Что такое белые списки и как они меняют правила игры
С осени 2025 года в России начали тестировать режим «белого списка» мобильного интернета. В отличие от привычного чёрного списка, где блокируются конкретные сайты, белый список разрешает доступ только к заранее одобренным доменам. Всё остальное — включая Telegram, YouTube, Discord и большинство зарубежных ресурсов — перестаёт открываться.
По данным сообщества, в список входит примерно 1000 доменов из миллиона самых популярных в мире — это около 0,1%. В перечень попадают Госуслуги, сайты госорганов, маркетплейсы (Wildberries, Ozon), экосистема Яндекса, VK, банковские приложения и личные кабинеты операторов. Полный список официально не публикуется, обновления появляются в Telegram-канале Минцифры.
Технически блокировка реализована через ТСПУ — оборудование, которое стоит у мобильных операторов с 2021 года. DPI анализирует TLS SNI или HTTP Host и, если домен не в списке, замораживает TCP-соединение после 16–20 килобайт переданных данных. Это не разрыв с RST-флагом, а «вечная загрузка» — пользователь видит таймаут, но не ошибку соединения.
Почему обычные VPN не работают в режиме белого списка
Стандартные VPN-протоколы — OpenVPN, IKEv2, L2TP, PPTP — имеют характерные сигнатуры, которые ТСПУ распознаёт и блокирует ещё на этапе handshake. Даже если VPN использует порт 443, DPI анализирует паттерны трафика: размеры пакетов, временные интервалы, структуру заголовков.
Чистый WireGuard тоже не проходит: его UDP-пакеты имеют уникальную структуру, которая легко детектируется. Shadowsocks и Trojan без обфускации также оказываются бесполезны — их сигнатуры известны ТСПУ.
Проблема усугубляется тем, что в режиме белого списка блокируется не только трафик к запрещённым сайтам, но и трафик к серверам VPN, если их IP или SNI не входят в разрешённый перечень. Поэтому даже если VPN-клиент «подключается» (handshake успевает за первые 16 КБ), дальнейшая передача данных замирает.
Что такое WARP и почему он не является панацеей
Cloudflare WARP — это VPN-сервис от Cloudflare, который использует протокол WireGuard. Он популярен благодаря бесплатному тарифу и высокой скорости, но в контексте белых списков у него есть серьёзные ограничения.
WARP не использует обфускацию: его трафик — это чистый WireGuard, который ТСПУ распознаёт без труда. В режиме белого списка, где разрешены только определённые домены, WARP-серверы Cloudflare не входят в перечень, поэтому соединение будет заморожено после первых килобайт данных.
Некоторые пользователи сообщают, что WARP может работать в обычном режиме блокировок (чёрный список), но в whitelist-режиме он практически бесполезен. Это подтверждается и тем, что в подборках рабочих VPN для белых списков WARP не упоминается.
Какие протоколы реально проходят ТСПУ
На практике в режиме белого списка работают только три протокола: VLESS+Reality, AmneziaWG и Hysteria2.
VLESS+Reality — самый стойкий вариант. Reality маскирует TLS-handshake под обращение к реальному сайту. Критично: для России SNI должен быть из белого списка (например, yandex.ru, mail.ru, vk.com). Если SNI не в списке, ТСПУ не пропустит даже handshake.
AmneziaWG — российская модификация WireGuard от команды Amnezia. Перед handshake передаются junk-пакеты со случайными заголовками, что не позволяет ТСПУ опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в whitelist обычно пропускается.
Hysteria2 — протокол на QUIC поверх UDP, маскируется под HTTP/3. Благодаря собственному congestion-контролю Brutal хорошо работает на нестабильных мобильных сетях.
Эти протоколы либо маскируются под легитимный трафик из белого списка, либо выглядят как обычный UDP/QUIC, не похожий на VPN.
Почему WARP не подходит для обхода белых списков: технические детали
WARP использует WireGuard, который не имеет встроенной обфускации. ТСПУ анализирует первые пакеты UDP-сессии и по характерной структуре определяет WireGuard. В режиме белого списка, где разрешены только определённые домены, трафик WARP к серверам Cloudflare (которые не входят в список) будет заблокирован.
Даже если WARP-сервер использует порт 443, DPI видит, что это не HTTPS, а VPN-трафик. Размеры пакетов, временные интервалы и отсутствие TLS-рукопожатия выдают VPN.
Некоторые пользователи пытаются использовать WARP в паре с другими инструментами, например, через цепочку с российским VPS, но это уже не чистый WARP, а сложная схема, требующая настройки.
