VLESS-подписки и белый список: как выбрать рабочий VPN для России

Что такое белый список и как он меняет правила игры

Белый список (whitelist) — это режим фильтрации интернет-трафика, при котором доступ разрешён только к заранее одобренному набору доменов, а всё остальное блокируется. В отличие от привычного чёрного списка Роскомнадзора, где запрещены конкретные сайты, whitelist работает наоборот: разрешено только то, что явно указано. Для пользователя это выглядит так: Госуслуги, Wildberries, Яндекс и VK открываются, а Telegram, YouTube, GitHub и большинство зарубежных сайтов — нет.

С осени 2025 года в России периодически включают такой режим на мобильном интернете у операторов «большой четвёрки» — МТС, МегаФон, Билайн и Tele2. Домашний проводной интернет и Wi-Fi при этом работают без ограничений. Технически фильтрация выполняется на стороне ТСПУ — оборудования, установленного у операторов с 2021 года. DPI анализирует TLS SNI (имя сервера в начале handshake) или HTTP Host header и, если домен не в списке, замораживает TCP-соединение после 16–20 килобайт переданных данных. Это не разрыв с RST-флагом, а «вечная загрузка» — пользователь видит таймаут, а не ошибку соединения.

Полный состав белого списка официально не публикуется, но энтузиасты оценивают его примерно в 1000 доменов из миллиона популярных в мире — около 0,1%. Обновления списка анонсируются в Telegram-канале Минцифры @mintsifry. В список входят госсайты, маркетплейсы, экосистема Яндекса, VK, банковские приложения и личные кабинеты операторов.

Почему обычные VPN не работают в режиме whitelist

Традиционные VPN-протоколы — OpenVPN, WireGuard, IKEv2, а также Trojan и Shadowsocks без обфускации — в режиме белого списка не проходят. Причины кроются в том, как ТСПУ анализирует трафик.

Во-первых, сигнатуры этих протоколов хорошо известны. DPI распознаёт характерные паттерны handshake и блокирует соединение ещё на этапе установки. Во-вторых, даже если handshake проходит, ТСПУ замораживает сессию после первых 16–20 КБ данных. Это означает, что VPN может формально «подключиться», но интернета через него не будет — трафик упирается в стену сразу после установки туннеля.

Ключевая проблема — SNI. Когда VPN-клиент устанавливает TLS-соединение с сервером, он передаёт SNI с доменом этого сервера. Если домен не в белом списке, ТСПУ блокирует соединение. Даже если сервер находится в России, но его домен не входит в whitelist, handshake будет отклонён. Поэтому для работы в условиях белого списка нужны протоколы, которые либо маскируются под легитимный трафик, либо используют SNI из разрешённого списка.

VLESS+Reality: как работает маскировка под легитимный сайт

VLESS (V2Ray Lightweight Encryption Security Stream) — это упрощённая версия протокола V2Ray, разработанная для снижения накладных расходов и повышения производительности. В отличие от VMESS, VLESS не шифрует трафик на уровне протокола, что делает его быстрее и легче. Но главное преимущество — гибкость: VLESS поддерживает различные транспорты (TCP, WebSocket, HTTP/2, gRPC) и может работать поверх TLS.

Reality — это технология, которая маскирует TLS-handshake под обращение к реальному публичному сайту. Вместо того чтобы отправлять SNI с доменом VPN-сервера, клиент отправляет SNI легитимного домена, например yandex.ru или vk.com. Для ТСПУ соединение выглядит как обычный HTTPS-запрос к разрешённому ресурсу, и фильтрация пропускает его.

Критичный нюанс для России: в режиме whitelist SNI должен быть из белого списка разрешённых российских ресурсов. Если использовать зарубежный домен вроде cloudflare.com или google.com, ТСПУ не пропустит даже handshake, потому что эти домены не входят в whitelist. Правильный выбор — yandex.ru, mail.ru, vk.com, ok.ru, max.ru, ozon.ru, wildberries.ru, 2gis.ru и другие домены из списка. Современные VPN-сервисы для РФ-сегмента уже настраивают SNI правильно, но если вы поднимаете свой VPS, обязательно выбирайте «русский» SNI.

AmneziaWG и Hysteria2: альтернативные протоколы для обхода

Помимо VLESS+Reality, в режиме белого списка работают ещё два протокола: AmneziaWG и Hysteria2.

