Что такое белые списки и как они работают
Белые списки — это режим фильтрации трафика, при котором по умолчанию запрещено всё, кроме явно разрешённых адресов. В отличие от классических блокировок, где закрывают конкретные сайты, здесь работает обратная логика: доступен только ограниченный набор ресурсов. Пользователь может заметить, что VK и Яндекс открываются, а Google, YouTube и Telegram — нет, хотя сигнал сети есть.
Фильтрация происходит на двух уровнях. На сетевом уровне (L3) проверяется IP-адрес назначения: если он не входит в белый список, пакет просто отбрасывается маршрутизатором. На прикладном уровне (L7) DPI-система анализирует SNI в TLS-рукопожатии и может разорвать соединение, если домен в чёрном списке. Таким образом, даже если IP разрешён, но SNI подозрительный, соединение будет сброшено.
Почему Яндекс Телемост оказался в центре внимания
Яндекс Телемост — это сервис видеоконференций, который работает на инфраструктуре Яндекса. IP-адреса Яндекса массово присутствуют в белых списках, поскольку на них завязано множество государственных и коммерческих сервисов. Например, по данным сканирования, Yandex.Cloud занимает первое место по количеству IP в белом списке — более 12 тысяч адресов. Это делает инфраструктуру Яндекса естественной точкой для обхода.
Телемост использует TURN-серверы для организации звонков. TURN — это протокол, который помогает установить соединение, когда участники находятся за NAT или файрволом. В контексте белых списков TURN-серверы Яндекса становятся ретрансляторами: трафик пользователя выглядит как обычный звонок через Яндекс, хотя на самом деле он направляется к нужному ресурсу.
Техническая схема обхода через TURN-серверы
Идея обхода заключается в том, чтобы использовать TURN-серверы Яндекса или VK (через MAX) как прокси. Пользователь и удалённый сервер (например, зарубежный VPS) притворяются клиентами аудиозвонка. TURN-сервер, находящийся в белом списке, ретранслирует трафик между ними, и для DPI это выглядит как легитимный звонок.
Для работы схемы нужны учётные данные TURN-сервера. В случае с Яндекс Телемостом они получаются через API: создаётся конференция, и в ответ приходит адрес TURN-сервера и временные пароли. Эти данные затем используются для установки туннеля. Аналогичный подход реализован в проекте vk-turn-proxy, где автоматически генерируется пароль от TURN для VK.
Практические инструменты и проекты
На GitHub появились инструменты, которые автоматизируют обход белых списков через TURN. Например, проект Turnel от KillTheCensorship использует API MAX или Яндекса для получения учётных данных. Пользователи сообщают, что при использовании дефолтного Яндекса иногда происходит бан, поэтому рекомендуется использовать MAX — у него выше скорость и меньше проблем.
Другой проект — vk-turn-proxy — работает через VK и использует серверы Одноклассников. Он поддерживает DTLS-маскировку, чтобы трафик выглядел как зашифрованный звонок. Важно отметить, что эти инструменты являются демонстрационными и требуют доработки для постоянного использования.
Ограничения и риски метода
Метод с Яндекс Телемостом имеет несколько ограничений. Во-первых, у Яндекса есть алгоритмы детекции аномального трафика: например, по соотношению скачивания и отдачи. Если трафик сильно перекошен, это может вызвать подозрение. Во-вторых, некоторые подсети Яндекса (77.88.7.0/24, 37.9.82.0/24) могут не работать с этим методом. В-третьих, скорость ограничена: у VK она составляет около 5 Мбит/с на соединение, поэтому для достижения нормальной скорости приходится запускать несколько параллельных подключений.
Также существует риск, что метод перестанет работать, если Яндекс или VK изменят свои алгоритмы или запретят подключения из-за рубежа. Пользователи отмечают, что подобные схемы обычно живут недолго, поэтому нужно быть готовым к альтернативам.
Альтернативные способы обхода белых списков
Помимо TURN-метода, есть и другие подходы. Один из самых надёжных — VLESS + Reality на российском VPS. Для этого нужен сервер с IP в белом списке (например, Timeweb, Yandex.Cloud или VK Cloud) и SNI разрешённого домена (например, vk.com или ya.ru). Протокол Reality маскирует трафик под обычное TLS-соединение, что затрудняет детекцию.
