Обход белых списков интернета: технические методы, ограничения и практические схемы

Что такое белый список интернета и как он работает

Белый список — это модель фильтрации трафика, при которой разрешены только соединения с заранее определёнными IP-адресами или доменами. Всё, что не входит в список, блокируется на уровне маршрутизации или файрвола провайдера. В отличие от чёрных списков, где запрещены конкретные ресурсы, белый список по умолчанию запрещает всё, что не разрешено явно.

На практике это означает, что при включении такого режима на мобильной сети или у провайдера пользователь может заходить только на сайты из перечня — например, госуслуги, банковские приложения, популярные соцсети. Всё остальное, включая VPN-серверы, становится недоступным, поскольку их адреса не внесены в список.

Важно понимать: блокировка происходит не на уровне сигнала или физического отключения 4G, а на уровне фильтрации пакетов. Сеть может работать, но пакеты, направленные на неразрешённые адреса, просто отбрасываются. Это похоже на корпоративный файрвол, где администратор разрешает доступ только к определённым ресурсам.

Почему обычный VPN не работает при белых списках

Классический VPN-клиент устанавливает зашифрованное соединение с VPN-сервером, который находится за пределами блокируемой сети. Однако при белом списке ваш запрос на подключение к этому серверу направляется на IP-адрес, который не входит в разрешённый перечень. Пакет отбрасывается ещё до того, как будет установлено соединение.

Даже если VPN-сервер использует нестандартный порт или протокол, это не помогает: фильтрация работает на уровне IP-адресов, а не портов. Пока адрес сервера не в белом списке, соединение невозможно.

Некоторые пользователи пытаются использовать DNS-туннели или другие методы маскировки трафика, но это требует либо ошибки в конфигурации сети, либо наличия разрешённого сервера, через который можно проксировать трафик. В условиях строгого белого списка такие лазейки редки и быстро закрываются.

Схема с цепочкой серверов: как она работает

Один из немногих рабочих способов обойти белый список — использование цепочки из двух серверов: промежуточного (моста) внутри страны и выходного за рубежом. Идея в том, что мост имеет IP-адрес, который входит в белый список (например, принадлежит крупному облачному провайдеру), и ТСПУ или файрвол провайдера пропускает трафик к нему.

Клиент подключается к мосту, который затем перенаправляет трафик на зарубежный сервер. Для системы фильтрации это выглядит как обычный обмен данными между двумя серверами, который блокируется гораздо слабее, чем прямое подключение пользователя к иностранному хостингу.

Настройка такой цепочки требует двух серверов: один в РФ (например, Яндекс.Облако, VK Cloud, EDGE), другой за границей. На обоих устанавливается Xray-core с поддержкой VLESS и Reality. Мост принимает трафик от клиента и через outbound отправляет его на выходной сервер. Важно, чтобы мост имел «белый» IP — это можно проверить, развернув на нём веб-сервер на 443 порту и попробовав открыть его с мобильного интернета без VPN.

Почему ТСПУ «замораживает» сессии и как это влияет на VPN

Современные системы фильтрации, такие как ТСПУ, перешли от простого сброса соединений (RST) к более изощрённому методу — «заморозке» сессии. Это означает, что после передачи определённого объёма данных (например, 15–20 КБ) пакеты перестают доходить до получателя, но соединение формально остаётся открытым. Клиент висит до таймаута, а пользователь не получает данные.

Такой подход сложнее обнаружить и обойти, поскольку он не разрывает соединение явно, а просто перестаёт пропускать трафик. Для VPN-протоколов это критично: даже если установлено соединение, после первых килобайт данных оно «замерзает», и ничего не работает.

Цепочка серверов помогает и здесь: трафик между мостом и выходным сервером идёт по серверным каналам, которые фильтруются слабее, чем пользовательские. Кроме того, использование современных версий Xray-core с поддержкой Reality позволяет маскировать трафик под обычный TLS, что снижает вероятность детектирования.

Выбор хостинга для «белого» IP: что учесть

Ключевой элемент схемы — мост с IP-адресом, который не блокируется. Не все облачные провайдеры предоставляют такие адреса. По опыту пользователей, наиболее надёжным вариантом является Яндекс.Облако, но нужно искать подходящие диапазоны IP. VK Cloud часто имеет «серые» адреса, которые не проходят фильтр. EDGE Cloud также упоминается как вариант с CDN.

Проверить, является ли IP «белым», можно так: разверните на сервере простой веб-сервер на 443 порту и попробуйте открыть его с мобильного интернета (МТС, Мегафон) без VPN. Если сайт открывается — адрес подходит. Если нет — нужно искать другой сервер или диапазон.

Важно помнить, что «белые» IP — это лотерея: даже у одного провайдера разные подсети могут вести себя по-разному. Некоторые пользователи перебирают несколько серверов, прежде чем находят рабочий.

Настройка цепочки: пошаговое руководство

Для настройки цепочки вам понадобятся два сервера с установленным Xray-core (версия не ниже 25.12.8, чтобы избежать детектирования через анализ TLS 1.3 NewSessionTicket).

Шаг 1. Настройка зарубежной ноды. На выходном сервере создайте обычный VLESS-инбаунд. Используйте транспорт xhttp в режиме packet-up — это снижает нагрузку и делает трафик менее заметным.

