Программа для обхода белого списка: как работают обходы и что выбрать

Что такое белый список и чем он отличается от чёрного

Белый список — это режим фильтрации интернета, при котором по умолчанию блокируется весь трафик, кроме явно разрешённых адресов. В отличие от классических чёрных списков, где запрещены конкретные сайты, белый список разрешает только одобренные ресурсы, а всё остальное отбрасывается на уровне провайдера.

На практике это означает, что при включённом белом списке у вас может открываться vk.com, но не открываться google.com, хотя физическое соединение с сетью есть. Провайдер просто не пропускает пакеты к неразрешённым IP-адресам. Такой подход применяется в некоторых регионах России в рамках тестирования ТСПУ (технических средств противодействия угрозам).

Важно понимать: белый список — это не блокировка отдельных сайтов, а фильтрация на уровне сетевой инфраструктуры. Поэтому обычные методы обхода, которые работают против чёрных списков, здесь часто бесполезны.

Как технически устроена фильтрация в белом списке

Фильтрация в белом списке работает на двух уровнях одновременно.

Уровень L3 (сетевой) — проверяется IP-адрес назначения. Если он не входит в разрешённый список подсетей (CIDR), пакет просто отбрасывается маршрутизатором ещё до того, как попадёт в DPI. Это значит, что для неразрешённых IP не работает ни ICMP, ни TCP, ни UDP — пакеты физически не покидают сеть оператора.

Уровень L7 (прикладной) — если IP-адрес разрешён, DPI проверяет SNI (Server Name Indication) в TLS-запросе. Если SNI находится в чёрном списке, соединение разрывается принудительно (RST). Если SNI чистый — трафик пропускается.

Порядок проверки такой: пакет → проверка IP → если не в списке, drop; если в списке → проверка SNI → если в чёрном списке, RST; если нет → PASS.

Интересная деталь: правила SNI-фильтрации не всегда консистентны между разными подсетями. Например, один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о том, что единого общего чёрного списка SNI нет, и правила могут различаться в зависимости от оператора и даже от конкретного узла.

Почему обычные VPN не работают при белом списке

Стандартные VPN-протоколы легко распознать и заблокировать, даже если они используют порт 443. DPI-системы анализируют не только порты, но и паттерны трафика: размеры пакетов, временные интервалы, структуру заголовков.

Вот основные причины, почему обычные VPN не работают:

• OpenVPN — имеет характерную сигнатуру в заголовках пакетов, легко обнаруживается.
• IKEv2/IPSec — использует фиксированные порты, которые легко блокировать.
• Стандартный WireGuard — UDP-пакеты с характерной структурой, распознаются DPI.
• L2TP/PPTP — устаревшие протоколы, блокируются практически везде.

Даже если VPN использует порт 443, DPI может отличить VPN-трафик от обычного HTTPS по размеру пакетов и временным задержкам. Кроме того, при белом списке блокируется не только SNI, но и сам IP-адрес VPN-сервера, если он не входит в разрешённый список. Поэтому даже самый современный протокол не поможет, если сервер находится за пределами белого списка.

Какие технологии обхода реально работают

Несмотря на жёсткость белых списков, есть несколько технологий, которые позволяют обойти ограничения.

Обфускация (Obfuscation) — маскировка VPN-трафика под обычный HTTPS. Пакеты модифицируются так, чтобы выглядеть как обычный веб-трафик: хаотичные размеры, правдоподобные временные интервалы, TLS-заголовки. DPI видит обычное HTTPS-подключение и не блокирует его.

Shadowsocks + плагины — прокси-протокол с плагинами маскировки (v2ray-plugin, simple-obfs). Трафик выглядит как обычный HTTP/HTTPS и проходит через белые списки.

VLESS + XTLS-Reality — современный протокол, который имитирует трафик популярных сайтов (Facebook, Google, Apple). Сервер «притворяется» настоящим сайтом из белого списка, поэтому DPI не может отличить его от легитимного трафика.

Trojan-GFW — протокол, маскирующий трафик под обычный HTTPS. Если кто-то попытается открыть адрес сервера в браузере, он увидит обычный сайт-заглушку.

Эти технологии работают, потому что они не просто шифруют трафик, а делают его неотличимым от обычного веб-трафика, который разрешён белым списком.

Метод 1: VLESS + Reality на российском VPS

Один из самых надёжных способов обхода белого списка — развернуть собственный прокси-сервер на российском VPS, IP-адрес которого уже входит в белый список.

Требования:

• VPS у провайдера, который попал в белый список (например, Timeweb, Yandex.Cloud, VK Cloud).
• SNI разрешённого домена (например, vk.com, ya.ru, или домены из списка whitelisted).
• Протокол VLESS с XTLS-Reality и XTLS-Vision для маскировки.

Пример конфига:

vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision

Плюсы и минусы провайдеров:

• Timeweb — бесплатный reroll IP, но долго выбивать подходящий.
• Yandex.Cloud — бесплатный грант 4000₽ при регистрации, высокий шанс попасть в белый список, но быстро сносят.
• VK Cloud — долго держится, но сложная верификация и дорого.

Хорошие SNI для маскировки:

• Яндекс CDN: storage.yandex.net, yastatic.net
• VK CDN: userapi.com, vkuser.net, vkuservideo.ru
• Хостинги: hosting.reg.ru
• CDN: cdnvideo.ru, okcdn.ru

Важно избегать SNI, которые явно заблокированы (twitter.com, youtube.com), так как они могут вызвать RST.

