Обход белых списков на мобильном интернете МегаФона: технические методы и практические советы

Что такое белые списки и как они работают на МегаФоне

Белые списки — это механизм фильтрации интернет-трафика, при котором доступ разрешён только к заранее одобренным ресурсам, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные сайты, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». На практике это означает, что при включении такого режима у вас пропадает доступ к большинству зарубежных сервисов, но продолжают работать российские государственные порталы, банки, маркетплейсы и соцсети.

У МегаФона белые списки внедрены в рамках требований Минцифры и используются в периоды внешних угроз или массовых блокировок. Оператор публикует официальный перечень доступных сервисов, который регулярно обновляется. Согласно данным с сайта МегаФона, в список входят Госуслуги, все сервисы VK и Яндекса, крупные банки (Альфа-Банк, ВТБ, ПСБ, Газпромбанк), маркетплейсы (Ozon, Wildberries), видеоплатформы (Кинопоиск, RUTUBE) и многие другие. При этом важно понимать, что список не статичен — он дополняется и корректируется.

Технически фильтрация реализована на двух уровнях: сетевом (L3) и прикладном (L7). На L3 проверяется IP-адрес назначения: если он не входит в разрешённые подсети, пакет просто отбрасывается. На L7 с помощью DPI (Deep Packet Inspection) анализируется SNI (Server Name Indication) в TLS-запросе, и если домен находится в чёрном списке, соединение разрывается. Эта двухуровневая архитектура определяет, какие методы обхода будут работать, а какие нет.

Какие сайты и сервисы остаются доступны в белом списке МегаФона

Официальный перечень белого списка МегаФона включает несколько категорий. Прежде всего, это государственные сервисы: Госуслуги, Госключ, сайты Правительства, ФНС, МЧС, МВД, а также платформа дистанционного электронного голосования. Финансовый сектор представлен платёжной системой «Мир», СБП, Московской биржей и крупнейшими банками — Альфа-Банк, ВТБ, ПСБ, Газпромбанк. Интересно, что Сбербанк в списке отсутствует, хотя его корпоративный сервис видеозвонков salutejazz.ru доступен.

Из коммерческих сервисов в белый список включены Ozon, Wildberries, Самокат, Купер, Магнит, Азбука вкуса, а также сетевые ретейлеры вроде Пятёрочки и Перекрёстка. Видеоконтент представлен Кинопоиском, RUTUBE, Okko, Иви, PREMIER. Все сервисы VK (ВКонтакте, Одноклассники, Дзен, Mail.ru, мессенджер МАКС) и Яндекса (Такси, Еда, Музыка, Навигатор, Карты) работают без ограничений. Также доступны транспортные сервисы — РЖД, Аэрофлот, S7, такси «Максим», Ситидрайв, и новостные ресурсы — РБК, РИА Новости, Коммерсантъ, Lenta.Ru.

Важно отметить, что список может отличаться в разных регионах и у разных операторов. Например, у МТС и Билайна перечни несколько иные, хотя базовая структура схожа. Кроме того, как показывают исследования, реальный белый список на уровне IP-адресов значительно шире официального — в него попадают тысячи подсетей российских хостинг-провайдеров и облачных платформ, что создаёт возможности для обхода.

Как устроена фильтрация на уровне IP и SNI: технические детали

Фильтрация в режиме белых списков работает в два этапа. Сначала пакет проверяется на уровне L3: если IP-адрес назначения не входит в разрешённый список подсетей (CIDR), пакет отбрасывается маршрутизатором ещё до попадания в DPI. Это означает, что для не-вайтлист IP не работает вообще ничего — ни ICMP, ни TCP на любых портах, ни UDP. Пакеты физически не покидают сеть оператора.

Если IP-адрес разрешён, трафик проходит на уровень L7, где DPI анализирует SNI в TLS ClientHello. Если SNI находится в чёрном списке (например, twitter.com или youtube.com), соединение разрывается с помощью RST-пакета. При этом важно понимать, что чёрный список SNI не является глобальным — он может различаться для разных подсетей. Например, SNI telegram.org через IP Яндекса пропускается, а через IP VK или MAX — блокируется. Это создаёт неконсистентность, которую можно использовать для обхода.

Ещё одна важная деталь: фильтрация по портам. Для разрешённых IP работают только TCP-порты 80, 443 и 22. Весь UDP-трафик, включая DNS, QUIC и WireGuard, блокируется. Это значит, что стандартные VPN-протоколы на UDP-портах не будут работать, даже если IP сервера в белом списке. Для обхода необходимо использовать TCP-туннели или специальные настройки.

Почему стандартные VPN и прокси не работают в режиме белых списков

Многие пользователи пытаются обойти блокировки с помощью обычных VPN-сервисов, но в режиме белых списков это почти всегда бесполезно. Основная причина — фильтрация на уровне IP. Если IP-адрес VPN-сервера не входит в белый список, пакеты до него просто не дойдут, независимо от протокола или шифрования. Большинство коммерческих VPN-сервисов используют зарубежные серверы, которые заведомо не входят в российские белые списки.

