Обход белого списка интернета: технические методы, риски и альтернативы для пользователей и бизнеса

Что такое белый список и как он работает

Белый список — это перечень IP-адресов и доменов, доступ к которым разрешён в условиях ограничений мобильного интернета. В отличие от классических чёрных списков, где запрещено только то, что явно указано, белый список работает по принципу «запрещено всё, кроме разрешённого». Это означает, что если ресурс не включён в перечень, он становится недоступен для пользователей, даже если физический сигнал сети присутствует.

Технически фильтрация реализуется на двух уровнях. Первый — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения и пропускает только те пакеты, которые идут в подсети из белого списка. Если адрес не в списке, пакет просто отбрасывается (drop), и соединение не устанавливается. Второй уровень — прикладной (L7): DPI-система анализирует SNI в TLS-ClientHello и, если домен находится в чёрном списке SNI, отправляет RST-пакет, разрывая соединение. Таким образом, даже если IP-адрес разрешён, но домен заблокирован, доступ всё равно будет ограничен.

Важно понимать, что белые списки применяются не ко всему интернету, а только к мобильным сетям 4G/LTE. Домашний Wi-Fi и проводное подключение обычно работают без ограничений. Это связано с тем, что ограничения мобильного интернета часто вводятся для противодействия использованию сотовой связи в системах управления беспилотниками, и проводные сети для этих целей неприменимы.

Как устроена фильтрация на уровне IP и SNI

Фильтрация на уровне IP (L3) работает следующим образом: пакет, отправленный на не-вайтлист адрес, не получает ответа ни по одному протоколу — ни ICMP, ни TCP, ни UDP. Это означает, что пакеты физически не покидают сеть оператора, и соединение просто не устанавливается. Для разрешённых IP-адресов ситуация иная: обычно работают порты 80, 443 и 22, но UDP-трафик (включая QUIC, DNS и WireGuard) часто блокируется даже на разрешённых адресах.

На уровне L7 DPI-система проверяет SNI в TLS-ClientHello. Если IP-адрес в белом списке, но SNI находится в чёрном списке, соединение разрывается. Однако, как показывают исследования, правила SNI-фильтрации не всегда консистентны: один и тот же домен может быть заблокирован через одни IP-адреса, но пропускаться через другие. Например, twitter.com может быть заблокирован через IP VK, но пропускаться через IP Яндекса. Это связано с тем, что правила ТСПУ могут различаться для разных ASN или не обновляться единообразно.

Также важно отметить, что DNS-запросы к внешним серверам (8.8.8.8, 1.1.1.1) в режиме белого списка часто блокируются, и работает только DNS провайдера. Это ограничение дополнительно усложняет доступ к ресурсам, не входящим в список.

Кто попадает в белый список: состав и приоритеты

Белый список формируется Минцифры и включает ресурсы, признанные критически важными для граждан и государства. В него входят портал «Госуслуги», сайты правительства, президента, Госдумы, Совета Федерации, федеральных министерств, а также системы маркировки «Честный знак» и электронного голосования. Среди финансовых сервисов — сайт Центробанка, ФНС, Московской биржи, платёжная система «Мир», а также банки: Сбербанк, ВТБ, Альфа-Банк, Промсвязьбанк.

Из социальных сетей в списке — «ВКонтакте», «Одноклассники», мессенджер Max, сервисы Яндекса и Mail.ru, видеоплатформы Rutube и VK Видео. Маркетплейсы и службы доставки: Ozon, Wildberries, Avito, «Мегамаркет», «Магнит», «ВкусВилл», «Дикси», «Детский мир», «Почта России», СДЭК, «Деловые линии». Также доступны сайты РЖД, «Аэрофлота», «Победы», «Туту.ру», каршеринги «Яндекс Драйв» и «Ситидрайв», навигатор 2ГИС.

Приоритеты в белом списке выглядят так: всегда доступен мессенджер Max, почти всегда — VK, Яндекс и госинфраструктура. Банки и маркетплейсы включаются по принципу лотереи: у одного оператора может быть Тинькофф, у другого — нет. При этом, как показывают сканирования, в белом списке могут отсутствовать некоторые крупные ресурсы, но присутствовать нишевые сервисы, что говорит о несистемном подходе к формированию списка.

Почему стандартный VPN не работает и какие есть риски

Многие пользователи пытаются обойти белый список с помощью VPN, но в большинстве случаев это не работает. Причина в том, что IP-адреса популярных VPN-сервисов и зарубежных VPS не входят в белый список, и пакеты до них просто не доходят. Даже если VPN-сервер находится в России, его IP должен быть в списке разрешённых, иначе соединение не установится.

Кроме того, использование VPN сопряжено с серьёзными рисками для безопасности. Бесплатные VPN-сервисы часто зарабатывают на продаже данных пользователей, что может привести к утечке персональных данных, паролей и банковской информации. Эти данные могут быть использованы мошенниками для социальной инженерии, оформления кредитов или создания поддельных документов.

