Белые списки DNS и интернет-фильтрация: как устроены, что входит и как сохранить доступ

Что такое белые списки и чем они отличаются от чёрных

Белый список (whitelist) — это перечень интернет-ресурсов, доступ к которым разрешён при временных ограничениях мобильной сети. В отличие от чёрных списков, где запрещены конкретные сайты, белый список работает по принципу «запрещено всё, кроме явно разрешённого». Это означает, что если домен или IP-адрес не включён в перечень, трафик к нему блокируется на уровне оператора связи.

Технически фильтрация происходит на двух уровнях: сетевом (L3) и прикладном (L7). На сетевом уровне проверяется IP-адрес назначения: если он не входит в разрешённые подсети, пакет отбрасывается ещё до того, как попадёт в интернет. На прикладном уровне DPI-система анализирует SNI (Server Name Indication) в TLS-запросе и может разорвать соединение, если домен находится в чёрном списке SNI.

Важно понимать, что белые списки применяются в основном к мобильному интернету. Домашний проводной интернет и Wi-Fi обычно продолжают работать без ограничений, если для них не введены отдельные меры. Поэтому при проблемах с доступом через сотовую сеть стоит проверить, открывается ли сайт через другое подключение.

Как формируется белый список и кто его утверждает

Формированием белого списка занимается Министерство цифрового развития (Минцифры) совместно с операторами связи и владельцами цифровых платформ. Единого открытого документа со всем перечнем не существует — министерство публикует лишь новости о расширении списка и добавляемых категориях. По данным Минцифры, в 2026 году в белый список входит более 500 российских сайтов, сервисов и мобильных приложений.

Критерии включения ресурса в перечень:

• востребованность у пользователей;
• соответствие требованиям безопасности;
• размещение вычислительных мощностей на территории России;
• рекомендация федеральных или региональных органов власти как социально значимого ресурса.

Операторы связи могут расширять базовый список Минцифры с учётом собственной инфраструктуры и региональных особенностей. Поэтому перечни доступных сервисов у разных операторов могут отличаться: то, что работает у одного, может быть недоступно у другого. Например, в списках операторов часто встречаются приложения магазинов и служб доставки, которых нет в официальном перечне.

Какие категории сервисов остаются доступными

Белый список охватывает десятки категорий, критически важных для повседневной жизни. Среди них:

• Соцсети и мессенджеры: ВКонтакте, Одноклассники, Mail.ru, MAX.
• Банки и платёжные системы: Альфа-банк, ВТБ, ПСБ, Газпромбанк, МТС Банк, система «Мир», СБП, Московская биржа.
• Маркетплейсы: Ozon, Wildberries, Мегамаркет, Яндекс Маркет.
• Доставка еды и продукты: ВкусВилл, Ашан, Магнит, Лента, Пятёрочка, Перекрёсток, Самокат, Яндекс Еда и Лавка.
• Транспорт и путешествия: РЖД, Аэрофлот, Победа, S7, Туту.ру, 2ГИС, Яндекс Карты, Яндекс Go, такси Максим, каршеринги.
• СМИ и развлечения: РИА Новости, РБК, ТАСС, Первый канал, НТВ, RT, Дзен, Rutube, онлайн-кинотеатры (Иви, Okko, Кинопоиск, Wink, Premier), Яндекс Музыка.
• Госуслуги и ведомства: портал Госуслуги, Почта России, сайт ЦБ, ГИС ЖКХ, сайты министерств и ведомств.
• Медицинские сервисы: приложения для мониторинга глюкозы, платформы дистанционного наблюдения, сервисы клиник.

Также в списке присутствуют специализированные платформы: 1С, Росатом, Ростех, ГЛОНАСС, HH.ru, ЛизаАлерт, Добро.рф и другие.

Как работает DNS-фильтрация в режиме белых списков

DNS — это система, которая преобразует доменные имена в IP-адреса. В режиме белых списков операторы часто ограничивают доступ к внешним DNS-серверам. Например, у некоторых операторов запросы к 8.8.8.8 (Google) или 1.1.1.1 (Cloudflare) просто не проходят — они блокируются на уровне UDP-порта 53. Работает только DNS-сервер самого оператора, который резолвит только разрешённые домены.

Это создаёт дополнительные сложности для пользователей, которые привыкли использовать сторонние DNS для обхода блокировок или повышения конфиденциальности. Однако стоит отметить, что правила DNS-фильтрации различаются у разных операторов и могут меняться со временем. Некоторые операторы оставляют доступ к определённым DNS-серверам, другие — полностью закрывают.

Для проверки доступности DNS можно использовать команду dig @8.8.8.8 ya.ru — если ответа нет, значит, внешний DNS заблокирован. В таком случае остаётся полагаться на DNS провайдера или использовать зашифрованные DNS-протоколы (DoH, DoT), если они не блокируются.

Особенности работы DPI и SNI-фильтрации

DPI (Deep Packet Inspection) — это технология глубокого анализа трафика, которая позволяет оператору определять, к какому ресурсу обращается пользователь, даже если соединение зашифровано. В контексте белых списков DPI проверяет SNI — поле в TLS-запросе, которое содержит имя сервера. Если SNI находится в чёрном списке, соединение разрывается (RST).

