Что такое белый список и как он работает у МегаФона
Белый список (БС) — это режим фильтрации трафика, при котором разрешён доступ только к заранее одобренным ресурсам, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные сайты, здесь действует принцип «запрещено всё, кроме явно разрешённого». У МегаФона, как и у других операторов, белые списки реализованы через ТСПУ (технические средства противодействия угрозам), которые работают в режиме drop-all: пакеты, не соответствующие критериям, просто отбрасываются.
Фильтрация происходит на двух уровнях. Первый — сетевой (L3): проверяется IP-адрес назначения. Если он не входит в разрешённые подсети (CIDR), пакет уничтожается ещё до того, как дойдёт до DPI. Второй — прикладной (L7): если IP разрешён, ТСПУ анализирует SNI (Server Name Indication) в TLS-запросе ClientHello. Если SNI находится в чёрном списке, соединение разрывается (RST). Таким образом, даже если IP-адрес сервера в белом списке, но SNI не соответствует разрешённому домену, доступ будет заблокирован.
Важно понимать, что белые списки нестабильны: они могут включаться и выключаться в разных регионах, различаться у разных операторов и даже меняться от вышки к вышке. У МегаФона в одном регионе БС может работать постоянно, в другом — эпизодически. Поэтому то, что работало вчера, сегодня может перестать работать, и наоборот.
Почему SNI стал ключевым элементом обхода
Как проверить, какие SNI работают на МегаФоне
Методы обхода белого списка: от простых к сложным
Настройка VLESS + Reality на российском VPS
Использование CDN и облачных сервисов для обхода
Ограничения и риски: что не работает и почему
Практические советы по выбору SNI и настройке
Альтернативные подходы: TURN, DTLS и специализированные приложения
Будущее обхода белых списков: тенденции и прогнозы
Вопросы и ответы
Что такое SNI и почему он важен для обхода белого списка?
SNI (Server Name Indication) — это поле в TLS-запросе ClientHello, которое указывает имя хоста, к которому клиент хочет подключиться. При белых списках ТСПУ анализирует SNI и пропускает трафик только для разрешённых доменов. Подмена SNI позволяет замаскировать VPN-трафик под легитимный сервис, например, vk.com или ya.ru. Однако с ноября 2025 года операторы начали проверять соответствие SNI и IP-адреса, поэтому просто подмена SNI уже не всегда работает.
Какие SNI работают на МегаФоне в 2025 году?
По данным сообщества, на МегаФоне работают такие SNI, как vk.com, ya.ru, stats.vk-portal.net, sun6-21.userapi.com, avatars.mds.yandex.net, queuev4.vk.com, eh.vk.com, akashi.vk-portal.net, st.ozone.ru, splitter.wb.ru, a.wb.ru, alfabank.ru, sba.yandex.net, login.vk.com, dzen.ru, goya.rutube.ru, www.kinopoisk.ru, speller.yandex.net, www.wildberries.ru, www.ozon.ru, ok.ru, yandex.ru. Однако доступность может меняться в зависимости от региона и времени, поэтому рекомендуется проверять актуальные списки.
Почему VLESS + Reality перестал работать на МегаФоне?
С ноября 2025 года операторы начали блокировать VLESS + Reality, если IP-адрес сервера не соответствует SNI. ТСПУ сравнивает IP-адрес, на который резолвится домен, указанный в SNI, с фактическим IP-адресом назначения. Если они не совпадают, соединение блокируется. Чтобы обойти это, нужно использовать VPS с IP-адресом из белого списка, например, из Yandex.Cloud или VK Cloud, и выбирать SNI, который резолвится в этот же IP-адрес.
Как проверить, работает ли SNI на моём операторе?
Можно использовать скрипт с openssl: openssl s_client -connect domain:443 -servername domain. Если handshake успешен, SNI, скорее всего, работает. Однако это не гарантирует, что трафик будет пропущен, так как DPI может блокировать SNI на уровне приложения. Лучше проверить фактическое подключение через VPN-клиент. Также можно использовать готовые списки SNI с 4PDA и проверять их в вашем регионе.
Какие методы обхода белого списка наиболее эффективны сейчас?
Наиболее эффективными считаются методы, использующие CDN (например, VK Cloud CDN или Yandex Cloud CDN) и TURN-серверы VK Calls с DTLS 1.2. Эти методы маскируют трафик под легитимные сервисы и менее подвержены блокировкам. Также работают VPS с IP-адресами из белого списка, но нужно тщательно подбирать SNI. Специализированные приложения, такие как Tunnel или FPTN VPN, автоматически подбирают рабочие конфигурации.
Можно ли обойти белый список без SNI?
Да, можно использовать методы, которые не полагаются на SNI. Например, TURN-серверы VK Calls используют DTLS 1.2, который шифрует трафик и не содержит SNI. Также можно использовать CDN, где трафик идёт на легитимный CDN-узел, и SNI не проверяется. Однако такие методы сложнее в настройке и могут требовать дополнительных ресурсов.
Что делать, если все методы обхода перестали работать?
Если все методы перестали работать, возможно, ваш оператор ужесточил блокировки. Рекомендуется проверить актуальные списки SNI на 4PDA, попробовать другие операторы (например, МТС или Yota), или использовать специализированные приложения, которые обновляют конфигурации. Также можно рассмотреть переход на другого оператора, если это возможно. В крайнем случае, можно использовать GPRS-WAP на МТС, но это специфично для этого оператора.