Белые списки VK.com и других сайтов: как работает whitelist-режим и что делать

Что такое белые списки и почему VK.com открывается, а Google — нет

Белые списки — это режим ограничения доступа к интернету, при котором разрешены только заранее одобренные сайты и сервисы, а всё остальное блокируется. В отличие от привычных чёрных списков, где запрещены конкретные ресурсы, здесь работает обратный принцип: запрещено всё, кроме явно разрешённого.

Когда режим активен, пользователь мобильного интернета замечает, что VK.com, Госуслуги, Wildberries и Яндекс открываются, а Telegram, YouTube, Google и большинство зарубежных сайтов — нет. При этом физический сигнал есть, байты идут, но ТСПУ (технические средства противодействия угрозам) решает, какие пакеты пропустить, а какие отбросить.

Важно понимать: белые списки касаются в первую очередь мобильного интернета операторов «большой четвёрки» — МТС, МегаФон, Билайн и Tele2. Домашний проводной интернет и Wi-Fi обычно работают без ограничений, хотя в некоторых случаях и они могут быть затронуты, если провайдер использует мобильную инфраструктуру для магистрального трафика.

Как технически устроена фильтрация: два уровня блокировки

Белые списки работают на двух уровнях одновременно.

Уровень 1 (L3, сетевой) — фильтрация по IP-адресам. ТСПУ проверяет, входит ли IP-адрес назначения в список разрешённых подсетей. Если нет — пакеты просто исчезают, не покидая сеть оператора. Это не разрыв соединения с RST-флагом, а намеренное замораживание: пользователь видит бесконечную загрузку и таймаут.

Уровень 2 (L7, прикладной) — DPI (deep packet inspection) анализирует SNI (Server Name Indication) в TLS-рукопожатии. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается. Порядок проверки такой: пакет → проверка IP → если IP разрешён, проверка SNI → если SNI не запрещён, трафик проходит.

На практике это означает, что для не-вайтлист IP (Google, Telegram, Twitter) не работает вообще ничего: ни ICMP, ни TCP:80, ни TCP:443, ни UDP. Для разрешённых IP работают только TCP-порты 80, 443 и 22, а UDP режется почти весь, включая QUIC, DNS и WireGuard на стандартных портах.

Что входит в белый список: VK.com, Госуслуги, маркетплейсы и другие

Состав белого списка не публикуется официально, но энтузиасты провели сканирование и выяснили примерный перечень. По оценкам, в список входит около 1000 доменов из миллиона самых популярных в мире — примерно 0,1%.

Что точно работает в режиме белого списка:

• Госуслуги и сайты госорганов: президент, Правительство, Госдума, министерства, региональные власти.
• Маркетплейсы: Wildberries, Ozon, Яндекс Маркет, а также 2ГИС и Авито.
• Вся экосистема Яндекса: поиск, Карты, Такси, Музыка, Лавка, Доставка.
• Соцсети и мессенджеры: VK, OK, Mail.ru, новый мессенджер MAX (max.ru).
• Банковские приложения крупных банков, хотя, по данным сканирования, Сбербанк может отсутствовать в списке, а вот сервис видеозвонков salutejazz.ru — присутствует.
• Личные кабинеты операторов МТС, МегаФон, Билайн, Tele2.

Что точно не работает: Telegram (даже мессенджер), WhatsApp, YouTube, Instagram, Discord, Roblox, ChatGPT, GitHub, Google, англоязычная Википедия, App Store и Google Play.

Важно: списки различаются у разных операторов и даже в разных регионах. То, что работает у МегаФона, может не работать у МТС, и наоборот.

Почему VK.com открывается, а другие сайты нет: роль SNI и IP

Ключевая особенность белых списков — фильтрация по IP-адресам. VK.com и другие разрешённые ресурсы имеют IP-адреса, которые входят в белый список. Поэтому трафик к ним проходит на сетевом уровне.

Однако есть нюанс: даже если IP-адрес разрешён, ТСПУ проверяет SNI. Например, при подключении к IP Яндекса с SNI google.com соединение может пройти, но вернуть HTTP-ошибку 406. А вот SNI twitter.com через некоторые IP вызывает RST (разрыв соединения).

Интересно, что правила SNI-фильтрации неконсистентны: один и тот же SNI через IP Яндекса пропускается, а через IP VK или MAX — режется. Это говорит о том, что единого общего чёрного списка SNI нет, и правила могут различаться в зависимости от ASN (автономной системы) и конкретного узла ТСПУ.

Для пользователя это означает: даже если сайт технически доступен по IP, но его SNI в чёрном списке, соединение будет разорвано. Поэтому при настройке обхода важно использовать SNI из белого списка.

Где физически находится ТСПУ и как это влияет на обход

ТСПУ установлено у операторов связи. Определить его местоположение можно по TTL (time to live) пакетов. Когда пакет проходит через роутер, TTL уменьшается на единицу. Если ответ от ya.ru приходит с TTL 53 (11 хопов), это настоящий сервер. А если «ответ» от Telegram приходит с TTL 62 (2 хопа), значит, его сгенерировало устройство, стоящее сразу за первым роутером оператора.

Это подтверждает, что фильтрация происходит на стороне оператора, а не на стороне конечного сервера. Для обхода это означает, что нужно маскировать трафик так, чтобы ТСПУ не могло его отличить от разрешённого.