Даже если VPN-сервер находится в России, но его IP не в белом списке, соединение не установится. Кроме того, многие VPN-протоколы работают поверх UDP (WireGuard, OpenVPN по умолчанию), а UDP-трафик в режиме белых списков блокируется почти полностью. Исключение составляют только отдельные порты, но они также фильтруются.

Некоторые пользователи пытаются использовать ECH (Encrypted Client Hello) для скрытия SNI, но это тоже не помогает. Во-первых, ECH блокируется ТСПУ. Во-вторых, даже если бы он работал, основная блокировка идёт по IP, а не по SNI. Шифрование имени домена бесполезно, когда сам IP-адрес назначения не разрешён. Поэтому для обхода белых списков необходимы методы, которые используют IP-адреса из белого списка и маскируют трафик под легитимные соединения.

Метод 1: VLESS + Reality на российском VPS — основной рабочий способ

Наиболее эффективный и стабильный метод обхода белых списков — использование протокола VLESS с расширением Reality на виртуальном сервере (VPS), расположенном в России и имеющем IP-адрес из белого списка. Этот метод работает, потому что трафик маскируется под обычное HTTPS-соединение с легитимным сайтом, а сам сервер находится в разрешённой подсети.

Для настройки потребуется:

• VPS у российского провайдера, чьи IP-адреса входят в белый список (например, Timeweb, Yandex Cloud, VK Cloud);
• домен с SNI, который не блокируется (например, vk.com, ya.ru или специальные домены из списка whitelisted);
• установка Xray или аналогичного прокси-сервера с поддержкой VLESS и Reality.

Пример конфигурации клиента: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision. Здесь важно использовать SNI, который не вызывает подозрений у DPI. Хорошие варианты — домены Яндекс CDN (storage.yandex.net, yastatic.net), VK CDN (userapi.com, vkuser.net) или хостингов (hosting.reg.ru).

Провайдеры VPS имеют свои особенности. Timeweb предлагает бесплатную смену IP-адреса, что удобно, если текущий IP заблокирован. Yandex Cloud даёт грант 4000 рублей при регистрации и высокий шанс попасть в белый список, но серверы могут быстро блокироваться за нарушения. VK Cloud отличается стабильностью, но сложнее в верификации и дороже. Выбор провайдера зависит от ваших приоритетов: скорость настройки, стоимость или надёжность.

Метод 2: Использование Yandex Cloud Functions как прокси

Альтернативный метод обхода — использование serverless-функций Yandex Cloud в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех операторов, включая МегаФон. Это связано с тем, что Яндекс является ключевым провайдером для государственных сервисов, и его инфраструктура не может быть заблокирована.

Yandex Cloud Functions предоставляет бесплатный тариф, который включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Это достаточно для личного использования. Суть метода: вы создаёте функцию, которая принимает запросы от вашего устройства и перенаправляет их на целевые сайты. По сути, это HTTP-прокси, работающий через домен functions.yandexcloud.net.

Для реализации потребуется написать небольшой код (например, на Python или Node.js), который будет обрабатывать входящие запросы и возвращать ответы от целевых серверов. Клиентская часть может быть реализована как SOCKS5-прокси, который перенаправляет трафик через функцию. DPI не применяется к IP-адресам Яндекса на уровне L3 и L7, поэтому трафик проходит без блокировок.

Этот метод менее гибкий, чем VLESS + Reality, но он не требует собственного VPS и может быть полезен для тех, кто хочет быстро получить доступ к заблокированным ресурсам без сложной настройки. Однако стоит учитывать, что serverless-функции имеют ограничения по времени выполнения и объёму передаваемых данных, поэтому для тяжёлого трафика (например, видео) он может не подойти.

Какие ещё методы существуют и насколько они эффективны

Помимо VLESS + Reality и Yandex Cloud Functions, существуют и другие методы обхода, но их эффективность сильно варьируется. Один из них — использование IP-адресов из белого списка с нестандартными портами. Как уже упоминалось, для разрешённых IP работают TCP-порты 80, 443 и 22. Если вы арендуете VPS и получаете IP из белого списка, можно поднять SSH-туннель на порту 443, который будет маскироваться под HTTPS. Это простой метод, но он менее устойчив к обнаружению, чем VLESS + Reality.

Другой подход — использование CDN-сервисов, которые входят в белый список. Например, если у вас есть сайт на CDNvideo или Okcdn, вы можете использовать их инфраструктуру для проксирования трафика. Однако это требует технических знаний и может быть нестабильно.

