около 3 000) и Selectel (около 2 000). Рекомендуется использовать VPS у этих провайдеров.
Шаг 2: Установка и настройка VLESS + Reality На сервере необходимо установить Xray или аналогичное ПО, поддерживающее VLESS и Reality. В конфигурации нужно указать:
- IP-адрес сервера (должен быть в белом списке).
- SNI — разрешённый домен, например, vk.com или yastatic.net.
- Параметры Reality, такие как public key и short id.
Шаг 3: Настройка клиента На клиентском устройстве (смартфон, компьютер) устанавливается приложение, поддерживающее VLESS (например, v2rayNG или Nekobox). В настройках указываются данные сервера, включая SNI и публичный ключ.
Шаг 4: Проверка и оптимизация После настройки необходимо проверить работоспособность. Если соединение не устанавливается, возможно, потребуется изменить SNI или выбрать другой IP-адрес. Также стоит учитывать, что белые списки могут меняться, поэтому рекомендуется периодически проверять актуальность IP-адресов.
Важно помнить, что использование VPN для обхода блокировок может нарушать законодательство, поэтому перед использованием следует ознакомиться с местными законами.
Какие SNI-домены использовать для маскировки
Выбор правильного SNI-домена критически важен для успешного обхода белых списков. SNI должен быть разрешённым доменом, который не вызывает подозрений у DPI. Согласно исследованиям, хорошими кандидатами являются:
- Яндекс CDN: storage.yandex.net, yastatic.net, avatars.mds.yandex.net
- VK CDN: userapi.com, vkuser.net, vkuservideo.ru
- Хостинги: hosting.reg.ru
- CDN-провайдеры: cdnvideo.ru, okcdn.ru
Важно избегать SNI-доменов, которые явно заблокированы, таких как twitter.com, youtube.com или x.com. Они могут быть в чёрном списке SNI, и соединение будет разорвано.
Также стоит учитывать, что правила SNI-фильтрации могут различаться в зависимости от подсети. Например, один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Поэтому рекомендуется тестировать разные SNI и выбирать тот, который работает стабильно.
Кроме того, можно использовать списки SNI, которые обновляются сообществом. Например, на GitHub есть репозитории с актуальными SNI для обхода белых списков. Эти списки регулярно обновляются и могут быть полезны для настройки.
Ограничения и риски при использовании обходных методов
Несмотря на эффективность обходных методов, они имеют ряд ограничений и рисков.
Технические ограничения:
- Белые списки постоянно меняются, и IP-адреса, которые сегодня входят в список, завтра могут быть исключены.
- Некоторые методы, такие как подмена SNI, работают только в том случае, если IP-адрес назначения уже в белом списке.
- DPI-системы могут обнаруживать и блокировать новые методы обхода, поэтому необходимо постоянно обновлять конфигурации.
Юридические риски:
- Использование VPN для обхода блокировок может нарушать законодательство. В России действуют законы, которые запрещают обход блокировок, и за это предусмотрены штрафы.
- Некоторые методы, такие как использование Yandex Cloud Functions, могут нарушать условия использования облачных сервисов.
Практические риски:
- Скорость соединения может быть ниже, чем при обычном VPN, из-за дополнительной маскировки.
- Некоторые методы требуют технических навыков и могут быть сложны для обычных пользователей.
Перед использованием обходных методов рекомендуется взвесить все риски и убедиться, что вы действуете в рамках закона.
Практические примеры настройки Portal WG
Рассмотрим практический пример настройки Portal WG на сервере Yandex.Cloud.
Шаг 1: Создание виртуальной машины В Yandex.Cloud создайте виртуальную машину с публичным IP-адресом. Убедитесь, что IP-адрес входит в белый список. Для этого можно проверить доступность порта 443 с мобильного устройства в режиме белых списков.
Шаг 2: Установка WireGuard и Portal WG Установите WireGuard на сервер. Затем настройте Portal WG, который будет маскировать трафик под HTTPS. Для этого потребуется сгенерировать ключи и настроить конфигурацию.
Шаг 3: Настройка клиента На клиентском устройстве установите приложение, поддерживающее Portal WG (например, официальное приложение WireGuard с дополнительными настройками). Импортируйте конфигурацию, указав IP-адрес сервера, порт 443 и SNI-домен.
