Что такое белые списки и как они работают
Белые списки — это режим фильтрации интернет-трафика, при котором по умолчанию запрещено всё, кроме явно разрешённых ресурсов. В отличие от чёрных списков, где блокируются конкретные сайты, белые списки ограничивают доступ к интернету в целом, пропуская только одобренные IP-адреса и домены.
Технически фильтрация реализуется на двух уровнях. На сетевом уровне (L3) происходит проверка IP-адреса назначения: если он не входит в список разрешённых подсетей, пакет отбрасывается ещё до того, как попадёт на DPI-устройство. На прикладном уровне (L7) DPI анализирует SNI (Server Name Indication) в TLS-рукопожатии и разрывает соединение, если домен находится в чёрном списке.
Порядок проверки выглядит так: пакет сначала проходит L3-фильтрацию, и только если IP разрешён, переходит к L7-проверке SNI. Если SNI заблокирован, соединение сбрасывается (RST), если нет — трафик пропускается.
Важно понимать, что белые списки не являются статичными. Они постоянно обновляются, а правила могут различаться в зависимости от оператора, региона и даже конкретной вышки. Например, в Москве режим белых списков может включаться эпизодически, в то время как в большинстве регионов он работает круглосуточно.
Почему обычные VPN не работают в условиях белых списков
Многие пользователи ожидают, что любой VPN-сервис поможет обойти ограничения, но в условиях белых списков это не так. Основная причина — блокировка на уровне IP-адресов. Если IP-адрес VPN-сервера не входит в белый список, пакеты до него просто не доходят: они отбрасываются на маршрутизаторе оператора ещё до установления соединения.
Кроме того, в режиме белых списков часто блокируются и стандартные порты и протоколы, используемые VPN. Например, UDP-порты, которые обычно задействуются для WireGuard и других VPN-протоколов, могут быть полностью закрыты. Это делает невозможным подключение к большинству коммерческих VPN-сервисов, чьи серверы расположены за пределами разрешённых подсетей.
Также стоит учитывать, что некоторые VPN-протоколы, такие как QUIC/HTTP3, блокируются даже без белых списков, а ECH/ESNI (Encrypted Client Hello) не помогают, потому что основная фильтрация идёт по IP, а не по SNI.
Таким образом, для обхода белых списков необходимы специализированные решения, которые используют IP-адреса, уже включённые в белый список, или маскируют трафик под разрешённые сервисы.
Метод 1: VPN-сервер на российском VPS с IP из белого списка
Один из наиболее надёжных и популярных методов обхода белых списков — развёртывание собственного VPN-сервера на виртуальном сервере (VPS), IP-адрес которого входит в белый список. Это возможно благодаря тому, что в белые списки включены подсети крупных российских хостинг-провайдеров, таких как Yandex Cloud, VK Cloud, Timeweb, Selectel и других.
Для этого метода обычно используется протокол VLESS с технологией Reality и XTLS-Vision. Reality позволяет маскировать трафик под легитимные HTTPS-соединения, а SNI выбирается из списка разрешённых доменов, например, vk.com или ya.ru. Это делает трафик неотличимым от обычного посещения разрешённых сайтов.
При выборе VPS-провайдера стоит обратить внимание на несколько факторов. Yandex Cloud предлагает грант 4000 рублей при регистрации и имеет высокий шанс попадания в белый список, но аккаунты могут быстро блокироваться. Timeweb позволяет бесплатно менять IP-адрес, что удобно для подбора подходящего, но процесс может занять время. VK Cloud отличается стабильностью, но требует более сложной верификации.
Важно также правильно выбрать SNI для маскировки. Хорошими вариантами являются домены CDN-сетей, такие как storage.yandex.net, yastatic.net, userapi.com, vkuser.net, а также домены хостингов и CDN-провайдеров. Следует избегать SNI, которые явно заблокированы, например, twitter.com или youtube.com.
Метод 2: Использование serverless-функций как прокси
Альтернативный метод обхода белых списков — использование serverless-функций, например, Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net входит в белые списки у большинства операторов, поскольку Яндекс является одним из ключевых игроков в российской интернет-инфраструктуре.
Serverless-функции позволяют создавать прокси-серверы, которые принимают запросы от пользователя и перенаправляют их в интернет. При этом DPI не применяется к IP-адресам Яндекса, а домены *.yandexcloud.net считаются разрешёнными. Это делает данный метод достаточно надёжным.
