Почему белые списки работают постоянно: технические причины и практические последствия

Что такое белые списки и чем они отличаются от обычных блокировок

Белые списки — это механизм фильтрации интернет-трафика, при котором разрешён только заранее одобренный набор ресурсов, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные сайты, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». Это принципиально меняет пользовательский опыт: если при обычной блокировке интернет продолжает работать, а недоступны лишь отдельные ресурсы, то при белых списках сеть де-факто выключена для большинства сервисов.

В России белые списки начали применяться как временная мера в периоды повышенной угрозы, но в ряде регионов они стали постоянными. Например, в Свердловской области пользователи сообщают, что белый список работает круглосуточно, без предупреждений и SMS-оповещений. Это означает, что мобильный интернет превращается в ограниченный набор сервисов, преимущественно российских, а доступ к глобальной сети становится невозможным без специальных средств обхода.

Архитектура фильтрации: два уровня — L3 и L7

Белые списки реализованы на двух уровнях: сетевом (L3) и прикладном (L7). На уровне L3 происходит фильтрация по IP-адресам: пакет, направленный к адресу, не входящему в белый список, отбрасывается маршрутизатором ещё до того, как достигнет DPI. Это означает, что для неразрешённых IP не работает ни ICMP, ни TCP, ни UDP — пакеты физически не покидают сеть оператора.

На уровне L7 DPI проверяет SNI (Server Name Indication) в TLS-ClientHello. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается (RST). Порядок проверки: сначала IP, затем SNI. Если IP не в списке — пакет молча отбрасывается; если IP разрешён, но SNI запрещён — соединение сбрасывается. Такая двухуровневая архитектура делает обход значительно сложнее, чем при обычных блокировках.

Почему белые списки работают постоянно: технические причины

Постоянная работа белых списков объясняется несколькими факторами. Во-первых, инфраструктура ТСПУ (технические средства противодействия угрозам) развёрнута на уровне операторов связи и не требует ручного вмешательства для каждого сеанса. Фильтрация происходит автоматически на основе обновляемых списков, которые загружаются в устройства ТСПУ централизованно.

Во-вторых, белые списки интегрированы в маршрутизацию: неразрешённые IP-адреса просто не получают ответа, что создаёт эффект «мёртвой сети». Это не разовая блокировка, а постоянный режим работы сетевого оборудования. В-третьих, списки регулярно обновляются: например, в открытом репозитории openlibrecommunity/twl публикуются еженедельные снимки актуальных белых списков, что подтверждает их динамический характер. Наконец, операторы могут включать и отключать режим белых списков в зависимости от региона и текущей ситуации, но в некоторых регионах он работает 24/7 без видимых причин для отключения.

Что входит в белые списки: состав и иерархия

Анализ белых списков, проведённый энтузиастами, показал, что в них входит около 63 тысяч IP-адресов, принадлежащих примерно 2,5 тысячам автономных систем (ASN). Топ-15 ASN включает Yandex.Cloud (12 906 IP), Timeweb (2 904), Ростелеком (2 312), VK (1 958) и другие. При этом плотность включения в подсети /24 редко превышает 37%, что говорит о том, что в списки попадают не целые подсети, а отдельные IP-адреса.

Иерархия приоритетов выглядит так: обязательный уровень — мессенджер MAX (max.ru), который присутствует в списках всех операторов; второй уровень — VK, Яндекс, государственные сервисы; третий уровень — банки, маркетплейсы и прочие сервисы, состав которых варьируется. Забавная деталь: Сбербанк часто отсутствует в белых списках, хотя его корпоративный сервис видеозвонков SaluteJazz присутствует. Также в списках обнаруживаются десятки VPN-серверов, включая государственные VPN для госслужащих, что создаёт парадоксальную ситуацию: официально VPN запрещены, но в белом списке они есть.

Региональные и операторские различия

Белые списки работают неравномерно по регионам и операторам. В Москве они включаются эпизодически, примерно на 3 часа, в Санкт-Петербурге — редко, а в большинстве регионов — постоянно. При этом даже внутри одного региона у разных операторов (Мегафон, МТС, Билайн, Т2) правила могут отличаться: у одного оператора белый список активен, у другого — нет. Более того, списки различаются от точки к точке: при перемещении по городу доступность IP может меняться.