Цепочка серверов как альтернатива WARP
Энтузиасты описывают технику двойного туннеля: клиент → российский VPS с «белым» IP → зарубежный VPS → интернет. Между серверами трафик фильтруется значительно слабее, чем при прямом подключении пользователя за рубеж.
В whitelist-режиме ТСПУ видит, что вы общаетесь с «российским» сервером (его IP или SNI в белом списке), и пропускает трафик. Дальше связь идёт нормально.
Для настройки нужны два VPS (примерно $10/мес) и навыки администрирования. На российском сервере поднимается Xray-core, который принимает трафик от клиента и перенаправляет его на зарубежную ноду. Важно, чтобы российский VPS имел «белый» IP — то есть его IP не был заблокирован и входил в разрешённый диапазон.
Этот метод считается самым стабильным, но требует времени и технических знаний.
Как проверить, работает ли ваш VPN в режиме белого списка
Если вы подозреваете, что у вас включён белый список, проверьте: открываются ли Госуслуги, Wildberries, Яндекс, но не открываются Telegram, YouTube, зарубежные сайты. Если да — вы в whitelist-режиме.
Чтобы проверить VPN, подключитесь и попробуйте открыть заблокированный сайт. Если сайт не грузится, а VPN «подключён», скорее всего, трафик замораживается после 16–20 КБ. Это типичная картина для WARP и других VPN без обфускации.
Также можно проверить IP через 2ip.ru или whoer.net — если IP не изменился, VPN не работает. Если IP изменился, но сайты не открываются — проблема в DPI.
Что делать, если WARP не работает: практические советы
Если WARP не работает в режиме белого списка, есть несколько вариантов:
- Переключитесь на Wi-Fi — белые списки касаются только мобильного интернета. Домашний Wi-Fi и проводной интернет работают без ограничений.
- Используйте VPN с поддержкой VLESS+Reality, AmneziaWG или Hysteria2. Популярные клиенты: v2RayTun, Happ, AmneziaVPN, Hiddify Next, Karing, NekoBox.
- Если у вас свой VPS, настройте цепочку с российским «белым» IP.
- Проверьте, что SNI для Reality выбран из белого списка (yandex.ru, max.ru и т.д.).
Не пытайтесь использовать WARP в качестве основного средства обхода — это пустая трата времени. Лучше сразу настроить рабочий протокол.
Будущее обхода белых списков: что нас ждёт
ТСПУ постоянно совершенствуется. Уже сейчас энтузиасты отмечают, что старые версии Reality детектируются через анализ TLS 1.3 NewSessionTicket, поэтому важно обновлять Xray-core до актуальных версий.
В сообществе обсуждается миграция на Remnawave — панель для управления сложными цепочками и маршрутами. Это упрощает настройку каскадов и делает обход более гибким.
Пока белые списки тестируются точечно, но тенденция к ужесточению очевидна. Вероятно, в будущем появятся новые протоколы и методы обхода, но базовые принципы — маскировка под легитимный трафик и использование «белых» IP — останутся актуальными.
Вопросы и ответы
Работает ли Cloudflare WARP в режиме белого списка?
Нет, WARP использует чистый WireGuard без обфускации, поэтому ТСПУ легко распознаёт его трафик и блокирует. В режиме белого списка WARP не работает, так как его серверы не входят в разрешённый перечень доменов.
Какие протоколы реально обходят белые списки?
Работают VLESS+Reality (с SNI из белого списка), AmneziaWG и Hysteria2. Чистые WireGuard, OpenVPN, Trojan и Shadowsocks — нет.
Можно ли использовать WARP в паре с другими инструментами?
Технически можно, но это уже не чистый WARP. Например, можно настроить цепочку через российский VPS, но тогда WARP не нужен — лучше использовать VLESS или AmneziaWG.
Как узнать, включён ли белый список у моего оператора?
Если открываются Госуслуги, Wildberries, Яндекс, но не открываются Telegram, YouTube и зарубежные сайты — скорее всего, у вас включён белый список. Также можно проверить Wi-Fi: если на Wi-Fi всё работает, а на мобильном нет — это whitelist.
Что делать, если VPN не подключается в режиме белого списка?
Переключитесь на протокол VLESS+Reality, AmneziaWG или Hysteria2. Проверьте, что SNI для Reality выбран из белого списка (например, yandex.ru). Попробуйте другой сервер или VPN-сервис.
Есть ли бесплатные VPN, работающие при белых списках?
Практически нет. Бесплатные VPN используют стандартные протоколы без обфускации. Из бесплатных вариантов можно попробовать AmneziaVPN с AmneziaWG, но стабильность не гарантирована.