VPN, обходящий белый список: как работают обходы и что выбрать

Что такое белый список и чем он отличается от чёрного

Большинство пользователей привыкли к модели блокировок, когда запрещены отдельные сайты или сервисы, а всё остальное работает. Это так называемый чёрный список: доступ разрешён по умолчанию, а исключения вносятся вручную. Белый список работает по обратному принципу: по умолчанию запрещено всё, кроме ограниченного набора разрешённых ресурсов. Такой подход часто применяется в корпоративных сетях, учебных заведениях, на тарифах с нулевым балансом у операторов связи, а также в некоторых государственных системах фильтрации.

Когда вы подключаетесь к обычному VPN-серверу, ваше устройство отправляет пакеты на IP-адрес этого сервера. Если адрес не входит в белый список, фаервол или система глубокой инспекции пакетов (DPI) просто обрывает соединение. При этом пакет даже не покидает локальную сеть. Именно поэтому стандартные VPN-клиенты, которые работают в условиях чёрных списков, часто оказываются бесполезны там, где действует белый список.

Важно понимать, что белый список может быть реализован на разных уровнях: на уровне IP-адресов, на уровне доменных имён, на уровне протоколов или даже на уровне содержимого пакетов. Чем больше уровней фильтрации задействовано, тем сложнее обход. Однако в большинстве реальных сценариев остаются лазейки, связанные с необходимостью пропускать легитимный трафик — например, DNS-запросы или HTTPS-соединения.

Почему обычный VPN не работает в сети с белым списком

Стандартный VPN-клиент, будь то OpenVPN, WireGuard или IPsec, устанавливает соединение с сервером по прямому IP-адресу. В сети с белым списком этот адрес не разрешён, поэтому соединение блокируется на самом раннем этапе — ещё до установления VPN-туннеля. Даже если серверу удастся каким-то образом получить пакеты, DPI-система может распознать характерный паттерн VPN-протокола и разорвать соединение.

Другая проблема — поведение DPI. Современные системы фильтрации не просто блокируют по спискам, они анализируют трафик в реальном времени. Например, они могут отслеживать объём данных, передаваемых в рамках одной TCP-сессии. Если сессия превышает определённый порог (например, 15–20 килобайт), пакеты перестают приходить, хотя соединение формально остаётся активным. Это так называемое «замораживание» сессии — более коварный метод, чем простое обрывание соединения, потому что клиент не получает ошибку и продолжает ждать ответа.

Кроме того, многие VPN-протоколы используют фиксированные порты (например, 1194 для OpenVPN или 51820 для WireGuard), которые легко обнаружить и заблокировать. Даже если порт изменён, DPI может анализировать первые байты пакета и сравнивать их с сигнатурами известных протоколов. Поэтому для обхода белых списков нужны специальные методы маскировки трафика.

Основные методы обхода: обфускация, туннелирование и подмена заголовков

Чтобы обойти белый список, необходимо сделать VPN-трафик неотличимым от разрешённого. Для этого используются три основных подхода.

Обфускация — это изменение внешнего вида трафика таким образом, чтобы DPI не мог распознать в нём VPN-протокол. Например, протокол Shadowsocks шифрует данные так, что они выглядят как случайный набор байтов, похожий на HTTPS. VLESS и Xray идут дальше: они имитируют реальное TLS-соединение с легитимным сайтом, включая корректные сертификаты и параметры рукопожатия.

Туннелирование — это упаковка VPN-трафика внутрь другого протокола, который заведомо разрешён. Классический пример — DNS-туннелирование, когда данные передаются внутри DNS-запросов. Этот метод медленный, но работает даже там, где заблокировано всё, кроме DNS. Другой вариант — инкапсуляция в ICMP (ping-запросы), но он ещё медленнее и часто блокируется.

Подмена заголовков — это модификация HTTP-заголовков таким образом, чтобы фаервол видел запрос к разрешённому домену, а на самом деле трафик уходил на VPN-сервер. Этот метод используется в таких инструментах, как HTTP Injector. Например, вы указываете в настройках Host: allowed-site.com, и фаервол пропускает запрос, а VPN-сервер отбрасывает поддельный заголовок и перенаправляет трафик по назначению.