Шаг 4: Тестирование Подключитесь к серверу и проверьте доступ к заблокированным ресурсам. Если всё работает, вы сможете пользоваться интернетом без ограничений.
Важно помнить, что настройка может отличаться в зависимости от оператора и региона. Рекомендуется тестировать разные конфигурации и выбирать наиболее стабильную.
Будущее белых списков и обходных технологий
Технологии белых списков и методы их обхода постоянно развиваются. С одной стороны, регуляторы совершенствуют системы фильтрации, добавляя новые уровни проверки и ужесточая правила. С другой стороны, сообщество разработчиков находит новые способы обхода, используя уязвимости и особенности инфраструктуры.
Одним из перспективных направлений является использование облачных сервисов, таких как Yandex.Cloud, которые невозможно исключить из белых списков из-за их важности для государственных и коммерческих структур. Это создаёт «дыры» в фильтрации, которые можно использовать для обхода.
Также развиваются технологии маскировки трафика, такие как Reality и Portal WG, которые делают VPN-трафик неотличимым от обычного HTTPS. Это затрудняет работу DPI-систем и позволяет сохранять доступ к заблокированным ресурсам.
Однако нельзя исключать, что в будущем будут введены более жёсткие меры, такие как блокировка всех VPN-протоколов на уровне DPI или обязательная аутентификация пользователей. Поэтому пользователям, заинтересованным в обходе блокировок, следует следить за новыми разработками и адаптироваться к изменениям.
Вопросы и ответы
Что такое Portal WG и чем он отличается от обычного WireGuard?
Portal WG — это модификация протокола WireGuard, которая маскирует трафик под HTTPS-соединение, используя порт 443 и SNI-подмену. В отличие от стандартного WireGuard, который использует UDP-порт 51820 и легко обнаруживается DPI, Portal WG делает трафик неотличимым от обычного веб-серфинга, что позволяет обходить белые списки.
Какие IP-адреса входят в белый список и как это проверить?
Белый список включает IP-адреса крупных российских хостинг-провайдеров и облачных сервисов, таких как Yandex.Cloud, VK, Timeweb, Selectel, а также IP-адреса государственных и коммерческих организаций. Проверить, входит ли IP в белый список, можно, попробовав подключиться к нему с мобильного устройства в режиме белых списков (например, открыть порт 443). Если соединение устанавливается, IP, скорее всего, в списке.
Можно ли обойти белые списки без использования VPN?
Да, существуют методы обхода, не требующие VPN. Например, можно использовать подмену SNI в TLS-запросах, если IP-адрес назначения уже в белом списке. Также можно использовать прокси-сервисы, такие как Yandex Cloud Functions, или туннелирование через разрешённые приложения (например, VK Calls). Однако эти методы менее надёжны и могут не работать во всех случаях.
Какие риски связаны с использованием обходных методов?
Основные риски — юридические. В России использование VPN для обхода блокировок может быть признано нарушением закона, что грозит штрафами. Также существуют технические риски: белые списки постоянно меняются, и методы обхода могут перестать работать. Кроме того, использование облачных сервисов для обхода может нарушать их условия использования.
Как выбрать SNI-домен для маскировки?
SNI-домен должен быть разрешённым и не вызывать подозрений у DPI. Хорошими вариантами являются домены Яндекс CDN (yastatic.net, storage.yandex.net), VK CDN (userapi.com, vkuser.net) и другие популярные ресурсы. Избегайте доменов, которые явно заблокированы, таких как twitter.com или youtube.com. Рекомендуется тестировать разные SNI и выбирать тот, который работает стабильно.
Насколько стабильно работают обходные методы в разных регионах?
Стабильность зависит от оператора и региона. В некоторых регионах белые списки работают постоянно, в других — эпизодически. У разных операторов могут быть разные списки и правила фильтрации. Например, у Мегафона и Т2 в одном регионе БС может работать постоянно, а в другом — включаться по расписанию. Поэтому обходные методы могут работать по-разному в зависимости от местоположения.
Что делать, если обходной метод перестал работать?
Если метод перестал работать, сначала проверьте, не изменился ли белый список (возможно, IP-адрес сервера был исключён). Попробуйте сменить SNI-домен или IP-адрес сервера. Также стоит обновить конфигурацию клиента и проверить, не блокирует ли DPI используемый протокол. Если проблема сохраняется, рассмотрите альтернативные методы обхода.