Обход белых списков на мобильном интернете: технические методы и ограничения

Что такое белые списки и как они работают

Белые списки — это механизм ограничения доступа к интернету, при котором разрешены только заранее определённые ресурсы, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные сайты, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». В России этот механизм начал активно применяться с осени 2025 года в рамках мер по противодействию атакам беспилотников. Минцифры формирует перечень социально значимых ресурсов, которые должны оставаться доступными даже при отключении мобильного интернета.

Технически белые списки реализуются на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне фильтрация идёт по IP-адресам: если адрес назначения не входит в список разрешённых подсетей, пакет просто отбрасывается маршрутизатором. На прикладном уровне DPI-система анализирует SNI (Server Name Indication) в TLS-запросе и может разорвать соединение, если домен находится в чёрном списке. Таким образом, даже если IP-адрес разрешён, но SNI заблокирован, соединение будет сброшено.

Почему обычный VPN не работает при белых списках

Многие пользователи ожидают, что VPN поможет обойти блокировку, как это было при точечных запретах отдельных сайтов. Однако при белых списках ситуация принципиально иная. Основная фильтрация происходит на уровне IP-адресов: если IP-адрес VPN-сервера не входит в белый список, пакеты до него просто не доходят. Это означает, что даже самый надёжный VPN-протокол не сможет установить соединение, если сервер находится за пределами разрешённых подсетей.

Кроме того, в режиме белых списков блокируется практически весь UDP-трафик, включая QUIC (HTTP/3), DNS и стандартные порты WireGuard. Это делает невозможным использование многих современных VPN-протоколов, которые полагаются на UDP. Даже если VPN-сервер находится в России, но его IP не в белом списке, соединение будет заблокировано. Поэтому традиционные VPN-сервисы, особенно зарубежные, оказываются бесполезными.

Как устроена фильтрация на уровне IP и SNI

Фильтрация в белых списках работает в два этапа. Сначала пакет проверяется на соответствие IP-адреса разрешённой подсети. Если адрес не в списке, пакет отбрасывается без каких-либо ответов — ни ICMP, ни TCP, ни UDP. Это означает, что соединение просто «зависает» или получает timeout. Если IP-адрес разрешён, DPI-система анализирует SNI в TLS ClientHello. Если SNI находится в чёрном списке (например, twitter.com или youtube.com), соединение разрывается с помощью RST-пакета.

Интересная особенность: правила SNI-фильтрации не всегда консистентны. Например, один и тот же SNI может пропускаться через IP-адреса Яндекса, но блокироваться через IP-адреса VK. Это связано с тем, что разные операторы или разные узлы ТСПУ могут иметь разные обновления правил. Также было обнаружено, что некоторые заблокированные домены, такие как telegram.org, могут пропускаться через определённые IP, что создаёт потенциальные возможности для обхода.

Какие IP-адреса попадают в белый список

Сканирование белых списков, проведённое энтузиастами, показало, что в них входит около 63 000 IP-адресов из примерно 46 миллионов российских адресов — это всего 0,14%. Основную массу составляют адреса крупных хостинг-провайдеров и облачных платформ. Лидером является Yandex.Cloud — более 12 900 IP, что составляет примерно каждый пятый адрес в списке. Это связано с тем, что Яндекс хостит множество государственных и коммерческих сервисов, которые необходимы для работы.

Другие крупные участники: Timeweb (2904 IP), Ростелеком (2312 IP), VK (около 3000 IP через несколько ASN), Selectel (почти 2000 IP), а также различные CDN-провайдеры. Мобильные операторы также включены в список, но их IP-адресов относительно немного. Важно понимать, что списки не статичны: они обновляются, IP-адреса могут ротироваться, а разные операторы могут иметь разные версии списков. Поэтому для обхода необходимо использовать актуальные данные.

Метод 1: VLESS + Reality на российском VPS

Один из наиболее рабочих методов обхода белых списков — использование протокола VLESS с расширением Reality на виртуальном сервере, расположенном в России и имеющем IP-адрес из белого списка. Этот метод основан на том, что трафик маскируется под легитимное соединение с разрешённым сайтом, например, с vk.com или ya.ru. Reality использует технологию имитации TLS-рукопожатия, что делает трафик неотличимым от обычного HTTPS-запроса.

Для настройки потребуется VPS у провайдера, который входит в белый список: Timeweb, Yandex.Cloud, VK Cloud и другие. Важно выбрать IP-адрес, который действительно пропускается. Например, у Timeweb есть возможность перевыпускать IP-адрес (reroll), что позволяет подобрать подходящий. В конфигурации необходимо указать SNI разрешённого домена, например, vklive.enotfast.com или storage.yandex.net. Метод работает стабильно, но требует определённых технических навыков и регулярного обновления списков.

