VK Cloud и обход белых списков: как работают технологии и что изменилось

Что такое белые списки и как они работают

Белые списки (whitelist) — это режим фильтрации трафика, при котором разрешён доступ только к заранее одобренным IP-адресам и доменам, а всё остальное блокируется. В отличие от чёрных списков, где запрещены конкретные ресурсы, здесь действует принцип «запрещено всё, кроме явно разрешённого». Такая модель применяется в корпоративных сетях, учебных заведениях и, в последнее время, у некоторых российских операторов связи.

Технически фильтрация реализуется на двух уровнях. Первый — сетевой (L3): маршрутизатор проверяет IP-адрес назначения и, если он не входит в разрешённый диапазон, пакет просто отбрасывается (drop). Второй — прикладной (L7): система глубокого анализа пакетов (DPI) проверяет SNI (Server Name Indication) в TLS-рукопожатии. Даже если IP разрешён, но SNI находится в чёрном списке, соединение разрывается (RST). Таким образом, трафик проходит только при совпадении обоих условий.

На практике это означает, что при включённом белом списке у пользователя открываются только те сайты, чьи IP и SNI одобрены. Например, vk.com может работать, а google.com — нет, хотя физическое соединение с интернетом есть. При этом фильтрация неоднородна: она может различаться по регионам, операторам и даже по отдельным подсетям, что создаёт сложности и для пользователей, и для администраторов.

Роль VK Cloud и Yandex Cloud в белых списках

Анализ открытых данных показывает, что значительная часть IP-адресов, включённых в белые списки, принадлежит крупным российским облачным провайдерам. В частности, Yandex.Cloud занимает первое место по количеству разрешённых адресов — более 12 тысяч, что составляет примерно пятую часть всего списка. VK Cloud, через несколько своих ASN, контролирует около трёх тысяч адресов. Также в списке присутствуют Timeweb, Selectel, REG.RU и другие хостинг-провайдеры.

Почему это важно? Потому что государственные и корпоративные сервисы часто размещаются именно в этих облаках, и исключить их из белого списка невозможно без нарушения работы значительной части инфраструктуры. Это создаёт «лазейку»: если арендовать сервер в VK Cloud или Yandex Cloud, его IP с высокой вероятностью окажется в белом списке, и трафик к нему не будет блокироваться на сетевом уровне.

Однако с 2025 года ситуация изменилась. Роскомнадзор начал активно бороться с использованием облачных серверов для организации VPN-обходов. Провайдеры получили предписания не сдавать серверы под VPN, а также ужесточили проверки. В результате «белый» IP перестал быть гарантией стабильной работы — теперь необходимо учитывать и другие факторы, такие как SNI и поведение DPI.

Почему обычные VPN не работают при белых списках

Традиционные VPN-протоколы — OpenVPN, IKEv2, WireGuard — имеют характерные сигнатуры трафика, которые легко распознаются системами DPI. Кроме того, их серверы обычно расположены за границей, и их IP-адреса не входят в белые списки. Даже если VPN-сервер находится в России, но его IP не разрешён, соединение будет заблокировано на сетевом уровне ещё до установления туннеля.

Дополнительная проблема — SNI. При установлении TLS-соединения клиент отправляет имя хоста в открытом виде. Если это имя не входит в белый список, DPI разрывает соединение. Шифрование SNI (ECH/ESNI) не помогает, так как основная блокировка происходит по IP, а не по SNI. Даже если зашифровать имя домена, IP-адрес назначения всё равно будет проверен и отклонён.

Таким образом, для обхода белых списков необходимо одновременно решить две задачи: использовать IP-адрес, который разрешён, и замаскировать трафик под легитимное HTTPS-соединение. Именно эту задачу решают современные методы, такие как VLESS с Reality и SNI-обфускация.

Технология VLESS и SNI-маскировка: как это работает

VLESS (V2Ray Lightweight Encryption Security Stream) — это упрощённый протокол, разработанный для повышения производительности и снижения накладных расходов. В отличие от VMESS, он не использует шифрование на уровне протокола, что делает его быстрее и легче. VLESS поддерживает различные транспорты: TCP, WebSocket, HTTP/2, gRPC, а также может работать поверх TLS.

