Белые списки интернета в России: как они работают и что делать, когда «амнезия» отключает доступ

Что такое белые списки и чем они отличаются от обычных блокировок

Белые списки — это режим фильтрации трафика, при котором доступ разрешен только к заранее одобренным ресурсам, а всё остальное блокируется. В отличие от классических блокировок, где запрещены конкретные сайты, здесь работает обратный принцип: запрещено всё, кроме явно разрешённого.

Технически это реализовано на уровне ТСПУ (технических средств противодействия угрозам) с использованием DPI-систем. Фильтрация происходит на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне проверяется IP-адрес назначения: если он не входит в разрешённый список подсетей, пакет просто отбрасывается. На прикладном уровне анализируется SNI в TLS-рукопожатии, и если домен находится в чёрном списке, соединение разрывается.

Пользователи часто описывают этот режим как «амнезию»: интернет формально есть, но открываются лишь несколько сайтов. Это создаёт ощущение, что сеть «забыла» о существовании остальных ресурсов. Важно понимать, что белые списки — это не временный сбой, а целенаправленная мера, которая может действовать постоянно в некоторых регионах.

Как устроена фильтрация: два уровня блокировки

Фильтрация при белых списках работает на двух уровнях одновременно. Первый уровень — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения. Если он не входит в разрешённый список CIDR-подсетей, пакет дропается ещё до того, как попадёт в DPI-систему. Это означает, что для не-вайтлист IP не работает ничего: ни ICMP, ни TCP, ни UDP. Пакеты физически не покидают сеть оператора.

Второй уровень — прикладной (L7): если IP-адрес разрешён, DPI проверяет SNI в TLS ClientHello. Даже если IP в белом списке, но SNI находится в чёрном списке, соединение разрывается сбросом (RST). Порядок проверки выглядит так: пакет → проверка IP → если не в списке, drop; если в списке → проверка SNI → если в чёрном списке, RST; если нет → трафик пропускается.

Интересная деталь: правила SNI-фильтрации не консистентны между разными подсетями. Один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о том, что единого общего чёрного списка SNI нет, и правила могут различаться в зависимости от ASN или даже конкретного узла ТСПУ.

Почему белые списки работают неравномерно: регионы, операторы и время

Белые списки не имеют единого стандарта реализации. Их работа разнится не только между операторами, но и внутри одного оператора в разных регионах. Например, в Москве режим может включаться эпизодически на несколько часов, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно 24/7. Даже в пределах одного города ситуация может меняться от точки к точке: на одной улице интернет работает, на другой — уже нет.

Списки разрешённых ресурсов тоже различаются. У одного оператора может быть доступен Тинькофф, у другого — нет. Некоторые подсети, включённые в белый список у Мегафона, могут отсутствовать у МТС. Списки постоянно обновляются: что-то добавляют, что-то убирают. Это создаёт дополнительную сложность для пользователей и делает невозможным создание универсального решения для обхода.

Такая неравномерность объясняется тем, что фильтрация реализована на региональном оборудовании, а не на центральном уровне. Каждый региональный узел может иметь свои настройки и обновляться в разное время.

Что остаётся доступным: иерархия белых списков

Анализ белых списков показывает определённую иерархию доступных ресурсов. На первом месте — мессенджер MAX, который присутствует в списках всегда и у всех операторов. Это самый надёжный способ связи в режиме белых списков. На втором уровне — сервисы VK и Яндекса, а также государственно значимая инфраструктура. Сюда входят поисковик, почта, карты, такси, музыка, новости, социальные сети, Госуслуги.

На третьем уровне — банки, маркетплейсы и прочие сервисы. Здесь ситуация лотерейная: у одного оператора банк может быть доступен, у другого — нет. Забавная деталь: почти все банки в белых списках, кроме Сбербанка. При этом сервис видеозвонков salutejazz.ru от Сбера присутствует. Крупнейший банк страны недоступен, а его корпоративная видеозвонилка — пожалуйста.

Из платёжных систем в белых списках оказался только Mir Pay. SberPay и Яндекс Пэй не работают. Это означает, что расплатиться смартфоном можно только через Mir Pay, а привычные способы бесконтактной оплаты недоступны.

Почему обычный VPN не работает и что блокируется в первую очередь

Главная причина, по которой обычный VPN не работает в режиме белых списков, — это блокировка на уровне IP. Сервер VPN находится на IP-адресе, который не входит в разрешённый список, поэтому пакеты до него просто не доходят. Даже если соединение формально устанавливается (иногда оператор пропускает TLS-рукопожатие), доступа к «большому» интернету всё равно нет.

