Что такое белые списки и почему они ломают привычные VPN
Белый список — это подход к фильтрации трафика, при котором разрешено только то, что явно внесено в перечень. В отличие от черных списков, где блокируются конкретные адреса или домены, белый список по умолчанию запрещает всё, что не соответствует критериям. Для пользователя это означает, что даже если VPN-сервер не заблокирован, его трафик может быть отброшен просто потому, что он не похож на разрешенный.
На практике белые списки реализуются на уровне DPI (Deep Packet Inspection) и маршрутизации. Оператор или государственная инфраструктура анализирует заголовки TLS-соединений (SNI), IP-адреса назначения и другие метаданные. Если соединение не соответствует ожидаемому шаблону — например, обращается к неизвестному IP или использует нестандартный протокол — оно обрывается. Именно поэтому классические OpenVPN, WireGuard и даже Shadowsocks, которые не маскируются под обычный HTTPS, перестают работать в таких условиях.
Важно понимать, что белые списки бывают разными: по SNI (доменному имени), по IP-адресам или по CIDR-диапазонам. Наиболее жесткий вариант — проверка и SNI, и IP одновременно: соединение должно вести на разрешенный домен, и IP-адрес сервера должен принадлежать разрешенной подсети. Это делает обход значительно сложнее, чем простая подмена SNI.
VLESS Reality: как работает маскировка под легитимный сайт
VLESS — это легковесный прокси-протокол, который сам по себе не имеет ярко выраженного «почерка» в трафике. Однако его ключевая особенность — надстройка Reality, которая позволяет серверу имитировать TLS-рукопожатие с реальным сайтом-донором. Когда клиент подключается к VLESS-серверу, DPI видит обычное HTTPS-соединение с, например, Microsoft или Apple. Если цензор попытается активно проверить сервер, он будет перенаправлен на настоящий сайт-донор, что не выдаст прокси.
Reality не требует покупки домена и SSL-сертификата, что упрощает развертывание. Вместо этого используется публичный ключ и параметры сайта-донора. Это делает технологию привлекательной для тех, кто хочет быстро поднять свой сервер. Однако именно эта простота привела к тому, что провайдеры начали активнее внедрять белые списки, которые проверяют не только SNI, но и IP-адрес назначения.
Ключевое преимущество VLESS Reality — устойчивость к активному прощупыванию. Если DPI попытается установить соединение с сервером, он получит ответ от реального сайта, а не от прокси. Это отличает Reality от старых методов, таких как Trojan, где сервер мог выдать себя при проверке. Тем не менее, даже Reality не является панацеей: если IP-адрес сервера не входит в белый список, соединение будет заблокировано еще до того, как начнется TLS-рукопожатие.
Почему VLESS перестал работать: основные причины
Массовые жалобы на неработающий VLESS начали появляться в ноябре 2025 года. Пользователи сообщали, что протоколы VLESS, Trojan, Vmess и Reality перестали работать при белых списках, хотя ранее все функционировало. Основная причина — переход от блокировок по SNI к блокировкам по IP-адресам. Операторы начали проверять не только домен, к которому обращается клиент, но и IP-адрес сервера, на который фактически идет трафик.
Если раньше достаточно было подменить SNI на популярный домен (например, stats.vk-portal.net), то теперь требуется, чтобы IP-адрес VPS входил в CIDR-диапазон, разрешенный белым списком. Это значительно сужает возможности: большинство зарубежных хостингов, таких как Aeza или Hetzner, не входят в белые списки российских операторов. Даже если SNI корректно настроен, соединение обрывается на уровне IP-фильтрации.
Другая распространенная причина — неправильная настройка конфигурации. Например, если в настройках указан dest (целевой адрес маскировки), который не соответствует SNI, или если DNS-сервер не совпадает с ожидаемым, соединение может быть заблокировано. Также стоит учитывать, что операторы постоянно обновляют свои фильтры, и то, что работало вчера, может перестать работать сегодня. Поэтому важно регулярно проверять актуальность конфигурации и использовать свежие списки SNI.
Как выбрать сайт-донор для VLESS Reality
Выбор сайта-донора — критически важный шаг для успешной маскировки. Сайт должен соответствовать нескольким критериям: поддерживать TLS v1.3, иметь OCSP Stapling, а его IP-адрес должен быть в белом списке целевого региона. В 2026 году лучшими кандидатами считаются ресурсы, которые критически важны для инфраструктуры: обновления операционных систем, CDN крупных технологических компаний, государственные порталы.
