Белые списки VK Cloud и Yandex Cloud: как работают, что в них попадает и как использовать для обхода ограничений

Что такое белые списки и как они работают

Белые списки — это режим фильтрации трафика, при котором по умолчанию запрещено всё, кроме явно разрешённых адресов и доменов. В отличие от классических чёрных списков, где блокируются конкретные ресурсы, здесь работает принцип «запрещено всё, что не разрешено». В России такой режим реализуется через ТСПУ (технические средства противодействия угрозам), которые устанавливаются на сетях операторов связи.

Фильтрация происходит на двух уровнях. Первый — сетевой (L3): проверяется IP-адрес назначения. Если он не входит в разрешённый список подсетей, пакет просто отбрасывается, и соединение не устанавливается. Второй — прикладной (L7): даже если IP разрешён, DPI-система анализирует SNI (имя сервера) в TLS-рукопожатии. Если SNI находится в чёрном списке, соединение разрывается принудительно (RST). Таким образом, доступ к ресурсу возможен только при совпадении обоих условий: IP в белом списке и SNI не в чёрном.

На практике это означает, что при включённых белых списках открываются только те сайты и сервисы, чьи IP-адреса и домены одобрены. Всё остальное — включая популярные зарубежные платформы — становится недоступным, даже если физическое соединение с интернетом есть.

Как устроена фильтрация на уровне IP и SNI

Когда пакет отправляется к серверу, он проходит через маршрутизатор оператора, где установлено ТСПУ. Сначала проверяется IP-адрес назначения: если он не входит в список разрешённых CIDR-подсетей, пакет молча отбрасывается (DROP). Это означает, что ни ICMP, ни TCP, ни UDP не проходят — соединение просто не устанавливается.

Если IP в белом списке, трафик пропускается, но на уровне L7 анализируется SNI. Например, при подключении к IP Яндекса с SNI google.com соединение устанавливается, но сервер возвращает ошибку 406 (Not Acceptable) — это признак того, что DPI пометил запрос как нежелательный. А вот с SNI ya.ru всё работает нормально. При этом SNI twitter.com через некоторые IP вызывает немедленный RST — соединение обрывается.

Интересная деталь: правила SNI-фильтрации не всегда консистентны между разными подсетями. Один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о том, что единого глобального чёрного списка SNI нет, и правила могут различаться в зависимости от оператора и даже от конкретного узла.

Входят ли серверы VK Cloud и Yandex Cloud в белый список

Да, серверы VK Cloud и Yandex Cloud входят в белые списки, но с важными оговорками. Сканирование, проведённое энтузиастами, показало, что Yandex.Cloud занимает первое место по количеству IP-адресов в белом списке — около 12 906 адресов, что составляет примерно каждый пятый адрес из всего списка. VK Cloud также присутствует, но через несколько ASN суммарно набирает около 3000 IP.

Однако важно понимать: в белый список попадают подсети, а не отдельные виртуальные машины. Это значит, что если вы арендуете сервер в Yandex Cloud или VK Cloud, его IP-адрес, скорее всего, будет входить в разрешённый диапазон. Но это не гарантирует автоматического доступа — фильтрация на уровне SNI всё равно может применяться, особенно если вы используете нестандартные домены или протоколы.

Представитель Yandex Cloud в ответе на вопрос пользователя подтвердил, что сервисы Яндекса находятся в белых списках Минцифры, но добавил, что это не означает автоматического включения всех пользовательских ресурсов. Компания не контролирует, как клиенты используют облачные мощности, поэтому добавление конкретного сайта в белые списки остаётся зоной ответственности владельца.

Практический тест: открывается ли сайт на VK Cloud или Yandex Cloud

Чтобы проверить, будет ли ваш сайт открываться в режиме белых списков, можно провести простой тест. Нужно арендовать виртуальную машину в облаке, установить на неё веб-сервер (например, Nginx) и попробовать открыть сайт через мобильный интернет оператора, где включены белые списки. Если сайт открывается — значит, IP входит в разрешённую подсеть.

Однако, как отмечают пользователи на форумах, даже если IP в белом списке, это не гарантирует доступность. Один из участников обсуждения поделился опытом: «Не знаю насчёт Яндекс и VK, но все, что хостится на Тильде, в белых списках, т.е. сайты на Тильде открываются без проблем». Это подтверждает, что некоторые платформы целиком включены в разрешённые списки, но для облачных серверов ситуация может быть иной.

Также стоит учитывать, что операторы могут менять правила: какие-то подсети добавляются, какие-то убираются. Поэтому перед размещением сайта на облаке стоит проверить актуальные списки, например, в открытых репозиториях, которые обновляются еженедельно.

Какие сервисы гарантированно работают в белых списках

Анализ белых списков показывает, что существует иерархия приоритетов. На первом уровне — обязательные сервисы, которые работают всегда и у всех операторов. К ним относятся государственные порталы: Госуслуги, сайты ведомств (налоговая, суды, закупки), а также платёжная система МИР. Эти ресурсы критически важны для управления страной, поэтому их доступность не обсуждается.