AmneziaWG — это российская модификация WireGuard от команды Amnezia. Перед обычным handshake протокола передаются junk-пакеты со случайными заголовками, благодаря чему ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в whitelist обычно пропускается. Производительность — как у обычного WireGuard, без накладных расходов на обёртку. Это хороший выбор, если вам нужна простота и скорость, но при этом не хочется заморачиваться с настройкой SNI.

Hysteria2 — современный протокол на QUIC поверх UDP, который маскируется под обычный HTTP/3-трафик. Его главное преимущество — собственный алгоритм контроля перегрузки Brutal: пользователь задаёт реальную полосу пропускания, и алгоритм удерживает её, не сбрасывая скорость при потерях пакетов. Это делает Hysteria2 особенно эффективным на нестабильных мобильных сетях. Внешне трафик неотличим от обычного QUIC, что позволяет обходить DPI.

Важно понимать: чистые WireGuard, OpenVPN, Trojan и Shadowsocks без обфускации в режиме whitelist не работают. Их сигнатуры известны ТСПУ, и handshake режется ещё на этапе подключения. Поэтому при выборе VPN-сервиса убедитесь, что он поддерживает хотя бы один из трёх перечисленных протоколов.

Цепочка серверов: двойной туннель для максимальной надёжности

Даже VLESS+Reality с правильным SNI может не работать, если ваш сервер находится за рубежом. ТСПУ научилось «замораживать» сессии при прямом подключении к иностранным хостингам, даже если SNI замаскирован. Решение — цепочка серверов, или двойной туннель.

Схема выглядит так: клиент → российский VPS (мост) → зарубежный VPS (выход) → интернет. Российский VPS должен иметь «белый» IP — то есть адрес, который не блокируется ТСПУ. Для этого можно использовать облачных провайдеров вроде Яндекс.Облако, VK Cloud или EDGE. Трафик между двумя серверами фильтруется значительно слабее, чем при прямом подключении пользователя за рубеж, потому что Россия не блокирует исходящий трафик с собственных коммерческих VPS.

Настройка цепочки требует двух серверов с Xray-core (минимум версии 25.12.8, чтобы не палиться под Aparecium). На зарубежной ноде поднимается обычный VLESS-инбаунд с транспортом xhttp в режиме packet-up. На российской ноде настраивается аутбаунд, который пробрасывает трафик на зарубежную ноду через vnext. Также важно настроить роутинг, чтобы российские сайты (ВК, Госуслуги, Яндекс) шли напрямую, а заблокированные — через цепочку. Это экономит трафик и ускоряет доступ к локальным ресурсам.

Минусы цепочки: нужны два VPS (около $10 в месяц) и навыки настройки. Но для важных сценариев это самый стабильный вариант на сегодня.

Как выбрать VLESS-подписку: критерии и подводные камни

Если вы не хотите настраивать цепочку вручную, можно воспользоваться готовыми VPN-сервисами, которые уже внедрили поддержку VLESS+Reality, AmneziaWG или Hysteria2. Но при выборе подписки важно обращать внимание на несколько ключевых моментов.

Во-первых, проверьте, какие протоколы поддерживает сервис. Если в описании указаны только OpenVPN или WireGuard — в режиме whitelist он не заработает. Ищите упоминание VLESS, Reality, AmneziaWG или Hysteria2.

Во-вторых, уточните, какие SNI использует сервис. Для России SNI должен быть из белого списка (yandex.ru, vk.com, max.ru и т.д.). Если сервис использует зарубежные домены вроде cloudflare.com, в режиме whitelist он не пройдёт.

В-третьих, обратите внимание на наличие российских серверов или цепочек. Некоторые сервисы, например hynet.cloud, уже внедрили цепочки и «белые» IP. Другие, как Amnezia, работают неплохо, но могут быть закрытыми и плохо дружить с другими сервисами на одном VPS. Voxiproxy оптимизирован под мобильный трафик, но его потенциал раскрывается в основном на смартфонах.

Также стоит учитывать отзывы пользователей. Например, DuckVPN на ряде провайдеров показывает результат, но в чатах часто жалуются на проблемы с доступностью через Мегафон и МТС. SayVPN предлагает сложные связки через vnext под конкретные задачи, но требует более глубоких знаний. Выбирайте сервис, который соответствует вашим потребностям и уровню технической подготовки.

