Белые списки интернета в России: когда включают, отключают и как это работает

Что такое белые списки и чем они отличаются от чёрных

Белые списки (whitelists) — это механизм ограничения доступа к интернету, при котором по умолчанию запрещён весь трафик, а разрешены только заранее одобренные ресурсы. В отличие от классических чёрных списков, где блокируются конкретные сайты или IP-адреса, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». Это принципиально меняет пользовательский опыт: при обычной блокировке интернет в целом работает, недоступны лишь отдельные ресурсы, а при белых списках де-факто отключается большая часть глобальной сети.

В России этот механизм начал применяться с 2025 года в отдельных регионах как временная мера безопасности, но к 2026 году в некоторых областях (например, в Свердловской) он стал постоянным. Технически белые списки реализуются на уровне ТСПУ (технических средств противодействия угрозам) и работают в двух режимах: L3-фильтрация по IP-адресам и L7-фильтрация по SNI (Server Name Indication) в TLS-соединениях.

Два уровня фильтрации: L3 и L7

Белые списки работают на двух уровнях одновременно. Первый уровень — сетевой (L3): маршрутизатор оператора проверяет IP-адрес назначения. Если он не входит в белый список, пакет просто дропается — никакого ответа не приходит, соединение не устанавливается. Это касается всех протоколов: ICMP, TCP, UDP. Для неразрешённых IP наблюдается 100% потеря пакетов.

Второй уровень — прикладной (L7): даже если IP-адрес разрешён, ТСПУ анализирует SNI в TLS-рукопожатии (ClientHello). Если SNI находится в чёрном списке, соединение разрывается принудительно (RST). Таким образом, порядок фильтрации следующий: пакет приходит → проверка IP по белому списку → если IP не разрешён, пакет отбрасывается → если IP разрешён, проверяется SNI по чёрному списку → если SNI в чёрном списке, соединение рвётся → если SNI чист, трафик пропускается.

Интересная особенность: правила SNI-фильтрации не едины для всех подсетей. Например, один и тот же SNI может пропускаться через IP Яндекса, но блокироваться через IP VK. Это говорит о том, что чёрные списки SNI различаются в зависимости от ASN (автономной системы) или даже от конкретного узла ТСПУ.

Где физически расположено ТСПУ

Определить местоположение устройства, реализующего белые списки, можно с помощью анализа TTL (Time To Live). При нормальном соединении с удалённым сервером TTL в ответных пакетах обычно составляет 53–55 (при стартовом TTL 64), что соответствует 9–11 хопам. Однако при попытке подключиться к заблокированному ресурсу (например, Telegram) ответ приходит с TTL 62 — всего два хопа. Это означает, что ответ генерируется не реальным сервером, а устройством, установленным непосредственно у оператора, сразу за первым роутером.

Таким образом, ТСПУ располагается на границе сети оператора, между абонентом и магистральным интернетом. Это позволяет фильтровать трафик до того, как он покинет сеть провайдера. Именно поэтому обход белых списков требует принципиально иных подходов, чем обход обычных блокировок.

Что входит в белый список: результаты сканирования

Практическое сканирование российских подсетей (около 80 600 подсетей из RIPE) через мобильного оператора Мегафон показало, что в белом списке находится примерно 63 126 IP-адресов, что составляет около 0,14% от всех российских адресов. Эти IP принадлежат 2 557 уникальным ASN. Топ-15 ASN по количеству IP включает Yandex.Cloud (12 906 IP), Timeweb (2 904), Ростелеком (2 312), VK (1 958), ССТ (1 806), Beget (1 644), CDNvideo (1 638) и другие.

Каждый пятый адрес в белом списке принадлежит Yandex.Cloud — это ключевой хостинг для государственных и коммерческих сервисов. VK через три разных ASN набирает около 3 000 IP, Selectel — почти 2 000. Мобильные операторы также присутствуют: МТС (531 IP), Билайн (884), МегаФон (236).

Важно: белый список не статичен. Он регулярно обновляется, и состав может различаться у разных операторов и в разных регионах. Например, у Мегафона может быть доступен Тинькофф, а у МТС — нет. При этом почти все банки в списке есть, но Сбербанк — нет, хотя его корпоративная видеозвонилка salutejazz.ru присутствует.

Региональные и временные особенности работы

Белые списки работают неравномерно как по географии, так и по времени. В Москве они включаются эпизодически, примерно на 3 часа. В Санкт-Петербурге — редко, бывают недели без БС. В большинстве регионов, особенно в Свердловской области, белые списки работают постоянно 24/7. Причём ситуация может меняться не только от региона к региону, но и от района к району, и даже от вышки к вышке: на одной остановке один IP работает, на следующей — уже нет, а через километр БС вообще отключены.

У разных операторов свои правила. У Мегафона и Т2 в одном регионе БС может работать постоянно, в другом — включаться по расписанию. У МТС и Билайна — свои сценарии. Это создаёт высокую энтропию для пользователей: невозможно заранее предсказать, будет ли доступен тот или иной ресурс в конкретной точке.