Ключевая особенность VLESS — возможность маскировки трафика под обычный HTTPS. Для этого используется SNI-обфускация: клиент отправляет SNI не реального домена VPN-сервера, а домена, который заведомо есть в белом списке (например, vk.com, ya.ru или домен CDN). Система фильтрации видит разрешённый SNI и пропускает соединение, не подозревая, что внутри TLS-туннеля передаётся VPN-трафик.

Дополнительно применяется технология Reality, которая маскирует TLS-рукопожатие под соединение с реальным сайтом. Это делает трафик практически неотличимым от обычного HTTPS, что затрудняет его обнаружение даже для продвинутых DPI. В сочетании с XTLS-Vision (режимом, который минимизирует накладные расходы) VLESS Reality обеспечивает высокую скорость и стабильность.

Выбор SNI и IP для обхода: практические рекомендации

Для успешного обхода белых списков критически важен выбор SNI. Он должен быть не только в белом списке, но и не вызывать подозрений у DPI. Идеальные кандидаты — домены крупных российских сервисов, которые гарантированно разрешены: vk.com, ya.ru, vkvideo.ru, а также внутренние домены CDN, такие как storage.yandex.net, userapi.com, vkuser.net. Эти домены используются огромным количеством легитимных сервисов, поэтому их трафик не вызывает вопросов.

Важно избегать SNI, которые могут быть в чёрном списке: twitter.com, youtube.com, а также домены явно заблокированных ресурсов. Использование таких SNI приведёт к разрыву соединения (RST). Также не рекомендуется использовать SNI популярных зарубежных сервисов (google.com, cloudflare.com), так как они могут быть заблокированы на уровне IP, и даже если SNI разрешён, соединение не установится.

Что касается IP, то лучше выбирать серверы в подсетях с высокой плотностью разрешённых адресов. Например, подсети VK Cloud (212.233.x.x) и Yandex Cloud (77.88.x.x) показали хорошие результаты. Однако следует учитывать, что списки постоянно обновляются, и то, что работало вчера, может перестать работать сегодня. Поэтому рекомендуется использовать сервисы, которые регулярно обновляют списки разрешённых IP и SNI, например, openlibrecommunity/twl.

Метод двойного прыжка (vnext) для стабильности

Когда прямое подключение к зарубежным серверам блокируется, а российские серверы режут скорость, на помощь приходит метод «двойного прыжка» (vnext). Суть его в том, что российский сервер (например, в VK Cloud) используется только как точка входа, а трафик перенаправляется на зарубежный сервер через дополнительный outbound. Для ТСПУ это выглядит как обмен данными между двумя серверами внутри разрешённых сетей, что не вызывает подозрений.

Этот подход решает две проблемы: во-первых, обходит блокировку зарубежных IP, так как трафик идёт через российский сервер, который в белом списке; во-вторых, снижает нагрузку на российский сервер, так как он не занимается обработкой трафика, а только передаёт его дальше. В результате скорость соединения может быть выше, чем при прямом подключении.

Однако у метода есть и недостатки: требуется два сервера, что увеличивает стоимость, а также возможны задержки из-за дополнительного хопа. Тем не менее, для пользователей, которым важна стабильность, двойной прыжок часто является оптимальным решением.

Актуальные ограничения и риски при использовании облаков

С 2025 года Роскомнадзор активно борется с использованием облачных серверов для обхода блокировок. Провайдеры, такие как VK Cloud и Yandex Cloud, получили предписания не сдавать серверы под VPN и ужесточили проверки. В результате аренда сервера в этих облаках стала сложнее: требуется верификация, а аккаунты, замеченные в VPN-активности, могут быть заблокированы.

Кроме того, ТСПУ (технические средства противодействия угрозам) постоянно совершенствуются. Фильтры накатываются на подсети постепенно, поэтому даже если IP был в белом списке, он может быть исключён из него в любой момент. Это приводит к «отвалам» — соединение устанавливается, но трафик не идёт. В таких случаях помогает пересоздание IP-адреса (IP-farming), но это временное решение.