Каждый метод имеет свои сильные и слабые стороны. Обфускация лучше всего подходит для сетей с активным DPI, туннелирование — для самых жёстких ограничений, а подмена заголовков — для случаев, когда разрешён только HTTP/HTTPS-трафик.

Протоколы и инструменты для обхода белых списков

На практике для обхода белых списков чаще всего используются следующие протоколы и инструменты.

Shadowsocks — лёгкий прокси-протокол, который шифрует трафик и маскирует его под случайные данные. Он хорошо работает против простых DPI, но может быть обнаружен более продвинутыми системами.

VLESS — более современный протокол из семейства V2Ray/Xray. Он поддерживает различные транспорты (TCP, WebSocket, gRPC, xhttp) и может имитировать TLS-соединения с реальными сайтами. В сочетании с технологией Reality VLESS обеспечивает высокую степень маскировки.

OpenVPN с обфускацией — классический протокол, который можно настроить на работу через TCP-порт 443 с плагином obfs-proxy. Это позволяет замаскировать трафик под HTTPS, но скорость и стабильность могут страдать.

Psiphon — автоматический инструмент, который перебирает различные протоколы (SSH, VPN, OSSH) и выбирает тот, который работает в данный момент. Он прост в использовании, но бесплатная версия ограничена по скорости и содержит рекламу.

Lantern — использует пиринговую сеть, где трафик проходит через устройства других пользователей. Это усложняет блокировку, но может быть нестабильным.

SlowDNS — работает через DNS-туннелирование и может быть последним шансом, когда заблокировано всё остальное. Скорость очень низкая, но для текстовых сообщений подходит.

Tor с мостами obfs4 — сеть Tor с обфусцированными мостами способна обходить многие виды фильтрации, но скорость крайне низкая.

Выбор инструмента зависит от ваших технических навыков, требований к скорости и конкретной сети, в которой вы находитесь.

Схема цепочки: как обойти блокировки с помощью двух серверов

В условиях, когда прямое подключение к зарубежному VPN-серверу блокируется или «замораживается» после передачи небольшого объёма данных, эффективным решением становится использование цепочки из двух серверов: один внутри страны, другой за рубежом.

Схема работает так: клиент подключается к серверу-«мосту», расположенному внутри страны (например, в России). Этот сервер имеет «белый» IP-адрес, который не блокируется. Затем «мост» через защищённый туннель передаёт трафик на зарубежный «выходной» сервер, который уже выходит в открытый интернет. Для системы фильтрации это выглядит как обычный обмен данными между двумя серверами, который не вызывает подозрений.

Такая схема позволяет обойти не только белые списки, но и фильтрацию по объёму данных, когда DPI «замораживает» сессии после определённого количества переданных байт. Внутренний трафик между российскими серверами фильтруется гораздо слабее, чем прямой трафик пользователя к иностранному хостингу.

Для реализации цепочки потребуется два сервера с установленным Xray-core (версия не ниже 25.12.8). На зарубежной ноде поднимается обычный VLESS-инбаунд с транспортом xhttp в режиме packet-up. На российской ноде настраивается аутбаунд, который отправляет трафик на зарубежный сервер, а также правила маршрутизации, чтобы российские сайты (Яндекс, ВКонтакте, Госуслуги) шли напрямую, а заблокированные — через цепочку.

Важно правильно выбрать хостинг для «моста». По опыту пользователей, наиболее надёжным вариантом является Яндекс.Облако, где можно найти IP-адреса в диапазонах 51.250.x.x или 212.233.x.x. VK Cloud предлагает бесплатный трафик, но «белые» IP там почти невозможно получить. EDGE — хорошая альтернатива с CDN.

Как проверить, что IP-адрес «белый»

Прежде чем настраивать цепочку, необходимо убедиться, что IP-адрес вашего сервера-«моста» действительно не блокируется. Проще всего это сделать так: разверните на сервере любой веб-сервер на 443-м порту и попробуйте открыть сайт с мобильного интернета (например, МТС или Мегафон) без использования VPN. Если сайт открывается — IP «белый».

Если сайт не открывается, попробуйте другие диапазоны IP у того же хостинг-провайдера или обратитесь к другому провайдеру. Поиск «чистых» IP может занять время, но это критически важно для работы всей схемы.

