Почему не работают даже белые списки: технические причины и способы обхода ограничений

Что такое белые списки и как они меняют интернет

Белые списки — это механизм фильтрации трафика, при котором доступ разрешён только к заранее одобренным ресурсам, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещено конкретное, здесь действует обратный принцип: запрещено всё, кроме явно разрешённого. Это радикально меняет логику работы сети: вместо точечных блокировок создаётся изолированное пространство, где выживают только избранные сервисы.

В России белые списки внедряются через технические средства противодействия угрозам (ТСПУ) — оборудование, которое устанавливается на сетях операторов. В обычном режиме ТСПУ работает как фильтр, отсеивающий запрещённый контент, но в режиме белых списков оно превращается в строгого контролёра, пропускающего только одобренный трафик. Это приводит к тому, что даже популярные и социально значимые ресурсы могут работать с перебоями, а доступ к остальному интернету полностью исчезает.

По данным исследований, в белые списки попадают в основном государственные сервисы, крупные IT-компании и отдельные медиа. Однако состав списка непостоянен и зависит от региона, оператора и текущей политики. Например, в некоторых регионах белые списки работают круглосуточно, в других — включаются эпизодически. Это создаёт неравномерность доступа и путаницу для пользователей.

Как технически устроена фильтрация: два уровня контроля

Фильтрация в белых списках работает на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне происходит проверка IP-адреса назначения: если он не входит в разрешённый список подсетей, пакет просто отбрасывается (drop) ещё до того, как достигнет DPI. Это означает, что для неразрешённых адресов не работает ни один протокол — ни TCP, ни UDP, ни ICMP.

На прикладном уровне ТСПУ анализирует SNI (Server Name Indication) в TLS-запросе. Даже если IP-адрес разрешён, но SNI содержит запрещённый домен, соединение разрывается (RST). Порядок проверки выглядит так: сначала IP, затем SNI. Если IP не в списке — пакет исчезает, если IP разрешён, но SNI в чёрном списке — соединение обрывается.

Интересная деталь: правила SNI-фильтрации не всегда консистентны. Например, один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о том, что настройки ТСПУ различаются для разных подсетей и операторов, что создаёт дополнительные сложности для пользователей и разработчиков.

Почему разрешённые сервисы всё равно не работают

Даже если сайт или приложение официально включены в белый список, это не гарантирует стабильной работы. Одна из главных причин — перегрузка оборудования ТСПУ. В режиме белых списков система должна проверять каждый пакет, сверять его с базой разрешённых адресов и принимать решение. В моменты пиковой нагрузки, когда миллионы пользователей одновременно пытаются зайти на разрешённые ресурсы, ТСПУ превращаются в «бутылочное горлышко»: пакеты встают в очередь или теряются.

Вторая причина — сложная архитектура современных сервисов. Сайт или приложение — это не один сервер, а множество компонентов: текст может подгружаться с одного адреса, изображения — с другого, а система оплаты — с третьего. Часто контент раздаётся через CDN (Content Delivery Network) — сеть серверов по всему миру. В белый список вносят только основной домен, а служебные адреса CDN остаются заблокированными. В результате приложение формально работает, но пользоваться им невозможно: картинки не грузятся, скрипты не выполняются.

Третья причина — бюрократическая. Крупные IT-компании используют динамические IP-адреса для защиты от DDoS-атак и балансировки нагрузки. Адрес сервера может меняться несколько раз в день, а обновление белых списков происходит с задержкой. Пока новый пул IP-адресов пройдёт все согласования, он может устареть. Это особенно актуально для банков и маркетплейсов, чья инфраструктура постоянно меняется.

Банковский парадокс: почему гиганты остаются за бортом

Отсутствие крупнейших банков в белых списках вызывает много вопросов. Например, Сбер и Т-Банк часто недоступны, хотя их сервисами пользуются миллионы. Причина кроется не в политике, а в архитектуре безопасности. Банковские приложения используют сложные протоколы шифрования и технологии, которые разрывают соединение при любой попытке вмешательства. ТСПУ, работающие через DPI, пытаются анализировать трафик, что воспринимается приложением как атака.

Кроме того, банковские приложения — это супераппы, внутри которых встроены маркетплейсы, сервисы бронирования и другие функции. Технически это означает, что приложение обращается к тысячам разных узлов, и даже если основной IP-адрес процессинга внесён в белый список, доступ к остальным серверам остаётся закрытым.

Ещё одна проблема — зависимость от внешних облаков. Многие банковские приложения полагаются на микросервисы, которые «живут» в серых зонах интернета. Например, система пуш-уведомлений часто завязана на серверы Google или Apple, которые в белые списки не попали. Без ответа от этих серверов приложение может зависнуть на этапе загрузки или не прислать код подтверждения для входа.