Метод 2: Yandex Cloud Functions как прокси

Ещё один способ — использовать serverless-функции Yandex Cloud в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров.

Бесплатный тариф (бессрочно):

• 1 000 000 вызовов в месяц
• 100 000 ГБ-секунд
• 40 000 ГГц-секунд

Вы пишете SOCKS5-клиент, подключаетесь к функции — и готово. DPI не применяется к IP Яндекса на уровне L3 и L7, а домены *.yandexcloud.net разрешены.

Этот метод особенно удобен, если у вас нет возможности арендовать VPS или вы хотите быстрое решение без настройки сервера. Однако стоит учитывать, что serverless-функции имеют ограничения по времени выполнения и объёму трафика, поэтому для постоянного использования они подходят хуже, чем выделенный VPS.

Что не работает при белом списке

Некоторые методы обхода, которые работают в других условиях, при белом списке бесполезны.

QUIC/HTTP3 — блокируется почти всегда, даже на домашних провайдерах без белого списка. UDP:443 режется.

ECH/ESNI (Encrypted Client Hello) — блокируется ТСПУ. Даже если бы работал, не помог бы, потому что основная блокировка идёт по IP (L3), а не по SNI. Шифровать имя домена бесполезно, когда сам адрес назначения не в белом списке.

Обычный VPN на зарубежном VPS — не работает, так как IP-адрес сервера не входит в белый список.

Стандартный WireGuard — UDP-пакеты с характерной структурой легко распознаются и блокируются.

Важно понимать: если IP-адрес сервера не в белом списке, никакой протокол не поможет — пакеты будут отброшены на уровне маршрутизации.

Как выбрать программу для обхода белого списка

При выборе программы для обхода белого списка обращайте внимание на следующие критерии:

1. Технология обфускации. Программа должна маскировать трафик под обычный HTTPS. Если в описании нет упоминания обфускации или маскировки, скорее всего, она не будет работать.

2. Поддержка протоколов. Ищите программы, поддерживающие VLESS, Shadowsocks, Trojan или WireGuard с обфускацией. Эти протоколы наиболее устойчивы к DPI.

3. Наличие российских серверов. Серверы должны находиться в России и иметь IP-адреса, входящие в белый список. Иначе подключение будет заблокировано.

4. Простота настройки. Некоторые программы требуют ручной настройки (например, VLESS + Reality), другие предлагают готовые конфигурации. Для новичков лучше выбирать программы с автоматической настройкой.

5. Стоимость. Бесплатные VPN обычно не работают при белых списках, так как используют стандартные протоколы без обфускации. Платные сервисы с обфускацией стоят от 150 до 300 рублей в месяц.

6. Отзывы и репутация. Проверяйте актуальные отзывы пользователей, особенно из регионов, где белые списки уже работают.

Практические советы и ограничения

Даже с работающей программой обхода есть несколько важных ограничений.

Нестабильность. Белые списки работают неравномерно: в Москве они включаются эпизодически, в Санкт-Петербурге редко, а в большинстве регионов — постоянно. Причём даже в одном городе доступность может меняться от вышки к вышке.

Разные списки у операторов. Одна подсеть может быть в белом списке у Мегафона, но не у МТС. Списки постоянно обновляются, поэтому то, что работало вчера, может перестать работать сегодня.

DNS-ограничения. При белом списке внешние DNS-серверы (8.8.8.8, 1.1.1.1) часто блокируются. Работает только DNS провайдера. Это может вызвать проблемы с резолвингом доменов, если вы используете кастомные DNS.

Скорость. Обфускация и проксирование снижают скорость соединения. Если вам нужен высокоскоростной доступ, выбирайте серверы с хорошей пропускной способностью.

Юридические риски. Обход блокировок может нарушать законодательство РФ. Используйте такие инструменты на свой страх и риск.

Резервные каналы. Всегда имейте запасной способ доступа к интернету: Wi-Fi, мобильный интернет другого оператора, заранее скачанные офлайн-карты и контент.

Часто задаваемые вопросы

Вопрос: Белые списки уже внедрены по всей России?

Нет, пока они тестируются в отдельных регионах. Однако тенденция к ужесточению цензуры очевидна, поэтому лучше подготовиться заранее.

Вопрос: Могут ли бесплатные VPN работать при белых списках?

Практически никакие. Бесплатные VPN используют стандартные протоколы без обфускации, их трафик легко распознать и заблокировать. Из бесплатных решений иногда работают только те, что используют Shadowsocks или VLESS с маскировкой.

Вопрос: Можно ли обойти белый список без VPN?

Теоретически — через Tor с мостами, Shadowsocks или VLESS. Но это сложно настраивать, и скорость будет низкой. VPN с обфускацией — оптимальный баланс простоты и эффективности.

Вопрос: Как проверить, работает ли программа обхода?

Подключитесь к программе, откройте сайт 2ip.ru или whoer.net и проверьте, что IP изменился. Затем попробуйте открыть заблокированные сайты. Если они открываются — программа работает.

Вопрос: Что делать, если программа перестала работать?

Попробуйте сменить сервер, протокол или порт. Если не помогает, возможно, белый список обновился, и IP-адрес сервера больше не входит в него. В этом случае нужно искать другую программу или настраивать собственный сервер.

Вопрос: Какие сервисы гарантированно работают при белом списке?

Из легальных — только те, что включены в официальный белый список (например, госуслуги, банки, операторы связи). Для обхода ограничений нужны специальные программы с обфускацией.

Вопросы и ответы