На втором уровне — почти всегда доступные сервисы: VK, Одноклассники, Яндекс (включая почту, поиск, карты), а также крупные СМИ (ТАСС, РИА Новости, РБК). Эти площадки считаются системообразующими для коммуникации и медиа.

На третьем уровне — необязательные сервисы, которые могут присутствовать или отсутствовать в зависимости от оператора. Сюда входят банки, маркетплейсы (Ozon, Wildberries), различные облачные сервисы. Здесь наблюдается лотерея: у одного оператора может быть доступен Тинькофф, у другого — нет. При этом, как выяснилось, Сбербанк часто отсутствует в белых списках, хотя его корпоративный сервис видеозвонков SaluteJazz присутствует.

Особенности работы DNS в режиме белых списков

В режиме белых списков доступ к внешним DNS-серверам, таким как Google (8.8.8.8) или Cloudflare (1.1.1.1), обычно блокируется. Порт UDP:53 для них закрыт, и запросы уходят в таймаут. Работает только DNS-сервер самого провайдера. Например, у Мегафона это 10.233.58.133, и он функционирует нормально.

Это создаёт дополнительные сложности: если вы используете собственный DNS или хотите обойти блокировки через смену DNS, это не сработает. Однако стоит отметить, что правила могут различаться у разных операторов. У некоторых провайдеров внешние DNS могут быть доступны, но это скорее исключение.

Для владельцев сайтов это означает, что при размещении ресурса в облаке нужно учитывать, что пользователи будут обращаться к нему через DNS провайдера, который резолвит домены в IP-адреса. Если домен не в белом списке, но IP входит в разрешённую подсеть, доступ может работать, но только если SNI не заблокирован.

Как использовать облачные серверы для обхода ограничений

Облачные серверы VK Cloud и Yandex Cloud могут быть использованы для обхода ограничений, поскольку их IP-адреса входят в белые списки. Один из популярных методов — настройка VPN-туннеля на сервере в облаке. Например, можно поднять VLESS + Reality на VPS в Yandex Cloud или VK Cloud. Такой сервер будет доступен напрямую, без дополнительных обходных путей, поскольку его IP разрешён.

Важно правильно выбрать SNI для маскировки. Рекомендуется использовать домены, которые точно не в чёрном списке, например, storage.yandex.net, yastatic.net, userapi.com или vkuser.net. Эти домены принадлежат самим облачным провайдерам и не блокируются.

Ещё один вариант — использовать Yandex Cloud Functions как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех провайдеров. Можно написать простую serverless-функцию, которая будет работать как SOCKS5-прокси, и подключаться к ней. Это бесплатно в рамках тарифа (1 миллион вызовов в месяц), что делает метод очень привлекательным.

Ограничения и риски при использовании облаков

Несмотря на то что IP-адреса облаков входят в белые списки, есть ряд ограничений. Во-первых, фильтрация на уровне SNI может блокировать доступ к определённым доменам, даже если IP разрешён. Например, если вы используете домен, который ассоциируется с заблокированным ресурсом, соединение может быть разорвано.

Во-вторых, облачные провайдеры могут сами блокировать аккаунты за использование VPN-сервисов. Как отмечают пользователи, «Яндекс и Мейл уже банят за это аккаунты». Это значит, что если вы используете облако для обхода блокировок, есть риск потерять доступ к аккаунту и всем ресурсам.

В-третьих, белые списки нестабильны: они могут меняться в зависимости от региона, оператора и времени. То, что работает сегодня, завтра может быть недоступно. Поэтому важно следить за обновлениями списков и иметь запасные варианты.

Практические рекомендации для владельцев сайтов

Если вы хотите, чтобы ваш сайт был доступен в условиях белых списков, рассмотрите следующие шаги:

1. Разместите сайт на российском облаке (Yandex Cloud, VK Cloud, Selectel). Это повышает шансы, что IP будет в разрешённой подсети.
2. Используйте российские TLS-сертификаты от Минцифры, чтобы избежать проблем с доверием браузеров.
3. Откажитесь от внешних CDN и шрифтов (Google Fonts, Cloudflare) — они могут блокироваться.
4. Настройте локальные копии всех библиотек и скриптов.
5. Подайте заявку на включение вашего домена в белые списки, если это возможно. Для Yandex Cloud можно запросить информационное письмо об аренде IP-адреса.

Также стоит помнить, что даже если сайт размещён в облаке, доступ к нему может быть нестабильным из-за особенностей фильтрации SNI. Поэтому рекомендуется тестировать доступность из разных регионов и у разных операторов.

Часто задаваемые вопросы

В этом разделе собраны ответы на популярные вопросы, связанные с белыми списками и облачными серверами.

Вопросы и ответы