Что реально работает в режиме белых списков

Несмотря на все ограничения, некоторые сервисы продолжают работать стабильно. В первую очередь это государственные ресурсы, такие как «Госуслуги», и крупные российские платформы — VK, Яндекс, Ozon, Wildberries. Они включены в белые списки на постоянной основе и имеют достаточную техническую поддержку для адаптации.

Интересно, что в белых списках обнаруживаются и VPN-сервисы. Например, государственные VPN для госслужащих, а также некоторые коммерческие VPN-провайдеры, чьи серверы размещены в России. Это создаёт лазейку для обхода ограничений, хотя и не всегда очевидную.

Также работают сервисы, которые используют IP-адреса из подсетей, включённых в белые списки. Например, если ваш сервер размещён в Yandex.Cloud или на хостинге Timeweb, он может быть доступен, даже если его домен не входит в официальный список. Это связано с тем, что фильтрация идёт по IP-адресам, а не по доменам.

Способы обхода: что помогает, а что нет

Многие пользователи пытаются обойти белые списки с помощью VPN, но обычные VPN-сервисы на зарубежных серверах не работают, потому что их IP-адреса не входят в белый список. Однако есть методы, которые действительно помогают.

Первый метод — использование VLESS + Reality на российском VPS. Для этого нужен сервер с IP-адресом, который входит в белый список (например, в Yandex.Cloud или Timeweb), и SNI разрешённого домена (например, vk.com). Технология Reality маскирует трафик под обычное HTTPS-соединение, что позволяет обойти DPI.

Второй метод — использование протоколов, которые не блокируются ТСПУ. Например, TCP-соединения на портах 80 и 443 работают, в то время как UDP-трафик (включая QUIC и WireGuard) режется почти полностью. Поэтому настройка VPN поверх TCP может быть более эффективной.

Третий метод — использование DNS-серверов оператора. В режиме белых списков внешние DNS (Google, Cloudflare) блокируются, но DNS провайдера работает. Это позволяет резолвить домены, которые не входят в чёрный список SNI, и подключаться к ним, если их IP-адреса разрешены.

Практические советы: как подготовиться к ограничениям

Если вы находитесь в регионе, где белые списки работают постоянно, важно заранее подготовиться. Во-первых, скачайте карты, развлекательный контент и важные документы на устройство. Во-вторых, сохраните QR-коды доставки и онлайн-бронирования, чтобы они были доступны офлайн. В-третьих, создайте копии файлов на разных носителях и запаситесь наличными — в условиях ограничений банковские приложения могут не работать.

Также стоит установить приложения, которые работают в белых списках, и проверить их функциональность. Например, приложения для мониторинга здоровья, такие как системы контроля уровня глюкозы, часто включены в списки. Убедитесь, что у вас есть доступ к ним.

Если вам критически важен доступ к заблокированным ресурсам, рассмотрите возможность настройки собственного VPN-сервера на российском хостинге. Это требует технических навыков, но может быть единственным надёжным способом обойти ограничения.

География и нестабильность: почему всё меняется от точки к точке

Белые списки работают неравномерно не только по регионам, но и по отдельным районам и даже точкам. Например, в Москве они включаются эпизодически, на несколько часов, а в большинстве регионов работают круглосуточно. При этом у разных операторов свои правила: у Мегафона и Т2 в одном регионе белые списки могут работать постоянно, а у МТС — по расписанию.

Даже в пределах одного города ситуация может меняться: на одной остановке интернет работает нормально, на следующей — уже нет. Это связано с тем, что ТСПУ устанавливаются на уровне базовых станций, и их настройки могут различаться. Кроме того, списки разрешённых IP-адресов постоянно обновляются, что добавляет хаоса.

Для пользователей это означает, что нельзя полагаться на стабильность доступа. Даже если сервис работал вчера, сегодня он может быть недоступен. Поэтому важно иметь несколько запасных вариантов для связи и доступа к информации.

Будущее белых списков: что нас ждёт

Текущая ситуация с белыми списками — это не временные трудности, а часть более широкого тренда на изоляцию российского интернета. Постепенно Рунет превращается в закрытую сеть, где доступ контролируется государством. Это приведёт к формированию двухскоростного интернета: с одной стороны, сервисы, готовые адаптироваться к требованиям, с другой — весь остальной рынок, для которого работа в таких условиях становится нерентабельной.

Для пользователей это означает, что привычные зарубежные сервисы будут становиться всё менее доступными, а российские аналоги — более популярными. Однако качество и безопасность этих аналогов могут снижаться из-за необходимости отказа от сложного шифрования и зарубежных партнёров.

В долгосрочной перспективе возможны два сценария: либо белые списки станут более гибкими и научатся работать с динамической инфраструктурой, либо изоляция усилится, и интернет окончательно превратится в интранет. Пока что второй сценарий выглядит более вероятным, судя по текущей динамике.

Вопросы и ответы