Шаг 2. Настройка моста (РФ-нода). В конфиге Xray на российском сервере добавьте outbound, который будет отправлять трафик на европейскую ноду. Пример конфигурации:

{
  "outbounds": [
    {
      "tag": "chain-to-europe",
      "protocol": "vless",
      "settings": {
        "vnext": [
          {
            "address": "ip-вашей-евро-ноды",
            "port": 443,
            "users": [
              {
                "id": "uuid-вашего-юзера-на-евро-ноде",
                "flow": "xtls-rprx-vision",
                "encryption": "none"
              }
            ]
          }
        ]
      },
      "streamSettings": {
        "network": "xhttp",
        "security": "reality",
        "realitySettings": {
          "fingerprint": "chrome",
          "serverName": "vkvideo.ru",
          "publicKey": "ваш-pbk-с-евро-ноды",
          "shortId": "ваш-sid"
        },
        "xhttpSettings": {
          "mode": "packet-up",
          "path": "/api/v1/update"
        }
      }
    },
    {
      "protocol": "freedom",
      "tag": "DIRECT"
    }
  ]
}

Шаг 3. Настройка роутинга. На мосту настройте правила, чтобы российские сайты (ВК, Госуслуги, Яндекс) шли напрямую, а заблокированные — через цепочку. Это экономит трафик и ускоряет доступ к локальным ресурсам.

"routing": {
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    {
      "type": "field",
      "outboundTag": "DIRECT",
      "domain": [
        "geosite:category-ru",
        "regexp:\\.ru$",
        "geosite:yandex",
        "full:cp.cloudflare.com"
      ]
    },
    {
      "type": "field",
      "inboundTag": ["inbound-от-клиента"],
      "outboundTag": "chain-to-europe"
    }
  ]
}

После настройки проверьте подключение. Если что-то не работает, проверьте версию ядра и правильность UUID.

Типичные проблемы и их решения

Проблема с iOS. На iPhone лимит памяти для VPN-процесса составляет около 50 МБ. Если в конфиг включены тяжёлые Geo-файлы, клиент может падать при старте. Решение — использовать режим packet-up вместо stream-up и облегчённые версии Geo-файлов.

WhatsApp или Instagram не работают. Иногда один сервис работает, а другой зависает. Попробуйте добавить IPv6 на выходную ноду или убрать поток vision из конфига для этих сервисов.

Низкая скорость. Если на каскаде сидит много пользователей, оптимизируйте параметры ядра в /etc/sysctl.conf:

net.core.somaxconn=9000000
net.ipv4.tcp_max_syn_backlog=9000000
net.ipv4.tcp_syncookies=0

Но будьте осторожны: отключение syncookies может снизить защиту от DDoS.

Сервер не подключается. Проверьте, что IP моста действительно «белый». Если нет — попробуйте другой сервер или диапазон.

Готовые сервисы для обхода белых списков

Если ручная настройка кажется сложной, можно воспользоваться готовыми сервисами, которые уже внедрили цепочки и имеют «белые» IP. Среди упоминаемых в обсуждениях:

• hynet.cloud — считается наиболее универсальным решением, стабильно работает на большинстве провайдеров и даёт хорошую скорость.
• Amnezia — работает неплохо, но пользователи жалуются на закрытость и сложности при настройке на одном VPS с другими сервисами.
• Voxiproxy — оптимизирован под мобильный трафик, лучше всего раскрывается на смартфонах.
• MamontVPN — фокусируется на решении проблем iOS.
• SayVPN — предлагает сложные связки через vnext под конкретные задачи.
• DuckVPN — на ряде провайдеров показывает результат, но есть жалобы на доступность через Мегафон и МТС.

Важно понимать, что эти сервисы могут менять свою работу, и то, что работает сегодня, может перестать работать завтра. Рекомендуется иметь запасной вариант.

Юридические и этические аспекты обхода блокировок

Обход белых списков и других ограничений доступа может нарушать законодательство страны, в которой вы находитесь. В России использование VPN для обхода блокировок не запрещено напрямую, но существует ответственность за предоставление таких услуг. Пользователи, которые просто подключаются к VPN, обычно не привлекаются к ответственности, но это не гарантия.

Кроме того, использование обходных схем может нарушать условия предоставления услуг облачных провайдеров. Если ваш сервер будет использоваться для проксирования трафика, это может привести к блокировке аккаунта.

Рекомендуется ознакомиться с местными законами и условиями использования сервисов, прежде чем предпринимать какие-либо действия.

Перспективы: что дальше

Системы фильтрации постоянно развиваются. Если сегодня цепочка серверов работает, завтра ТСПУ может начать блокировать и её. Уже сейчас наблюдается тенденция к «заморозке» сессий, что требует от пользователей более сложных конфигураций.

Некоторые пользователи мигрируют на панели управления типа Remnawave, которые позволяют гибко настраивать цепочки и маршруты без ручного редактирования конфигов. Это упрощает поддержку и адаптацию к новым методам блокировок.

В долгосрочной перспективе, возможно, появятся более устойчивые протоколы, которые будут сложнее детектировать. Но пока что цепочка серверов остаётся одним из немногих рабочих способов обойти белые списки.

Вопросы и ответы