Другой вариант — использование Yandex Cloud Functions как прокси. Серверные функции Яндекса доступны по адресу functions.yandexcloud.net, который есть в белом списке. Можно написать SOCKS5-клиент и подключиться к функции, используя бесплатный тариф (1 миллион вызовов в месяц).
Как выбрать подходящий способ
Выбор метода зависит от ваших задач и технических навыков. Если вам нужен быстрый и простой способ для мобильного интернета, можно попробовать готовые VPN-сервисы с маскировкой трафика, такие как VPNUS, HideMy.name или AdGuard VPN. Они предлагают пробные периоды и простую настройку.
Если вы готовы разбираться в технических деталях, TURN-метод через Яндекс Телемост или VK может быть бесплатным, но требует определённых знаний. Для стабильной работы лучше использовать VLESS + Reality на собственном VPS — это более надёжно, но требует аренды сервера и настройки.
Практические советы по настройке
При использовании VPN или обходных методов важно тестировать их в реальных условиях: сначала на Wi-Fi, затем на мобильной сети. Белые списки часто работают по-разному у разных операторов и даже в разных районах города. Если VPN не подключается, попробуйте сменить сервер или протокол.
Для TURN-метода убедитесь, что вы используете актуальные учётные данные и не забывайте про DTLS-маскировку, чтобы трафик выглядел как звонок. Также рекомендуется ограничивать скорость и добавлять фейковый трафик для выравнивания соотношения скачивания и отдачи.
Будущее белых списков и обходов
Белые списки — это динамическая система, которая постоянно меняется. Списки разрешённых IP и SNI обновляются, алгоритмы DPI совершенствуются. Методы обхода, которые работают сегодня, могут перестать работать завтра. Поэтому важно следить за обновлениями в сообществах и использовать несколько запасных вариантов.
Пока существуют сервисы, которые нельзя заблокировать (например, из-за государственной зависимости), будут оставаться и возможности для обхода. Однако пользователям стоит быть готовыми к тому, что полностью бесплатные и стабильные методы — редкость.
Вопросы и ответы
Что такое белые списки и чем они отличаются от обычных блокировок?
Белые списки — это режим, при котором разрешён только ограниченный набор сайтов и сервисов, а всё остальное блокируется по умолчанию. Обычные блокировки закрывают конкретные ресурсы, но остальной интернет работает. При белых списках, наоборот, доступны только одобренные IP и домены, а всё остальное отбрасывается на сетевом уровне.
Как Яндекс Телемост помогает обходить белые списки?
Яндекс Телемост использует TURN-серверы, которые находятся в белом списке. Пользователь и удалённый сервер притворяются участниками звонка, и TURN-сервер ретранслирует трафик между ними. Для DPI это выглядит как обычный звонок через Яндекс, поэтому трафик не блокируется.
Какие есть риски при использовании TURN-метода?
Основные риски: детекция аномального трафика (например, по соотношению скачивания и отдачи), блокировка отдельных подсетей Яндекса, ограничение скорости (у VK около 5 Мбит/с на соединение) и возможное прекращение работы метода после обновлений алгоритмов.
Какие альтернативы существуют для обхода белых списков?
Самые популярные альтернативы: VLESS + Reality на российском VPS с IP в белом списке, использование Yandex Cloud Functions как прокси, а также коммерческие VPN-сервисы с маскировкой трафика, такие как VPNUS, HideMy.name и AdGuard VPN.
Почему обычные VPN не работают при белых списках?
Обычные VPN-серверы часто находятся на IP-адресах, которые не входят в белый список, поэтому пакеты до них просто отбрасываются. Кроме того, стандартные протоколы (OpenVPN, WireGuard) легко определяются DPI по сигнатурам, и UDP-трафик часто режется жёстче.
Как проверить, работает ли обход в моём регионе?
Лучший способ — протестировать на мобильном интернете, так как белые списки чаще всего включаются именно там. Попробуйте подключиться через Wi-Fi, затем через мобильную сеть. Если на Wi-Fi всё работает, а на мобильном нет, значит, фильтрация активна. Также можно использовать разные серверы и протоколы.
Насколько стабильны методы обхода через TURN?
Стабильность низкая. Пользователи сообщают, что методы через TURN могут работать несколько недель или месяцев, но после обновлений алгоритмов Яндекса или VK они часто перестают работать. Рекомендуется иметь несколько запасных вариантов и следить за обновлениями в сообществах.