Кроме того, блокируются многие протоколы и технологии. QUIC/HTTP3 режется почти всегда, так как UDP:443 закрыт. ECH/ESNI (Encrypted Client Hello) также блокируется ТСПУ, но даже если бы он работал, он не помог бы, потому что основная блокировка идёт по IP, а не по SNI. Шифровать имя домена бесполезно, когда сам адрес назначения не в белом списке.

Также блокируются внешние DNS-серверы. Порт UDP:53 на любые внешние DNS закрыт, работает только DNS самого провайдера. Это значит, что попытки использовать 8.8.8.8 или 1.1.1.1 приведут к таймауту.

Технические способы обхода: что работает на практике

Несмотря на сложность, существуют технические способы обхода белых списков. Основной метод — использование VPS-сервера, IP-адрес которого входит в белый список. Для этого подходят российские облачные провайдеры, такие как Yandex.Cloud, VK Cloud, Timeweb. Их IP-адреса массово присутствуют в белых списках, так как на них хостится множество государственных и коммерческих сервисов.

Один из рабочих методов — VLESS + Reality на российском VPS. Требуется IP сервера в белом списке, SNI whitelisted домена (например, vk.com, ya.ru) и настройка Reality с XTLS-Vision для маскировки трафика. Это позволяет замаскировать VPN-соединение под обычный HTTPS-трафик к разрешённому домену.

Другой метод — использование Yandex Cloud Functions как прокси. Эндпоинт functions.yandexcloud.net универсально в белом списке у всех провайдеров. Можно написать SOCKS5-клиент, который подключается к функции, и таким образом получить доступ к интернету. Free tier включает 1 000 000 вызовов в месяц, что достаточно для базового использования.

Важно понимать, что эти методы не гарантируют работу у всех операторов и во всех регионах. Списки децентрализованы, и то, что работает у одного оператора, может не работать у другого.

Как выбрать VPS и SNI для обхода белых списков

При выборе VPS для обхода белых списков ключевое значение имеет IP-адрес сервера. Он должен входить в белый список. Согласно сканированию, наибольшее количество IP в белых списках у Yandex.Cloud (12 906), Timeweb (2 904), Ростелекома (2 312), VK (1 958) и других. Высокая плотность IP в подсетях этих провайдеров повышает шанс, что ваш сервер попадёт в разрешённый диапазон.

Также важно выбрать правильный SNI для маскировки. Хорошие SNI — это домены, которые точно в белом списке и не вызывают подозрений. Например, storage.yandex.net, yastatic.net, userapi.com, vkuser.net, hosting.reg.ru, cdnvideo.ru. Опасные SNI — те, которые проверяются и могут быть заблокированы: twitter.com, x.com, youtube.com. Использование таких SNI приведёт к разрыву соединения.

Провайдеры имеют свои особенности: Timeweb предлагает бесплатный reroll IP, но выбить нужный может быть сложно. Yandex.Cloud даёт грант 4000 рублей при регистрации и высокий шанс попасть в белый список, но аккаунты быстро блокируют. VK Cloud долго держится, но верификация сложная и дорогая.

Практические советы: как подготовиться к жизни с белыми списками

Даже если вы не планируете обходить белые списки, стоит подготовиться к их возможному включению. Офлайн-карты, скачанные документы, заранее записанные контакты — всё это перестаёт быть паранойей и становится базовой цифровой гигиеной. В режиме белых списков поисковик работает, но сайты из выдачи не открываются, поэтому полагаться на онлайн-информацию нельзя.

Проверьте, какие мессенджеры у вас установлены. MAX работает всегда, поэтому стоит иметь его под рукой для связи. Также убедитесь, что у вас есть доступ к банковским приложениям — они могут работать частично, но лучше иметь физическую карту и наличные.

Если вы используете VPN, настройте его заранее на российском VPS с IP в белом списке. Это может быть сложно, но в критической ситуации это единственный способ сохранить доступ к глобальной сети. Помните, что универсального решения нет, и то, что работает сегодня, может перестать работать завтра.

Что будет дальше: перспективы развития белых списков

Белые списки вводятся поэтапно. Сначала они использовались только по тревоге, затем стали постоянными в отдельных регионах. Сейчас обсуждается законодательное закрепление приоритезации трафика. Минцифры подтвердило существование белых списков в сентябре 2025 года, и перечень разрешённых ресурсов постоянно расширяется.

Техническая инфраструктура для полного переключения на национальный сегмент уже построена и обкатана. Это вызывает опасения, что интернет в России может быть полностью отключён от глобальной сети. Однако пока белые списки затрагивают в основном мобильные сети, проводной интернет страдает реже.

Для пользователей это означает, что нужно быть готовыми к дальнейшим ограничениям. Разница между «ограниченным доступом» и «нет интернета» в реальной жизни оказывается минимальной. Поэтому подготовка к автономной работе — это не паранойя, а разумная предосторожность.

Вопросы и ответы