Что такое белые списки и чем они отличаются от чёрных
Белые списки — это механизм фильтрации интернет-трафика, при котором разрешён доступ только к заранее определённым ресурсам, а всё остальное блокируется. В отличие от традиционных чёрных списков, где запрещены конкретные сайты или IP-адреса, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». Это кардинально меняет логику работы сети: если раньше пользователь мог свободно перемещаться по интернету, за исключением ограниченного числа заблокированных ресурсов, то теперь его активность жёстко ограничена утверждённым перечнем.
Технически белые списки реализуются на двух уровнях. Первый — сетевой (L3): фильтрация по IP-адресам и подсетям. Пакет, направленный к адресу, не входящему в белый список, просто отбрасывается на маршрутизаторе оператора. Второй — прикладной (L7): с помощью технологии глубокого анализа пакетов (DPI) проверяется SNI (Server Name Indication) в TLS-соединении. Даже если IP-адрес разрешён, но SNI принадлежит заблокированному ресурсу, соединение разрывается. Таким образом, система создаёт двойной барьер: сначала отсекаются неразрешённые IP, затем — нежелательные домены внутри разрешённых подсетей.
Как технически работают белые списки: L3 и L7 фильтрация
Фильтрация на уровне L3 осуществляется с помощью списков разрешённых CIDR-подсетей. Если IP-адрес назначения не входит в белый список, пакет не покидает сеть оператора — он отбрасывается на втором или третьем хопе. Это означает, что для заблокированных адресов не работает ни один протокол: ни ICMP, ни TCP на любых портах, ни UDP. Пользователь видит полную потерю пакетов (100% packet loss).
На уровне L7 вступает в действие DPI, который анализирует SNI в TLS-рукопожатии. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, ТСПУ (технические средства противодействия угрозам) отправляет RST-пакет, разрывая соединение. Интересно, что правила SNI-фильтрации могут различаться в зависимости от подсети: один и тот же домен может быть заблокирован через одну сеть, но пропускаться через другую. Например, SNI telegram.org может работать через IP Яндекса, но блокироваться через IP VK. Это указывает на отсутствие единого централизованного чёрного списка SNI и возможные ошибки в настройках.
Кто попадает в белые списки: состав и критерии отбора
Официально в белые списки включаются социально значимые и популярные ресурсы. Первая версия списка, опубликованная в сентябре 2025 года, включала госсервисы («Госуслуги»), соцсети группы VK и маркетплейсы (Ozon, Wildberries). Вторая волна расширения в ноябре добавила транспорт и логистику («Почта России», РЖД, такси «Максим»), навигацию (2GIS), ряд лояльных СМИ (РИА Новости, «Комсомольская правда») и один банк — «Альфа-Банк».
Однако критерии отбора остаются непрозрачными. Популярность не является решающим фактором: самые используемые мессенджеры — WhatsApp и Telegram — в список не попали. Кандидаты должны соответствовать требованиям «суверенного интернета», включая размещение серверов на территории РФ и особые условия маршрутизации трафика. Решающее слово при утверждении списка остаётся за силовыми ведомствами, а процесс согласования происходит «за закрытыми дверями». Это создаёт почву для лоббизма и коррупционных рисков, когда компании могут добиваться включения в список через неформальные договорённости.
Почему белые списки работают нестабильно: три главные причины
Даже попав в заветный список, сервисы часто работают с перебоями. Первая причина — перегрузка оборудования ТСПУ. В обычном режиме эти устройства работают по принципу чёрного списка, блокируя только запрещённый трафик. В режиме белых списков они должны проверять каждый пакет, что создаёт колоссальную вычислительную нагрузку. В пиковые моменты, когда миллионы пользователей одновременно пытаются зайти на разрешённые ресурсы, ТСПУ превращаются в «бутылочное горлышко», пакеты теряются или ставятся в очередь.
Вторая причина — сложная архитектура современных сайтов. Они используют CDN (Content Delivery Network), облачные сервисы и множество внешних скриптов. В белый список вносят только основной домен, а служебные адреса CDN, на которых хранятся изображения, видео или скрипты, часто остаются за бортом. В результате приложение формально работает, но пользоваться им невозможно из-за отсутствия контента.
Третья причина — бюрократическая инертность. Крупные IT-компании используют динамические IP-адреса для балансировки нагрузки и защиты от DDoS-атак. Адрес сервера может меняться несколько раз в день, а обновление белых списков происходит с задержкой, так как требует согласования между ведомствами. Пока новый пул IP-адресов проходит все круги согласования, он может уже устареть.
Банковский парадокс: почему крупнейшие банки остались за бортом
Отсутствие в белых списках Сбера и Т-Банка вызывает много вопросов, особенно учитывая, что «Альфа-Банк» номинально в список попал, но на практике его приложения всё равно работают нестабильно. Проблема кроется в архитектуре безопасности банковских приложений. Они используют сложные протоколы шифрования и технологии, которые разрывают соединение при попытке «просмотра» трафика извне. Система белых списков требует глубокой инспекции пакетов (DPI), что конфликтует с защитными механизмами банков.
Кроме того, современные банковские приложения — это экосистемы, которые обращаются к тысячам различных узлов: маркетплейсам, сервисам бронирования, страховкам. Внести все эти IP-адреса в белый список практически невозможно. Наконец, многие банки зависят от внешних облачных сервисов и систем пуш-уведомлений Google или Apple, которые в белые списки не попали. Без ответа от этих серверов приложение может зависнуть на этапе загрузки или не прислать код подтверждения.