География работы белых списков неравномерна: в Москве режим включается эпизодически на несколько часов, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно 24/7. Причём даже в пределах одного города режим может меняться от вышки к вышке.

Какие VPN-протоколы реально работают в режиме белого списка

Не все VPN-протоколы способны обойти белые списки. Чистые WireGuard, OpenVPN, Trojan и Shadowsocks не работают, так как их сигнатуры известны ТСПУ и handshake режется ещё на этапе подключения.

Рабочие протоколы:

• VLESS + Reality — самый стойкий вариант. Reality маскирует TLS-handshake под обращение к настоящему публичному сайту. Критично: SNI должен быть из белого списка (например, yandex.ru, mail.ru, vk.com, max.ru, ok.ru, ozon.ru, wildberries.ru, 2gis.ru). Иначе ТСПУ не пропустит даже сам handshake.
• AmneziaWG — российская модификация WireGuard от команды Amnezia. Перед обычным handshake передаются junk-пакеты со случайными заголовками, из-за чего ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP.
• Hysteria2 — современный протокол на QUIC поверх UDP, маскируется под обычный HTTP/3-трафик. Хорошо работает на нестабильных мобильных сетях благодаря собственному контролю перегрузки Brutal.

Важно: даже если VPN-клиент показывает «подключено», это не гарантирует доступ к интернету. ТСПУ может пропустить handshake, но заморозить трафик после 16-20 килобайт данных. Поэтому нужно проверять фактическую загрузку сайтов.

Как настроить обход белого списка: практические советы

Если вы столкнулись с режимом белого списка, вот что можно сделать.

1. Переключитесь на Wi-Fi. Если рядом есть Wi-Fi, подключитесь к нему — режим белого списка чаще всего касается только мобильной передачи данных. Но учтите: если провайдер использует мобильную инфраструктуру, Wi-Fi может не помочь.

2. Используйте VPN с поддержкой Reality, AmneziaWG или Hysteria2. Популярные клиенты: v2RayTun, Happ, AmneziaVPN, Hiddify Next, Karing, NekoBox.

3. Проверьте SNI. Если используете VLESS+Reality, убедитесь, что SNI — это домен из белого списка (например, yandex.ru или max.ru).

4. Попробуйте разные серверы. Если один сервер не работает, возможно, его IP уже заблокирован. Переключитесь на другую локацию.

5. Настройте автоматическое подключение VPN при включении устройства, чтобы при следующей блокировке не пришлось настраивать всё в спешке.

6. Рассмотрите двойной туннель. Энтузиасты описывают технику: клиент → российский VPS с «белым» IP → зарубежный VPS → интернет. Между серверами трафик фильтруется слабее, чем при прямом подключении. Минусы: нужны два VPS и навыки настройки.

Особенности DNS в режиме белого списка

В режиме белого списка внешние DNS-серверы (Google 8.8.8.8, Cloudflare 1.1.1.1, Яндекс 77.88.8.8) становятся недоступны — порт UDP:53 на них закрыт. Работает только DNS самого провайдера.

Например, у МегаФона внешние DNS дают таймаут, а собственный DNS оператора (10.233.58.133) работает. Это значит, что резолвинг доменов происходит только через DNS оператора, который, вероятно, настроен на выдачу IP-адресов из белого списка.

Для пользователя это означает, что при настройке VPN или прокси нужно учитывать, что DNS-запросы к сторонним серверам не пройдут. Используйте DNS провайдера или настройте DNS внутри VPN-туннеля.

Что делать, если VPN не подключается в режиме белого списка

Если VPN не работает, действуйте по порядку:

1. Переключите протокол на VLESS+Reality, AmneziaWG или Hysteria2.
2. Проверьте SNI — он должен быть из белого списка.
3. Смените сервер — возможно, текущий сервер заблокирован.
4. Перезапустите клиент — иногда помогает.
5. Проверьте, не включён ли режим белого списка — если открываются только Госуслуги и VK, а Telegram нет, значит, режим активен.

Если ничего не помогает, скорее всего, конкретный VPN-сервер уже заблокирован у вашего оператора. Попробуйте другой VPN-сервис.

Также стоит помнить, что универсального способа обхода не существует: то, что работает у одного оператора, может не работать у другого. Списки постоянно меняются, поэтому важно следить за обновлениями в сообществах и использовать актуальные инструменты.

Как узнать, включён ли белый список, и что делать, если он активен

Определить, включён ли белый список, просто: откройте Госуслуги, Wildberries или VK — если они работают, а Telegram, YouTube или Google грузятся бесконечно, значит, режим активен. При этом Wi-Fi и домашний проводной интернет работают нормально.

Минцифры публикует анонсы и обновления состава списка в своём Telegram-канале @mintsifry, но полный перечень официально не раскрывается.

Если белый список включён, первым делом переключитесь на Wi-Fi. Если Wi-Fi нет, установите VPN-клиент с поддержкой Reality, AmneziaWG или Hysteria2 и настройте подключение. Помните, что режим может длиться от часа-двух до нескольких суток, поэтому лучше заранее настроить автоматическое подключение VPN.

Также полезно следить за сообщениями в локальных Telegram-каналах и сообществах, где пользователи делятся актуальной информацией о работе белых списков в конкретных регионах.

Вопросы и ответы