Также стоит учитывать, что «белость» IP может меняться со временем, поэтому периодически проверяйте работоспособность вашего «моста».

Типичные проблемы и способы их решения

Даже при правильной настройке могут возникать проблемы. Рассмотрим наиболее частые из них.

Handshake Failed — сервер не ответил на рукопожатие. Это может означать, что провайдер заблокировал IP-адрес сервера или распознал протокол. Решение: сменить сервер или включить более агрессивную обфускацию.

Подключение есть, но интернет не работает — скорее всего, проблема с DNS. Ваше устройство использует DNS провайдера, который блокирует запросы. Решение: прописать в настройках соединения публичные DNS, например Google DNS (8.8.8.8) или Cloudflare (1.1.1.1).

Циклическое переподключение — часто возникает при использовании UDP-протоколов в сетях с высоким уровнем потери пакетов. Решение: переключиться на TCP.

Проблемы с iOS — на iPhone лимит памяти для VPN-процесса составляет всего 50 МБ. Если в конфиге используются тяжёлые Geo-файлы, клиент может падать при старте. Решение: использовать транспорт xhttp в режиме packet-up вместо stream-up, а также облегчённые версии Geo-файлов.

Отваливается WhatsApp или Instagram — иногда один сервис работает, а другой нет. Решение: добавить IPv6 на выходную ноду или убрать поток vision из конфига для этих сервисов.

Низкая скорость — туннелирование и обфускация требуют дополнительных ресурсов, поэтому скорость всегда будет ниже, чем при прямом подключении. Если скорость критична, выбирайте серверы с более мощным процессором и хорошим каналом.

Готовые сервисы и приложения для обхода белых списков

Если вы не хотите самостоятельно настраивать серверы и конфиги, можно воспользоваться готовыми сервисами. В обсуждениях пользователи выделяют несколько решений.

hynet.space — по отзывам, наиболее универсальное решение, которое стабильно работает на большинстве крупных провайдеров и выдаёт неплохую скорость.

Amnezia — работает неплохо, но пользователи жалуются на закрытость проекта, плохую совместимость с другими сервисами на одном VPS и ошибки при настройке сложных конфигов.

Voxiproxy — оптимизирован под мобильный трафик, но лучше всего раскрывается на смартфонах.

MamontVPN — фокусируется на решении специфических проблем iOS, но также упоминается как вариант.

SayVPN — предлагает сложные связки через vnext под конкретные задачи.

DuckVPN — показывает результаты на ряде провайдеров, но есть сообщения о проблемах с доступностью через Мегафон и МТС.

Также существуют боты в Telegram, которые автоматически выдают рабочие конфиги, например ComfyVPN. Они могут быть удобны для новичков, но помните, что бесплатные сервисы часто имеют ограничения по скорости и трафику, а также могут собирать ваши данные.

Как выбрать подходящее решение: критерии и рекомендации

Выбор способа обхода белого списка зависит от нескольких факторов.

Технические навыки. Если вы готовы разбираться в настройках, можно использовать Xray/VLESS с собственной цепочкой серверов. Это даст максимальную гибкость и скорость. Если нет — выбирайте готовые сервисы или приложения с автоматической настройкой.

Требования к скорости. Для просмотра видео и скачивания файлов нужна высокая скорость, которую могут обеспечить только прямые подключения или хорошо настроенные цепочки. Для переписки в мессенджерах подойдут даже медленные DNS-туннели.

Уровень блокировки. В некоторых сетях достаточно простого Shadowsocks, в других — только цепочка с «белым» IP. Оцените, какие методы уже пробовали и что именно не работает.

Бюджет. Аренда VPS для цепочки стоит денег, но это надёжнее, чем бесплатные сервисы, которые могут быть нестабильными или собирать данные.

Безопасность. Избегайте сомнительных бесплатных VPN, которые могут продавать ваш трафик или внедрять рекламу. Отдавайте предпочтение проверенным протоколам с открытым исходным кодом.

Универсального решения не существует, поэтому экспериментируйте и выбирайте то, что лучше всего подходит для ваших условий.

Вопросы и ответы