Это создаёт серьёзные неудобства для пользователей, которые не могут предсказать, какие сервисы будут работать в конкретный момент. Например, один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK или MAX. Такая неконсистентность объясняется либо разными правилами для разных ASN, либо несвоевременным обновлением списков на отдельных узлах.

Что не работает при белых списках: ограничения и подводные камни

При белых списках блокируется практически весь трафик, не входящий в разрешённый перечень. Это касается не только веб-сайтов, но и протоколов: UDP-порты (включая QUIC/HTTP3, DNS, WireGuard) обычно режутся, внешние DNS-серверы (8.8.8.8, 1.1.1.1) недоступны, работает только DNS провайдера. ECH/ESNI (Encrypted Client Hello) также блокируется, но это не имеет значения, поскольку основная фильтрация идёт по IP, а не по SNI.

Обычные VPN-сервисы, использующие зарубежные серверы, не работают, так как их IP не входят в белый список. Даже если VPN-сервер находится в России, но его IP не в списке, соединение будет разорвано. Кроме того, поисковики, такие как Яндекс, работают, но выдача содержит ссылки на сайты, которые недоступны, что делает поиск бесполезным. Бесконтактная оплата через SberPay и Яндекс Пэй также не работает, в отличие от Mir Pay.

Способы обхода: что действительно работает

Несмотря на сложность, существуют рабочие методы обхода белых списков. Основной метод — использование VLESS + Reality на российском VPS, IP которого входит в белый список. Подходят VPS от Timeweb, Yandex.Cloud, VK Cloud. Для маскировки используется SNI разрешённого домена, например, vk.com или ya.ru. Этот метод стабильно работает, поскольку трафик выглядит как обычное HTTPS-соединение с разрешённым ресурсом.

Другой метод — использование Yandex Cloud Functions в качестве прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех операторов. Бесплатный тариф включает 1 миллион вызовов в месяц, что достаточно для базового использования. Также можно использовать GitLab, размещённый на Yandex Cloud, который обнаруживается в белых списках. Однако важно помнить, что обход белых списков может быть сопряжён с рисками, включая утечку данных и заражение вредоносным ПО, поэтому рекомендуется использовать только проверенные инструменты.

Практические рекомендации для пользователей и бизнеса

Для пользователей, столкнувшихся с постоянной работой белых списков, важно заранее подготовиться: скачать офлайн-карты, сохранить важные документы и контакты, установить отечественные облачные сервисы, которые входят в разрешённый перечень. Также стоит проверить, какие банковские приложения работают в условиях ограничений, и иметь резервный канал связи, например, проводной интернет, который обычно не подвержен белым спискам.

Для бизнеса критически важно обеспечить резервные каналы доступа к интернету, регулярно создавать локальные копии данных и заранее проверить, какие сервисы остаются доступными. Рекомендуется использовать отечественные облачные решения, входящие в белые списки, и поддерживать связь с сотрудниками через разрешённые мессенджеры, такие как MAX. Также стоит следить за обновлениями списков, чтобы адаптировать цифровую инфраструктуру компании.

Перспективы развития системы белых списков

Белые списки, вероятно, будут расширяться и совершенствоваться. Ожидается включение новых категорий сервисов, таких как медицинские платформы, образовательные проекты и региональные ресурсы. Возможно появление единых критериев включения и более прозрачной процедуры рассмотрения заявок, что позволит бизнесу заранее адаптироваться.

Однако есть и тревожные тенденции: постепенное расширение белых списков может привести к полному переходу на национальный сегмент интернета. Уже сейчас техническая инфраструктура для этого построена и обкатана. Для пользователей это означает, что доступ к глобальной сети будет всё более ограничен, и необходимо готовиться к автономной работе. Временные меры имеют свойство становиться постоянными, и белые списки — яркий пример этого.

Вопросы и ответы