Практика показывает, что домены вроде stats.vk-portal.net или preview.rutube.ru работали до определенного момента, но после внедрения IP-фильтрации перестали быть эффективными. Сейчас пользователи сообщают, что работают только те серверы, которые размещены в облаках Яндекса или VK, так как их CIDR-диапазоны включены в белые списки. Однако даже здесь есть нюансы: не каждый IP из диапазона Яндекса подходит, и операторы могут блокировать отдельные подсети.
При выборе донора стоит избегать слишком популярных доменов, таких как google.com, так как они могут быть под особым контролем. Лучше использовать менее заметные, но легитимные ресурсы, например, поддомены крупных сервисов. Также важно, чтобы dest и SNI совпадали: если вы маскируетесь под vk.com, то и целевой адрес должен быть в зоне vk.com, иначе DPI заметит несоответствие.
Альтернативные методы обхода: CDN, облака и другие протоколы
Когда VLESS Reality перестает работать, пользователи ищут альтернативы. Один из методов — использование CDN (Content Delivery Network). Идея заключается в том, чтобы разместить прокси за CDN, например, Cloudflare или VK Cloud. Трафик идет на IP-адрес CDN, который входит в белый список, а CDN уже перенаправляет его на ваш сервер. Однако этот метод имеет ограничения: не все CDN доступны в России, а Cloudflare может быть заблокирован или замедлен.
Другой подход — аренда VPS в облаках, которые входят в белые списки. Например, Yandex Cloud и VK Cloud имеют CIDR-диапазоны, которые операторы включают в белые списки, так как их сервисы должны работать. Пользователи сообщают, что размещение VLESS-сервера на таких облаках позволяет обойти блокировки, но это дороже, чем обычный VPS, и требует тщательной настройки.
Также упоминаются протоколы вроде Amnezia WireGuard и ShadowSocks Outline, но они, как правило, не работают при белых списках, так как их трафик легко идентифицировать. Некоторые пользователи экспериментируют с xhttp (HTTP-транспорт) в сочетании с CDN, но это сложнее в настройке и не гарантирует стабильности. В целом, универсального решения нет, и приходится подбирать метод под конкретного оператора и регион.
Настройка VLESS-клиента: split-маршрутизация и профили
Когда белый список ограничивает доступ, может быть полезно использовать split-маршрутизацию (split tunneling). Вместо того чтобы гнать весь трафик через VPN, вы можете настроить клиент так, чтобы через туннель шли только нужные домены или приложения, а остальной трафик — напрямую. Это снижает нагрузку на VPN и уменьшает вероятность обнаружения.
В клиентах, таких как v2rayNG, v2rayN, Nekoray или Karing, есть функции для создания правил маршрутизации. Например, вы можете указать, что трафик к определенным доменам (например, заблокированным сайтам) идет через VLESS, а все остальное — напрямую. Это особенно полезно, если оператор блокирует только часть трафика, а не все.
Профили в клиентах позволяют сохранять несколько конфигураций и быстро переключаться между ними. При настройке важно проверить, что subscription URL (ссылка на подписку) актуален, и что вы используете последнюю версию клиента. Также стоит отключить Always-On VPN на телефоне, если он конфликтует с VLESS-клиентом. После изменения настроек рекомендуется провести IP-чек и проверить, открывается ли целевой сайт.
Диагностика проблем: что делать, если VLESS не работает
Если VLESS перестал работать, не спешите переустанавливать клиент или менять сервер. Сначала проведите диагностику. Проверьте, работает ли соединение через Wi-Fi и мобильный интернет — часто проблема связана с конкретным оператором. Сравните IP-адрес, который видит сервер, с ожидаемым. Если IP-адрес вашего VPS не входит в белый список, это объясняет блокировку.
Проверьте настройки SNI и dest: они должны соответствовать друг другу и быть актуальными. Используйте скрипты для сканирования доступных SNI, например, с помощью openssl s_client. Если SNI пингуется, но соединение не устанавливается, возможно, проблема в IP-фильтрации. В этом случае попробуйте сменить сервер на тот, который находится в облаке Яндекса или VK.