Бесплатный тариф Yandex Cloud Functions включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд, чего достаточно для личного использования. Для подключения можно написать SOCKS5-клиент, который будет взаимодействовать с функцией.
Этот метод требует определённых технических навыков, но он может быть более стабильным, чем использование VPS, поскольку инфраструктура Яндекса редко подвергается блокировкам.
Метод 3: Мессенджеры, работающие через email (Delta Chat)
Существует и нестандартный способ обхода белых списков — использование мессенджера Delta Chat, который работает поверх электронной почты. Этот метод особенно полезен, когда другие способы недоступны, например, в условиях полного шатдауна.
Delta Chat — это децентрализованный мессенджер с открытым исходным кодом, который использует существующую инфраструктуру email-провайдеров. Для работы он может использовать как специализированные серверы Chatmail, так и обычные почтовые ящики, например, на @mail.ru, @vk.com или @yandex.ru. Поскольку сервисы VK и Яндекса включены в белые списки, Delta Chat может работать даже при ограничении мобильного интернета.
Для использования Delta Chat с российской почтой необходимо создать новый аккаунт, выбрать вариант «Использовать другой сервер» и указать адрес почты и внешний пароль. Сообщения шифруются сквозным шифрованием, поэтому даже почтовый провайдер не сможет прочитать их содержимое.
Однако стоит учитывать, что Delta Chat имеет ограничения: нет встроенного поиска каналов, нет форматирования текста, а посты, опубликованные до подписки на канал, недоступны. Тем не менее, это надёжный способ оставаться на связи в условиях жёстких ограничений.
Что такое SNI и почему его выбор критичен
SNI (Server Name Indication) — это расширение протокола TLS, которое позволяет клиенту указать имя сервера, к которому он обращается, ещё до установления зашифрованного соединения. Именно SNI используется DPI-устройствами для фильтрации трафика на прикладном уровне.
При использовании методов обхода, таких как VLESS + Reality, SNI играет ключевую роль. Если выбрать SNI домена, который находится в чёрном списке, соединение будет разорвано. Поэтому необходимо выбирать SNI из числа разрешённых доменов, которые не вызывают подозрений.
Хорошими кандидатами являются домены крупных CDN-сетей, таких как Яндекс, VK, Mail.ru, а также домены популярных сервисов, которые точно не заблокированы. Например, storage.yandex.net, yastatic.net, userapi.com, vkuser.net, okcdn.ru и другие.
Важно также учитывать, что правила SNI-фильтрации могут различаться в зависимости от подсети. Один и тот же SNI может пропускаться через IP-адреса Яндекса, но блокироваться через IP-адреса VK или других операторов. Поэтому рекомендуется тестировать выбранный SNI на разных IP-адресах.
Особенности работы DNS в режиме белых списков
В режиме белых списков фильтрация затрагивает не только HTTP/HTTPS-трафик, но и DNS-запросы. Внешние DNS-серверы, такие как Google Public DNS (8.8.8.8) или Cloudflare (1.1.1.1), часто становятся недоступными, поскольку их IP-адреса не входят в белый список.
Вместо них работает только DNS-сервер провайдера. Например, у Мегафона это 10.233.58.133, который разрешает только те домены, которые находятся в белом списке. Это означает, что даже если вы знаете IP-адрес нужного сайта, но он не в белом списке, доступ к нему будет невозможен.
Для обхода этой проблемы можно использовать DNS-запросы через HTTPS (DoH) или DNS-over-TLS (DoT), но они также могут быть заблокированы, если их IP-адреса не входят в белый список. В некоторых случаях помогает использование DNS-серверов, которые находятся в белом списке, например, DNS Яндекса (77.88.8.8), но как показывает практика, они тоже могут быть недоступны.
Таким образом, в условиях белых списков DNS-резолвинг становится серьёзной проблемой, и для её решения необходимо использовать методы, которые не зависят от внешних DNS-серверов, например, указывать IP-адреса напрямую в конфигурации.
Легальные альтернативы и риски
Важно понимать, что обход белых списков может быть сопряжён с юридическими рисками. В России действует законодательство, которое запрещает использование средств обхода блокировок, и за это предусмотрены штрафы. Однако на практике наказание чаще всего применяется к организаторам таких сервисов, а не к конечным пользователям.
Тем не менее, существуют и легальные способы сохранить доступ к информации. Например, можно использовать мессенджеры, которые работают в рамках белых списков, такие как Max (мессенджер VK), или читать новости через официальные приложения разрешённых СМИ.