Также стоит упомянуть метод с использованием GitLab-серверов, которые случайно попадают в белый список. Например, ittask-git.gitlab.yandexcloud.net открывается напрямую через мобильный интернет в режиме белых списков. Это можно использовать для создания туннеля, но такие возможности непостоянны и могут быть закрыты в любой момент.

Важно понимать, что все методы обхода имеют свои ограничения и риски. Во-первых, белые списки постоянно обновляются, и то, что работает сегодня, может перестать работать завтра. Во-вторых, использование обходных методов может нарушать условия предоставления услуг оператора и законодательство, поэтому следует оценивать риски самостоятельно.

Особенности работы DNS в режиме белых списков на МегаФоне

В режиме белых списков у МегаФона блокируются все внешние DNS-серверы, включая Google Public DNS (8.8.8.8), Cloudflare (1.1.1.1) и Яндекс DNS (77.88.8.8). При попытке выполнить запрос к ним происходит таймаут. Работает только DNS-сервер самого оператора, например 10.233.58.133 для МегаФона. Это означает, что вы не можете использовать DoH (DNS over HTTPS) или DoT (DNS over TLS) для обхода блокировок, так как эти сервисы также заблокированы.

Эта особенность важна для настройки обходных методов. Если вы используете VLESS + Reality, DNS-запросы будут проходить через прокси, поэтому они не будут блокироваться. Однако если вы пытаетесь настроить прокси на уровне системы, убедитесь, что DNS-запросы также направляются через туннель, иначе они будут использовать DNS оператора и могут привести к утечкам.

Также стоит отметить, что в белом списке МегаФона разрешены только TCP-порты 80, 443 и 22 для IP-адресов из списка. UDP-трафик, включая DNS, блокируется. Поэтому любые VPN-протоколы, использующие UDP, не будут работать, даже если IP сервера в белом списке. Это необходимо учитывать при выборе метода обхода.

География и нестабильность белых списков: что нужно знать

Белые списки работают неравномерно как по регионам, так и по времени. Согласно исследованиям, в Москве режим белых списков включается эпизодически, примерно на 3 часа, в Санкт-Петербурге — редко, иногда бывают недели без ограничений. В большинстве других регионов белые списки работают постоянно, 24/7. При этом у разных операторов в одном регионе правила могут отличаться: у МегаФона и Т2 белые списки могут работать постоянно, у МТС — по расписанию, у Билайна — свои особенности.

Даже в пределах одного города ситуация может меняться от точки к точке. Например, на одной остановке один IP-адрес работает, на следующей — уже нет, а через километр белые списки могут быть отключены вовсе. Это связано с тем, что фильтрация реализована на уровне отдельных вышек и узлов связи. Поэтому, если вы столкнулись с блокировкой, попробуйте переместиться — возможно, в другом районе доступ будет восстановлен.

Кроме того, сами списки разрешённых IP-адресов постоянно меняются. Что-то добавляют, что-то убирают. Например, в ходе сканирования было обнаружено, что в белый список входят 63 126 IP-адресов из 46 миллионов российских адресов, что составляет около 0,14%. Эти списки обновляются еженедельно, и для актуальной информации рекомендуется следить за открытыми репозиториями, например openlibrecommunity/twl.

Из-за такой нестабильности любой метод обхода требует постоянного мониторинга и адаптации. Если ваш VPS-сервер перестал работать, возможно, его IP-адрес был исключён из белого списка. В этом случае поможет смена IP (например, у Timeweb это бесплатно) или использование другого провайдера.

Практические рекомендации и меры предосторожности

Если вы решили использовать методы обхода белых списков, важно соблюдать несколько практических рекомендаций. Во-первых, выбирайте VPS-провайдера с высокой вероятностью попадания в белый список. Согласно данным сканирования, лидерами являются Yandex Cloud (12 906 IP), Timeweb (2 904 IP), Ростелеком (2 312 IP), VK (1 958 IP) и другие. Чем больше IP-адресов у провайдера в белом списке, тем выше шанс, что ваш сервер будет доступен.

Во-вторых, используйте SNI-домены, которые точно не блокируются. Из сканирования 1176 whitelisted доменов хорошими вариантами являются storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru. Избегайте SNI, которые явно ассоциируются с заблокированными ресурсами, например twitter.com или youtube.com — они могут вызвать RST.

В-третьих, регулярно проверяйте доступность вашего сервера. Если соединение перестало устанавливаться, возможно, IP был исключён из белого списка. В этом случае смените IP-адрес или перейдите на другого провайдера. Также следите за обновлениями в открытых источниках, где публикуются актуальные списки.

Наконец, помните о юридических аспектах. Обход белых списков может рассматриваться как нарушение законодательства, особенно если это делается для доступа к запрещённым ресурсам. Используйте эти знания ответственно и только для легальных целей, например для доступа к заблокированным по ошибке сервисам или для обеспечения связи в чрезвычайных ситуациях.

Вопросы и ответы