Также проверьте, не включены ли системные прокси или другие VPN-клиенты, которые могут конфликтовать. Обновите панель управления (например, 3X-UI) и перезапустите сервер. Если ничего не помогает, попробуйте другой протокол, например, xhttp с CDN, или обратитесь к сообществу за свежими рекомендациями. Помните, что ситуация меняется ежедневно, и то, что работало вчера, может не работать сегодня.
Будущее обхода блокировок: что нас ждет
Противостояние между теми, кто создает VPN, и теми, кто их блокирует, будет продолжаться. Операторы внедряют все более сложные методы фильтрации, включая анализ поведения трафика и машинное обучение. Белые списки по IP — это лишь один из шагов. В будущем можно ожидать более глубокого анализа TLS-рукопожатий и даже проверки содержимого трафика.
Технологии вроде VLESS Reality будут развиваться, но их эффективность будет зависеть от способности адаптироваться к новым методам блокировки. Возможно, появятся новые протоколы, которые будут использовать нестандартные подходы, например, передачу данных через DNS-запросы или даже через голосовые звонки (как упоминалось в обсуждениях). Однако такие методы, скорее всего, будут медленными и ненадежными.
Для пользователей это означает, что не стоит полагаться на один метод. Лучше иметь несколько серверов в разных локациях и у разных провайдеров, а также быть готовым к частой смене конфигураций. Сообщества, такие как Хабр Q&A, остаются ценным источником информации о том, что работает в данный момент. В конечном счете, обход блокировок — это постоянная гонка, и успех зависит от гибкости и готовности адаптироваться.
Вопросы и ответы
Почему VLESS Reality перестал работать при белых списках?
Основная причина — переход от блокировок по SNI к блокировкам по IP-адресам. Операторы начали проверять не только домен, к которому обращается клиент, но и IP-адрес сервера. Если IP вашего VPS не входит в CIDR-диапазон, разрешенный белым списком, соединение обрывается, даже если SNI настроен правильно. Также возможно, что выбранный сайт-донор попал под общие ограничения.
Как выбрать сайт-донор для VLESS Reality?
Сайт-донор должен поддерживать TLS v1.3 и OCSP Stapling, а его IP-адрес должен быть в белом списке целевого региона. Лучше выбирать ресурсы, критически важные для инфраструктуры, например, поддомены крупных сервисов вроде VK или Яндекса. Важно, чтобы dest и SNI совпадали, иначе DPI заметит несоответствие. Избегайте слишком популярных доменов, таких как google.com.
Что делать, если VLESS не работает на мобильном интернете, но работает по Wi-Fi?
Скорее всего, ваш мобильный оператор использует более строгие белые списки, чем домашний провайдер. Попробуйте сменить SNI на домен, который работает у этого оператора, или переключитесь на сервер, размещенный в облаке Яндекса или VK. Также проверьте, не включены ли системные прокси, и попробуйте использовать split-маршрутизацию, чтобы через VPN шли только нужные домены.
Можно ли обойти белый список по IP?
Белый список по IP обойти практически невозможно, если он реализован на уровне маршрутизации. Единственный способ — использовать сервер, IP-адрес которого входит в разрешенный CIDR-диапазон. Это могут быть облака крупных компаний, таких как Yandex Cloud или VK Cloud. Некоторые пользователи пытаются использовать CDN, но это не всегда работает и может быть дорого.
Какие клиенты поддерживают VLESS Reality?
Наиболее популярные клиенты: v2rayNG (Android), v2rayN (Windows), Nekoray/Nekobox (кроссплатформенные), FoXray/V2Box (iOS). Все они поддерживают импорт ключей формата vless:// и настройку параметров Reality. Важно использовать последние версии клиентов, так как они включают обновления для совместимости с новыми протоколами.
Влияет ли VLESS на скорость интернета?
VLESS считается одним из самых быстрых протоколов, так как он не добавляет лишнего шифрования поверх TLS. Скорость зависит от удаленности сервера и качества канала. При использовании CDN или облаков скорость может быть ниже из-за дополнительных промежуточных узлов. Для 4K-стриминга и игр VLESS обычно подходит, если сервер расположен близко.
Как часто нужно обновлять конфигурацию VLESS?
Рекомендуется проверять актуальность конфигурации каждые несколько недель, так как операторы постоянно обновляют фильтры. Если вы заметили, что соединение стало нестабильным, проверьте SNI и IP-адрес сервера. Также следите за обсуждениями в сообществах, где пользователи делятся свежими рабочими SNI и методами обхода.