Также стоит рассмотреть возможность использования зарубежных SIM-карт, которые позволяют обходить блокировки, поскольку они подключаются к сетям других операторов. Однако этот способ может быть неудобным и дорогим.
Перед использованием любых методов обхода рекомендуется взвесить все риски и убедиться, что вы действуете в рамках закона. В любом случае, технические знания, полученные из этой статьи, помогут вам лучше понять, как работает интернет и как защитить свои данные.
Практические рекомендации по выбору метода
Выбор метода обхода белых списков зависит от ваших технических навыков, бюджета и конкретных условий. Если вы готовы разбираться в настройках, метод с VPS на российском хостинге является одним из самых надёжных. Он обеспечивает высокую скорость и стабильность, но требует ежемесячной оплаты сервера.
Если у вас ограниченный бюджет, можно воспользоваться serverless-функциями Yandex Cloud, которые имеют бесплатный тариф. Однако этот метод требует навыков программирования и может быть менее стабильным.
Для тех, кто не хочет заморачиваться с техническими настройками, подойдут коммерческие VPN-сервисы, которые специализируются на обходе белых списков. Например, BuzzVPN позиционирует себя как единственный VPN, который работает на всех операторах с whitelist-фильтрацией. Такие сервисы обычно предлагают простые в использовании приложения и поддержку через Telegram-ботов.
Наконец, если вам нужен только мессенджер, Delta Chat с российской почтой — отличный вариант, который не требует никаких дополнительных настроек и работает даже в условиях полного шатдауна.
В любом случае, перед выбором метода рекомендуется протестировать несколько вариантов и выбрать тот, который лучше всего подходит для ваших задач.
Вопросы и ответы
Что такое белые списки и чем они отличаются от чёрных?
Белые списки — это режим фильтрации, при котором доступ разрешён только к определённым ресурсам, а всё остальное блокируется. Чёрные списки, наоборот, блокируют только конкретные сайты, оставляя остальной интернет доступным. В режиме белых списков блокировка идёт на уровне IP-адресов и SNI, что делает невозможным доступ к большинству сайтов без специальных методов обхода.
Почему обычные VPN не работают в условиях белых списков?
Обычные VPN-сервисы используют серверы, IP-адреса которых не входят в белый список. Поскольку фильтрация идёт на уровне IP, пакеты до таких серверов просто не доходят. Кроме того, в режиме белых списков часто блокируются UDP-порты, используемые VPN-протоколами, что делает подключение невозможным.
Какой метод обхода белых списков самый надёжный?
Наиболее надёжным считается развёртывание собственного VPN-сервера на VPS с IP-адресом из белого списка, например, в Yandex Cloud или VK Cloud. Использование протокола VLESS с Reality и правильно подобранным SNI позволяет маскировать трафик под легитимные HTTPS-соединения, что делает его практически неотличимым от обычного трафика.
Можно ли использовать Delta Chat для обхода белых списков?
Да, Delta Chat может работать в условиях белых списков, если использовать почтовые ящики на @mail.ru, @vk.com или @yandex.ru, так как эти сервисы включены в белые списки. Сообщения шифруются сквозным шифрованием, поэтому почтовый провайдер не может прочитать их содержимое.
Какие риски связаны с обходом белых списков?
Обход белых списков может быть сопряжён с юридическими рисками, так как в России законодательство запрещает использование средств обхода блокировок. Однако на практике наказание чаще применяется к организаторам таких сервисов, а не к конечным пользователям. Тем не менее, рекомендуется ознакомиться с местными законами и действовать осторожно.
Что такое SNI и почему он важен при обходе белых списков?
SNI (Server Name Indication) — это поле в TLS-рукопожатии, которое указывает имя сервера. DPI-устройства используют SNI для фильтрации трафика. При использовании методов обхода, таких как VLESS + Reality, выбор правильного SNI критичен: если SNI находится в чёрном списке, соединение будет разорвано. Поэтому нужно выбирать SNI разрешённых доменов, например, vk.com или ya.ru.
Как выбрать VPS-провайдера для обхода белых списков?
При выборе VPS-провайдера стоит обратить внимание на то, входят ли его подсети в белые списки. Крупные российские хостинги, такие как Yandex Cloud, VK Cloud, Timeweb, Selectel, имеют высокие шансы. Также важны стоимость, возможность смены IP-адреса и стабильность работы. Например, Timeweb позволяет бесплатно менять IP, а Yandex Cloud предоставляет грант для новых пользователей.