Практические советы: что делать, если VPN не работает

Если в режиме белого списка VPN не подключается или интернет через него не работает, действуйте по порядку.

Сначала проверьте, подключены ли вы к мобильной сети. Если есть возможность, переключитесь на Wi-Fi — whitelist касается только мобильной передачи данных, и домашний интернет работает без ограничений. Если Wi-Fi нет, перезапустите VPN-клиент и попробуйте другую локацию сервера.

Убедитесь, что используемый протокол — VLESS+Reality, AmneziaWG или Hysteria2. Если у вас чистый WireGuard или OpenVPN, они не заработают. Проверьте, что Reality использует SNI из белого списка (yandex.ru, max.ru и т.д.). Если SNI зарубежный, замените его на российский.

Если коннект встал, но интернета нет, скорее всего, сервер уже заблокирован у вашего оператора. Попробуйте другой сервер или другой VPN-сервис. Также обратите внимание на версию Xray-core: старые версии Reality детектятся через анализ TLS 1.3 NewSessionTicket, поэтому обновите ядро до актуальной.

На будущее настройте автоматическое подключение VPN при включении устройства, чтобы при следующей блокировке не пришлось ничего настраивать в спешке. И подпишитесь на Telegram-каналы, которые отслеживают статус whitelist в регионах, — это поможет быстро реагировать на изменения.

Ограничения и риски: что нужно знать перед использованием

Использование VPN для обхода белых списков связано с определёнными ограничениями и рисками, о которых стоит знать заранее.

Во-первых, ни один протокол не даёт 100% гарантии. ТСПУ постоянно совершенствуется, и то, что работает сегодня, может перестать работать завтра. Например, энтузиасты отмечают, что ТСПУ перешли на «эконом-режим»: вместо блокировки протоколов в ноль они просто «морозят» сессии после первых пакетов данных. Это делает обход более сложным, но не невозможным.

Во-вторых, поиск «белых» IP в облаках — это лотерея. Не все IP-адреса российских облачных провайдеров проходят фильтрацию. Чтобы проверить, является ли IP «белым», разверните веб-сервер на 443 порту и попробуйте открыть его с мобильного интернета без VPN. Если сайт открывается — IP подходит.

В-третьих, настройка цепочки серверов требует технических навыков. Если вы не уверены в своих силах, лучше использовать готовые сервисы, которые уже настроили всё правильно. Но даже они могут иметь проблемы: например, на iOS лимит памяти для VPN-процесса составляет всего 50 MiB, и тяжёлые Geo-файлы могут вызывать падения клиента. Используйте облегчённые версии Geo-файлов или режим packet-up вместо stream-up.

Наконец, помните о юридических аспектах. Обход блокировок в России не запрещён напрямую, но использование VPN для доступа к запрещённым ресурсам может привлечь внимание. Делайте осознанный выбор и соблюдайте местные законы.

Будущее обхода белых списков: тенденции и прогнозы

Ситуация с белыми списками в России продолжает развиваться. По данным сообщества, к марту 2026 года режим whitelist был протестирован в 68–71 регионе РФ. Включают его точечно: при массовых мероприятиях, антитеррористических учениях, иногда без объявленной причины. Длительность варьируется от часа-двух до нескольких суток подряд.

Технологии обхода также эволюционируют. Всё больше пользователей мигрируют со статических панелей на Remnawave — платформу, которая позволяет управлять сложными цепочками и маршрутами без ручного редактирования конфигов. Это упрощает настройку и делает обход более доступным для обычных пользователей.

Протоколы продолжают совершенствоваться. Новые версии Xray-core умеют мимикрировать под TLS 1.3 NewSessionTicket, что делает детекцию Reality сложнее. Hysteria2 и AmneziaWG также получают обновления, повышающие их устойчивость к DPI.

Однако нельзя исключать, что ТСПУ адаптируется и к этим методам. Уже сейчас некоторые пользователи сообщают о проблемах с прямым подключением VLESS+Reality до Европы — ТСПУ «замораживает» такие сессии. Поэтому цепочки серверов становятся не просто опцией, а необходимостью для стабильной работы. В будущем, вероятно, появятся новые протоколы и методы обфускации, но базовые принципы — маскировка под легитимный трафик и использование «белых» IP — останутся актуальными.

Вопросы и ответы