Интересная особенность: SNI-фильтрация не всегда консистентна. Например, один и тот же домен может пропускаться через IP-адрес Яндекса, но блокироваться через IP-адрес VK. Это связано с тем, что правила фильтрации могут различаться для разных подсетей и ASN. Также в чёрный список SNI попадают не все заблокированные домены — например, google.com может быть заблокирован по IP, но не по SNI, поскольку это нарушило бы работу множества легитимных сервисов, использующих Google API.

Важно понимать, что SNI-фильтрация — это лишь второй уровень защиты. Основная блокировка происходит на уровне IP-адресов, поэтому даже если зашифровать SNI (например, с помощью ECH), это не поможет, если сам IP-адрес не входит в белый список.

Практические способы обхода белых списков

Несмотря на серьёзность фильтрации, существуют технические методы обхода, которые активно обсуждаются в сообществах. Вот основные из них:

1. VLESS + Reality на российском VPS. Этот метод считается одним из самых стабильных. Требуется арендовать VPS-сервер с IP-адресом, который входит в белый список (например, у Yandex Cloud, Timeweb, VK). На сервере настраивается VLESS с протоколом Reality, который маскирует трафик под обычное TLS-соединение. В качестве SNI используется домен из белого списка, например vk.com или ya.ru.

1. Подписки VPN-конфигураций. В интернете распространяются готовые подписки с конфигурациями для обхода белых списков. Они содержат серверы, IP-адреса которых уже проверены и работают. Подписки можно импортировать в VPN-клиенты, такие как v2rayNG, Nekobox, Tunnel.

1. Проброс трафика через TURN-серверы. Некоторые сервисы, например VK Calls, используют TURN-серверы для передачи данных. Через них можно организовать туннель с шифрованием DTLS, который не блокируется.

1. Использование приложений с собственными серверами. Существуют приложения, специально разработанные для обхода белых списков, например FPTN VPN, Silent VPN, invisible. Они используют различные протоколы и маскировку.

1. Подмена SNI. Если IP-адрес сервера в белом списке, но SNI заблокирован, можно подменить SNI на разрешённый домен. Это работает, если DPI не проверяет соответствие SNI и IP-адреса.

Важно помнить, что методы обхода могут перестать работать после обновления правил фильтрации, и их использование может нарушать законодательство.

Что не работает при белых списках и почему

Многие привычные методы обхода блокировок оказываются бесполезными в режиме белых списков. Вот что не работает:

• Обычные VPN-сервисы. Если IP-адрес VPN-сервера не входит в белый список, подключение невозможно — пакеты просто отбрасываются на уровне L3.
• QUIC и HTTP/3. Протокол QUIC, используемый для HTTP/3, работает поверх UDP, а UDP-порты в режиме белых списков часто блокируются полностью.
• ECH/ESNI (Encrypted Client Hello). Даже если зашифровать SNI, это не поможет, потому что блокировка идёт по IP-адресу, а не по домену.
• Стандартные DNS-запросы к внешним серверам. Как уже упоминалось, внешние DNS-серверы часто недоступны.

Также стоит учитывать, что фильтрация может быть нестабильной: в одном районе города интернет может работать нормально, а в соседнем — быть ограниченным. Это связано с тем, что ТСПУ (технические средства противодействия угрозам) могут включаться и выключаться в разных сегментах сети.

Как проверить доступность ресурсов и что делать при сбоях

Если вы столкнулись с тем, что мобильный интернет перестал открывать привычные сайты, есть несколько способов проверить, связана ли проблема с белыми списками:

1. Попробуйте открыть сайт через Wi-Fi. Если через Wi-Fi сайт открывается, а через мобильную сеть — нет, скорее всего, действуют ограничения.
2. Проверьте доступность заведомо разрешённых ресурсов, например vk.com или ya.ru. Если они открываются, а google.com — нет, это явный признак белого списка.
3. Используйте команду ping или traceroute для проверки доступности IP-адресов. Если пакеты не проходят, значит, IP заблокирован.
4. Обратитесь в службу поддержки оператора. Операторы обычно предоставляют информацию о временных ограничениях и списках доступных сервисов.

Если вам нужен доступ к заблокированным ресурсам, можно рассмотреть технические методы обхода, описанные выше. Однако помните о юридических рисках и возможных последствиях.

Будущее белых списков и что изменится

Белые списки — это не статичная система. Они постоянно обновляются: добавляются новые сервисы, убираются старые, меняются правила фильтрации. По данным Минцифры, список расширяется, чтобы охватить больше социально значимых ресурсов. Например, весной 2026 года были добавлены медицинские сервисы для людей с хроническими заболеваниями.

Однако технические специалисты отмечают, что белые списки создают серьёзные проблемы для пользователей и бизнеса. Многие зарубежные сервисы, включая Google, YouTube, Telegram, становятся недоступными, что ограничивает доступ к информации и коммуникации. В ответ на это развиваются методы обхода, и, вероятно, фильтрация будет ужесточаться.

В долгосрочной перспективе возможно внедрение более сложных систем фильтрации, которые будут учитывать не только IP и SNI, но и другие параметры трафика. Однако полная изоляция интернета вряд ли возможна, поскольку это потребует огромных ресурсов и приведёт к значительным экономическим и социальным издержкам.

Вопросы и ответы