Метод 2: Serverless-функции как прокси

Альтернативный метод — использование serverless-функций, например, Yandex Cloud Functions, в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех провайдеров, так как Яндекс является ключевым игроком. Можно написать простую функцию, которая будет принимать запросы и перенаправлять их на целевые ресурсы, выступая в роли HTTP-прокси. Это позволяет обходить блокировку, так как трафик идёт через разрешённый IP Яндекса.

Yandex Cloud Functions предоставляет бесплатный тариф: 1 миллион вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Этого достаточно для личного использования. Метод не требует настройки VPN-протоколов и может быть реализован с помощью простого скрипта. Однако стоит учитывать, что такой прокси будет работать только для HTTP/HTTPS трафика, а не для произвольных UDP-протоколов. Также необходимо следить за квотами и возможным блокированием аккаунта при подозрительной активности.

Другие возможные способы обхода и их ограничения

Помимо описанных методов, существуют и другие подходы, но они менее надёжны. Например, можно попытаться использовать IP-адреса из белого списка, которые принадлежат CDN-провайдерам, и подключаться к ним с подменой SNI. Однако это требует глубоких знаний сетевых технологий и часто приводит к нестабильной работе. Также рассматривается возможность использования ECH (Encrypted Client Hello), но эта технология блокируется ТСПУ и не решает проблему фильтрации по IP.

Некоторые энтузиасты пытаются использовать VPN-серверы, которые случайно оказались в белом списке (например, с доменами, содержащими «vpn»). Однако такие серверы быстро обнаруживаются и блокируются. Важно понимать, что все методы обхода носят временный характер: операторы постоянно обновляют списки и правила, поэтому то, что работает сегодня, может перестать работать завтра. Кроме того, использование обходных методов может нести юридические риски, хотя на данный момент ответственность для пользователей за использование VPN не предусмотрена.

Легальные альтернативы: выбор оператора и тарифа

Существует и легальный способ оставаться в интернете без ограничений — выбрать оператора или тариф, который не применяет белые списки в вашем регионе. Как показывают наблюдения, разные операторы по-разному реализуют ограничения. Например, в Пензе абоненты Т-Мобайла в большинстве районов не сталкиваются с ограничениями, тогда как у «МегаФона» доступ ограничен только ресурсами из списка Минцифры. У «Билайна» ситуация неоднозначная: некоторые тарифы работают без ограничений, а корпоративные номера могут быть переведены в режим белого списка.

Это означает, что перед выбором оператора стоит изучить, как он ведёт себя в вашем районе. Можно также рассмотреть использование домашнего Wi-Fi, который не подвержен ограничениям, поскольку белые списки применяются только к мобильным сетям 4G/LTE. Для работы или учёбы, где нужен стабильный доступ к любым ресурсам, это может быть оптимальным решением. Однако стоит помнить, что ситуация может меняться, и операторы могут расширять применение белых списков.

Риски использования обходных методов

Использование обходных методов, особенно VPN-сервисов, сопряжено с рисками для безопасности персональных данных. Многие бесплатные VPN-сервисы могут собирать и продавать данные пользователей, что может привести к утечкам и использованию информации в мошеннических схемах. Даже платные сервисы не всегда гарантируют конфиденциальность. Кроме того, при использовании самодельных прокси на serverless-функциях существует риск компрометации аккаунта, если не настроить должную аутентификацию.

Также стоит учитывать, что попытки обхода могут привлечь внимание операторов и привести к блокировке номера или тарифа. Хотя законодательство пока не предусматривает наказания для пользователей за использование VPN, операторы могут ограничивать доступ к своим услугам в одностороннем порядке. Поэтому перед использованием обходных методов стоит взвесить все риски и, возможно, предпочесть легальные альтернативы, такие как выбор оператора без ограничений или использование домашнего интернета.

Перспективы и будущее белых списков

Белые списки продолжают развиваться: список пополняется новыми ресурсами, но процесс идёт неравномерно. Минцифры обещало обновлять перечень еженедельно, но на практике обновления происходят реже. Наблюдается несоответствие между списками разных операторов, что создаёт путаницу. Эксперты отмечают, что отсутствие чёткого регулирования делает процесс включения в список непрозрачным и потенциально коррупциогенным.

В будущем возможно расширение белых списков, включение новых категорий ресурсов, а также унификация правил между операторами. Однако технические методы обхода также будут совершенствоваться. Например, уже сейчас обнаружены VPN-серверы в белых списках, что говорит о несовершенстве фильтрации. Вопрос о том, насколько долго белые списки останутся эффективными, остаётся открытым. Пока они работают, пользователям приходится адаптироваться, выбирая между легальными способами и техническими обходными путями.

Вопросы и ответы