География и неравномерность работы белых списков
Белые списки работают неравномерно как по регионам, так и по операторам связи. В Москве они включаются эпизодически, на несколько часов, в Санкт-Петербурге — редко, иногда неделями не активируются. В большинстве же регионов России белые списки работают постоянно, 24/7. Причём даже в пределах одного города ситуация может меняться от вышки к вышке: на одной улице интернет работает нормально, на соседней — только через белый список.
Разные операторы используют разные списки. То, что разрешено у Мегафона, может быть заблокировано у МТС, и наоборот. Списки постоянно обновляются: что-то добавляют, что-то убирают. Эта хаотичность создаёт дополнительные неудобства для пользователей и бизнеса, которые не могут предсказать, какие сервисы будут доступны в конкретный момент.
Что не работает в режиме белых списков: ограничения протоколов
В режиме белых списков блокируется не только доступ к неразрешённым сайтам, но и целые категории трафика. UDP-трафик режется почти полностью: не работают QUIC/HTTP3, внешние DNS-серверы (Google, Cloudflare, Яндекс), а также VPN-протоколы на стандартных портах (например, WireGuard на UDP:51820). Работает только DNS самого провайдера.
ECH/ESNI (Encrypted Client Hello) также блокируется, но даже если бы он работал, это не помогло бы обойти блокировку, поскольку основная фильтрация идёт на уровне IP (L3), а не SNI. Шифровать имя домена бесполезно, когда сам IP-адрес назначения не входит в белый список. Обычные VPN-сервисы на зарубежных VPS также не работают, так как их IP-адреса не разрешены.
Как обойти белые списки: технические методы и их ограничения
Несмотря на жёсткую фильтрацию, существуют методы обхода. Основной способ — использование VPS (виртуального частного сервера), который находится в белом списке. Например, серверы в облаках Яндекса, VK, Timeweb или Selectel. На таком сервере поднимается прокси-сервер с использованием протокола VLESS + Reality и маскировкой под разрешённый SNI (например, vk.com или ya.ru).
Другой неожиданный способ — использование VPN-серверов, которые по какой-то причине оказались в белом списке. При сканировании были обнаружены сотни серверов со словом «vpn» в домене, включая государственные VPN (например, vpn.gov45.ru) и коммерческие сервисы. Однако этот метод ненадёжен, так как списки постоянно меняются.
Важно понимать, что все методы обхода имеют ограничения. Они требуют технических знаний, стабильного доступа к разрешённому VPS и могут быть заблокированы при следующем обновлении списков. Кроме того, использование обходных путей может быть рискованным с точки зрения законодательства.
Будущее белых списков: к чему приведёт разделение интернета
Внедрение белых списков — это шаг к созданию двухскоростного интернета. В первом блоке окажутся сервисы, готовые перестроить свою архитектуру под требования силовиков: отказаться от сложного шифрования, разместить серверы в России, использовать только разрешённые CDN. Это обеспечит им доступ к пользователям, но снизит качество и безопасность продуктов.
Во втором блоке останутся все остальные сервисы, для которых работа в условиях постоянных шатдаунов и фильтрации станет нерентабельной. Это может привести к уходу с рынка многих международных и даже российских компаний, которые не смогут или не захотят соответствовать требованиям.
Эксперты предупреждают, что нынешние сбои — не временные трудности, а плата за попытку превратить открытую сеть в закрытый интранет, управляемый в ручном режиме. Постепенная нормализация такого режима может привести к его распространению на весь рунет, что окончательно изолирует российский сегмент интернета от глобальной сети.
Вопросы и ответы
Почему белые списки работают нестабильно, даже если сайт в них есть?
Нестабильность вызвана тремя основными причинами: перегрузкой оборудования ТСПУ при пиковых нагрузках, неполным включением всех IP-адресов, используемых сайтом (например, CDN-серверов), и бюрократической задержкой при обновлении списков, из-за которой динамические IP-адреса сервисов могут устаревать.
Какие сервисы точно попадут в белый список?
Точного реестра нет, но, судя по заявлениям владей и уже опубликованным спискам, туда входят госсервисы («Госуслуги»), соцсети VK, маркетплейсы (Ozon, Wildberries), транспортные сервисы (РЖД, такси), навигация (2GIS), некоторые банки («Альфа-Банк») и госмессенджер Max.
Почему Сбер и Т-Банк не попали в белый список?
Официальная причина не называется. Эксперты связывают это с техническими сложностями: банковские приложения используют сложное шифрование, которое конфликтует с DPI, зависят от тысяч внешних узлов и облачных сервисов, а также от систем пуш-уведомлений Google и Apple, которые в список не входят.
Можно ли обойти белые списки с помощью VPN?
Обычные VPN на зарубежных серверах не работают, так как их IP-адреса заблокированы. Однако можно использовать VPS, который находится в белом списке (например, в облаке Яндекса или VK), и настроить на нём прокси-сервер с маскировкой под разрешённый SNI.
Как белые списки влияют на работу мессенджеров?
WhatsApp и Telegram не входят в белые списки, поэтому во время шатдаунов они полностью блокируются. Госмессенджер Max, напротив, всегда доступен. Наблюдаются также сбои в работе звонков в иностранных мессенджерах, что может быть связано с учениями по их блокировке.
Будут ли белые списки расширяться?
Ожидается, что перечень будет обновляться еженедельно на основе рейтингов популярности, но на практике расширение происходит медленно и непредсказуемо. Критерии включения остаются непрозрачными, а решающее слово — за силовыми ведомствами.
Что будет, если мой регион перейдёт на белые списки постоянно?
Вы сможете пользоваться только одобренными сервисами. Доступ к международным ресурсам, большинству мессенджеров, зарубежным новостным сайтам и многим другим будет невозможен. Это может серьёзно ограничить вашу онлайн-активность и доступ к информации.