Также стоит учитывать, что некоторые операторы (например, Билайн и Дом.ру) применяют более жёсткие меры, блокируя даже handshake. В таких случаях может потребоваться использование дополнительных методов, таких как внедрение мусорных пакетов (I1-I5) или настройка XHTTP. Однако эти методы сложны и требуют глубоких технических знаний.

Практические примеры настройки VLESS Reality на VK Cloud

Рассмотрим пошаговую настройку VLESS Reality на сервере VK Cloud. Сначала необходимо создать виртуальную машину с публичным IP-адресом. Желательно выбирать подсеть, которая, по данным сообщества, входит в белый список (например, 212.233.x.x). После создания сервера установите на него Xray или Sing-box.

Пример конфигурации Xray для VLESS Reality:

{
  "inbounds": [{
    "port": 443,
    "protocol": "vless",
    "settings": {
      "clients": [{"id": "UUID", "flow": "xtls-rprx-vision"}],
      "decryption": "none"
    },
    "streamSettings": {
      "network": "tcp",
      "security": "reality",
      "realitySettings": {
        "dest": "vk.com:443",
        "serverNames": ["vk.com"],
        "privateKey": "...",
        "shortIds": ["..."]
      }
    }
  }],
  "outbounds": [{"protocol": "freedom"}]
}

В этом конфиге важно указать dest и serverNames — домен, который будет использоваться для маскировки. Вместо vk.com можно использовать любой другой разрешённый домен, например, ya.ru или vkvideo.ru. После запуска сервера настройте клиент, указав адрес сервера, UUID и SNI.

Если прямое подключение нестабильно, можно настроить двойной прыжок, добавив в outbounds ещё один сервер (например, в Европе) с протоколом VLESS. Тогда трафик будет идти через российский сервер на зарубежный, что повысит стабильность.

Альтернативные методы: Yandex Cloud Functions и другие

Помимо аренды VPS, существуют и другие способы обхода белых списков. Один из них — использование Yandex Cloud Functions. Это serverless-платформа, которая позволяет запускать код без управления серверами. Эндпоинт functions.yandexcloud.net, по данным сообщества, универсально входит в белые списки у всех провайдеров. Можно написать функцию, которая будет работать как SOCKS5-прокси, и подключаться к ней. Бесплатный тариф включает 1 миллион вызовов в месяц, что достаточно для базового использования.

Однако у этого метода есть ограничения: функции имеют лимит времени выполнения (обычно несколько минут), поэтому для длительных сессий он не подходит. Кроме того, DPI может распознать нестандартный трафик, если функция используется активно.

Другой вариант — использование готовых VPN-сервисов, которые уже настроены для работы с белыми списками. Например, BuzzVPN использует технологию VLESS с SNI-обфускацией и, по заявлению разработчиков, работает на всех операторах. Однако такие сервисы могут быть дорогими, а их стабильность зависит от провайдера. Перед покупкой стоит изучить отзывы и протестировать бесплатный период.

Частые ошибки и способы их решения

При настройке обхода белых списков пользователи часто сталкиваются с типичными ошибками. Одна из них — использование неправильного SNI. Если SNI не входит в белый список, соединение будет разорвано. Решение — проверить SNI через онлайн-инструменты или использовать домены из проверенных списков.

Другая проблема — «окирпичивание» сетевого стека Windows после использования некоторых VPN-клиентов. Симптомы: ошибка SEC_E_SECPKG_NOT_FOUND, невозможность открыть HTTPS-сайты. Лечится сбросом стека через команды netsh int ip reset и netsh winsock reset, после чего требуется перезагрузка.

Также часто возникают проблемы с Nginx при использовании XHTTP. Например, при перезагрузке Nginx существующие сессии падают. Решение — отключить BPF в конфигурации Nginx (quic_bpf off;). Если возникают ошибки с лимитом запросов, можно увеличить таймауты или использовать другой транспорт.

Наконец, не забывайте, что белые списки постоянно меняются. То, что работало вчера, может перестать работать сегодня. Регулярно обновляйте списки IP и SNI, а также следите за новостями в сообществах, посвящённых обходу блокировок.

Вопросы и ответы