Кроме того, белые списки могут вводиться без предупреждения. Раньше приходило SMS-оповещение, теперь ограничения могут включаться молча. Это подтверждается реальными случаями: пользователи обнаруживают, что интернет перестал работать, только когда пытаются открыть привычные сайты.

Что работает, а что нет: практический опыт

Реальный опыт пользователя из Свердловской области показывает, что при белых списках работают: сервисы Яндекса (поиск, почта, карты, такси, музыка, новости), VK (социальная сеть, почта Mail.ru, Одноклассники), мессенджер MAX, Госуслуги, банковские приложения (частично), Mir Pay, RUTUBE. При этом AndroidInsider.ru, большинство рабочих инструментов и привычные сайты недоступны.

Особенность: поиск Яндекса работает, выдача отображается, но сами сайты из выдачи не открываются, так как они не в белом списке. Поиск превращается в «витрину недоступного». Бесконтактная оплата через SberPay и Яндекс Пэй не функционирует — работает только Mir Pay. Это означает, что расплатиться в магазине можно физической картой, наличными или Mir Pay.

Также важно: UDP-трафик режется почти полностью — включая QUIC (HTTP/3), DNS на внешние серверы и WireGuard на стандартных портах. Работает только DNS самого провайдера. ECH/ESNI (Encrypted Client Hello) блокируется, но даже если бы он работал, это не помогло бы, так как основная блокировка идёт по IP, а не по SNI.

Почему банки и VPN оказались в белом списке

Финансовая инфраструктура считается критически важной, поэтому банковские приложения и сервисы обычно включаются в белый список. Однако состав непостоянен: например, Сбербанк может отсутствовать, а Тинькофф — присутствовать у одного оператора и отсутствовать у другого. Это создаёт неопределённость для пользователей и бизнеса.

Отдельный феномен — VPN-сервисы в белом списке. Сканирование выявило сотни серверов со словом vpn в домене, которые пропускаются. Среди них есть как государственные (vpn.gov45.ru — Курганская область), так и частные (russvpn.ru, vpn-russia.cherna.ru). Это выглядит парадоксально: государство борется с VPN на уровне L7, но при этом собственный белый список содержит множество VPN-серверов. Возможно, это связано с тем, что часть VPN используется для легитимных целей (удалённая работа, доступ к корпоративным ресурсам), и их полная блокировка нарушила бы работу госорганов и бизнеса.

Как обойти белые списки: технические методы и их ограничения

Обычные методы обхода блокировок (VPN на зарубежных VPS, прокси, изменение DNS) не работают, потому что IP-адреса таких серверов не входят в белый список. Даже если VPN-сервер использует нестандартный порт, L3-фильтрация отсечёт его на уровне маршрутизатора.

Единственный рабочий метод — VLESS + Reality на российском VPS, IP которого находится в белом списке. Требования: VPS у хостинг-провайдера из белого списка (Timeweb, Yandex.Cloud, VK), SNI whitelisted домена (например, vk.com, ya.ru), использование Reality + XTLS-Vision для маскировки трафика. Этот метод позволяет обойти как L3, так и L7 фильтрацию, поскольку трафик выглядит как обычное HTTPS-соединение с разрешённым сервером.

Однако такой подход требует технических знаний и доступа к VPS. Для обычных пользователей обход практически невозможен. Кроме того, попытки использовать непроверенные сервисы обхода сопряжены с рисками: утечка персональных данных, заражение вредоносным ПО, потеря доступа к учётным записям.

Практические рекомендации для пользователей и бизнеса

Для обычных пользователей: заранее скачайте офлайн-карты, сохраните важные документы и контакты в локальном хранилище, узнайте, какие сервисы работают в вашем регионе. Используйте мессенджеры, входящие в белый список (например, MAX), для связи. Проверьте, работает ли Mir Pay, и имейте при себе физическую банковскую карту.

Для бизнеса: обеспечьте резервный канал доступа в интернет (например, через проводного провайдера, который не использует белые списки). Регулярно создавайте локальные копии важных данных. Проверьте, какие ваши сервисы входят в белый список, и, если необходимо, перенесите их на хостинг из разрешённого перечня. Используйте отечественные облачные решения, если они есть в списке.

Важно: не пытайтесь обходить ограничения сомнительными методами — это может привести к потере данных или заражению устройства. Следите за официальными объявлениями Минцифры и вашего оператора связи.

Перспективы развития системы белых списков

По мере цифровизации государственных и коммерческих сервисов перечень разрешённых ресурсов будет расширяться. Ожидается включение медицинских платформ, образовательных проектов, дополнительных региональных ресурсов. Возможно появление единых критериев включения и более прозрачной процедуры рассмотрения заявок.

Однако есть и обратная сторона: временные меры имеют свойство становиться постоянными. Если сейчас белые списки работают в отдельных регионах, то в будущем они могут распространиться на всю страну. Техническая инфраструктура для этого уже построена и обкатана. Это означает, что пользователям и бизнесу стоит готовиться к автономной работе заранее, не полагаясь на то, что «всё вернётся как было».

Вопросы и ответы