Важно отметить, что в российском законодательстве нет ответственности для граждан за использование VPN, но сами сервисы обхода блокируются. Поэтому полагаться на VPN как на надёжный способ обхода белого списка не стоит — это скорее лотерея с высокими рисками для приватности.

Технические методы обхода: VLESS + Reality на российском VPS

Один из наиболее рабочих методов обхода белого списка — использование протокола VLESS с шифрованием Reality на VPS, IP-адрес которого входит в белый список. Этот метод основан на том, что трафик маскируется под легитимное соединение с разрешённым доменом, что позволяет обойти DPI-фильтрацию.

Для настройки потребуется VPS у провайдера, который присутствует в белом списке, например Timeweb, Yandex.Cloud или VK Cloud. Важно, чтобы IP-адрес сервера был в списке разрешённых. Затем настраивается VLESS-сервер с Reality и XTLS-Vision, а в качестве SNI используется домен из белого списка, например vk.com или ya.ru. Это позволяет замаскировать трафик под обычное HTTPS-соединение с разрешённым ресурсом.

Провайдеры имеют свои особенности: Timeweb предлагает бесплатный reroll IP, но выбить подходящий адрес может быть сложно. Yandex.Cloud даёт грант 4000 рублей при регистрации и высокий шанс попасть в белый список, но аккаунты быстро блокируются. VK Cloud отличается стабильностью, но сложной верификацией и высокой ценой. В любом случае, этот метод требует технических навыков и не гарантирует 100% доступности, так как списки постоянно меняются.

Использование облачных функций как прокси

Альтернативный метод обхода — использование serverless-функций, например Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров, что делает его надёжной точкой доступа. На бесплатном тарифе доступно 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд, чего достаточно для личного использования.

Суть метода в том, чтобы написать SOCKS5-клиент, который подключается к функции и использует её как прокси. Поскольку IP-адреса Яндекса не фильтруются на уровне L3 и L7, трафик через функцию проходит без ограничений. Это позволяет обходить белый список без необходимости арендовать VPS и настраивать сложные протоколы.

Однако у этого метода есть ограничения: бесплатный тариф может быть недостаточен для активного использования, а функция может быть недоступна в моменты пиковых нагрузок. Тем не менее, для периодического доступа к заблокированным ресурсам это вполне рабочий вариант.

Что делать бизнесу: как оставаться доступным во время ограничений

Для бизнеса недоступность сайта во время действия белого списка — это не просто техническая проблема, а прямая потеря прибыли. Если клиент не может открыть сайт, он уходит к конкуренту, и вернуть его потом очень сложно. Кроме того, регулярные сбои негативно сказываются на SEO: поисковые роботы фиксируют ошибки и понижают позиции сайта в выдаче.

Один из способов оставаться доступным — интеграция в инфраструктуру, которая по умолчанию попадает в белый список. Например, размещение сайта на CDN, который использует IP-адреса из списка разрешённых. Это позволяет сайту открываться даже в моменты жёстких ограничений, как это происходит с Сбером или Wildberries.

Агентства предлагают настройку CDN-решений, которые обеспечивают доступность сайта в разных городах и у разных операторов. Это защищает рекламный бюджет (клики не сгорают) и сохраняет SEO-позиции. Важно понимать, что такой подход требует технической экспертизы и не является бесплатным, но он позволяет бизнесу не терять клиентов в критические моменты.

География и нестабильность белых списков

Белые списки работают неравномерно как по регионам, так и по операторам. В Москве ограничения могут действовать эпизодически, по несколько часов, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно. При этом у одного оператора в одном регионе белый список может работать круглосуточно, а в другом — включаться по расписанию.

Ситуация может меняться даже в пределах одного города: на одной улице интернет работает нормально, а на соседней — только белый список. Это связано с тем, что ТСПУ устанавливаются на уровне базовых станций, и их конфигурация может различаться. Кроме того, сами списки постоянно обновляются: что-то добавляют, что-то убирают, и это происходит без публичных анонсов.

Для пользователей это означает, что обход белого списка — это не разовое действие, а постоянный процесс. То, что работало вчера, может перестать работать сегодня. Поэтому важно иметь несколько запасных вариантов и следить за актуальными данными, например, через открытые репозитории, где публикуются обновлённые списки.

Практические советы и ограничения методов обхода

При выборе метода обхода белого списка важно учитывать несколько факторов. Во-первых, надёжность: VLESS + Reality на VPS считается одним из самых стабильных методов, но требует технических навыков. Облачные функции проще в настройке, но имеют лимиты по трафику. Стандартные VPN, как правило, не работают вовсе.

Во-вторых, безопасность: любые методы обхода несут риски, особенно если использовать непроверенные сервисы. Рекомендуется использовать только проверенные инструменты с открытым исходным кодом и не передавать через них чувствительные данные.

В-третьих, легальность: на сегодняшний день использование VPN не запрещено, но сами сервисы обхода блокируются. Поэтому ответственность за выбор метода лежит на пользователе. Для бизнеса более правильным решением является не обход, а обеспечение доступности сайта через легальные механизмы, такие как CDN-интеграция.

Вопросы и ответы