Обход белых списков Reality: рабочие протоколы, SNI и цепочки серверов в 2026 году

Что такое белый список и чем он отличается от обычной блокировки

Белый список — это режим фильтрации, при котором доступ разрешён только к заранее одобренному набору доменов, а всё остальное блокируется. В отличие от классического чёрного списка Роскомнадзора, где запрещены конкретные сайты, здесь по умолчанию закрыт почти весь интернет. Пользователь видит, что Госуслуги, Wildberries, Яндекс и VK открываются, но Telegram, YouTube, GitHub и большинство зарубежных ресурсов не загружаются.

Список формирует Минцифры совместно с операторами и межведомственной комиссией, в которую входят представители ФСБ и Роскомнадзора. Полный перечень официально не публикуется, но энтузиасты оценивают его примерно в 1000 доменов из миллиона популярных в мире — около 0,1%. Обновления состава списка появляются в Telegram-канале @mintsifry.

Технически фильтрация выполняется на стороне ТСПУ — оборудования, установленного у мобильных операторов с 2021 года. DPI анализирует TLS SNI (имя сервера в начале handshake) или HTTP Host header. Если домен в белом списке — соединение проходит, если нет — TCP-сессия замораживается после 16–20 килобайт переданных данных. Это не разрыв с RST-флагом, а намеренное «подмораживание»: пользователь видит вечную загрузку и таймаут, а не ошибку соединения.

Почему VLESS+Reality перестал работать: новые методы ТСПУ

До осени 2025 года VLESS+Reality с подменой SNI на популярный домен (например, stats.vk-portal.net) успешно обходил блокировки. Однако с ноября 2025 года пользователи массово сообщают, что даже при корректно настроенном SNI соединение не устанавливается. Причина — ТСПУ начали проверять не только SNI, но и IP-адрес сервера, к которому идёт трафик.

Раньше достаточно было указать SNI легитимного сайта, и DPI пропускал трафик, не проверяя, куда реально уходит соединение. Теперь ТСПУ сравнивает IP-адрес, который резолвится для домена из SNI, с фактическим IP назначения. Если они не совпадают — соединение блокируется. Это означает, что для успешного обхода нужно, чтобы IP вашего VPS находился в подсети, которая входит в белый список оператора.

Дополнительно ТСПУ освоили технику «заморозки» сессий: они не рвут соединение сразу, а дают передать 15–20 КБ данных, после чего пакеты перестают доходить. Это делает диагностику сложнее — VPN может «подключаться», но интернет через него не работает.

Какие протоколы реально проходят белые списки

В режиме whitelist выживают только три протокола: VLESS+Reality, AmneziaWG и Hysteria2. Чистые WireGuard, OpenVPN, Trojan и Shadowsocks не работают — их сигнатуры известны ТСПУ, и handshake режется ещё на этапе подключения.

VLESS+Reality остаётся самым стойким вариантом, но с критичным условием: SNI должен быть из белого списка разрешённых российских ресурсов. Подходят yandex.ru, mail.ru, vk.com, ok.ru, max.ru, ozon.ru, wildberries.ru, 2gis.ru и другие. Если использовать зарубежный SNI, ТСПУ не пропустит даже handshake.

AmneziaWG — российская модификация WireGuard от команды Amnezia. Перед обычным handshake протокола передаются junk-пакеты со случайными заголовками, из-за чего ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в whitelist обычно пропускается. Производительность — как у обычного WireGuard, без накладных расходов.

Hysteria2 работает на QUIC поверх UDP и маскируется под обычный HTTP/3-трафик. Благодаря собственному congestion-контролю Brutal он хорошо держит скорость на нестабильных мобильных сетях. Пользователь задаёт реальную полосу пропускания, и алгоритм её удерживает даже при потерях пакетов.

Как выбрать правильный SNI для Reality в России

Выбор SNI — ключевой момент при настройке VLESS+Reality для обхода белых списков. Если раньше можно было использовать любой популярный домен, то теперь SNI должен быть из белого списка, иначе ТСПУ заблокирует соединение ещё на этапе handshake.

Проверенные домены: yandex.ru, mail.ru, vk.com, ok.ru, max.ru, ozon.ru, wildberries.ru, 2gis.ru. Важно, чтобы домен реально существовал и имел действующий TLS-сертификат. Некоторые пользователи сообщают, что домены вроде stats.vk-portal.net перестали работать, поэтому лучше использовать основные домены крупных сервисов.

Также стоит обратить внимание на параметр dest — адрес назначения, который видит DPI. Он должен соответствовать домену из SNI. Если SNI указывает на vk.com, а dest — на google.com, это красный флаг для ТСПУ. В конфигурации Xray нужно настроить и SNI, и dest так, чтобы они принадлежали одной доменной зоне.

Некоторые пользователи отмечают, что эмулируемый браузер (fingerprint) тоже влияет на работу. Рекомендуется использовать fingerprint chrome или safari, но не все комбинации одинаково стабильны — приходится экспериментировать.

Белые IP и подсети: почему VPS должен быть «белым»

После ноябрьских обновлений ТСПУ начали проверять не только SNI, но и IP-адрес сервера. Если IP не входит в подсети, которые оператор включил в белый список, соединение блокируется, даже если SNI правильный. Это объясняет, почему у многих перестали работать конфиги, которые раньше функционировали.

Энтузиасты выяснили, что у некоторых операторов (например, Tele2) блокировка идёт по CIDR-диапазонам. Если ваш VPS находится в подсети Яндекса или VK Cloud, которая официально входит в белый список, трафик может проходить. Но найти такой IP — непростая задача: крупные сервисы уже забрали большинство «белых» адресов.

Практический способ проверки: разверните на VPS любой веб-сервер на 443 порту и попробуйте открыть его с мобильного интернета без VPN. Если сайт открывается — IP «белый». Если нет — скорее всего, IP заблокирован.

Некоторые пользователи сообщают, что у МТС и Tele2 работают подсети Yandex Cloud (например, 51.250.x.x или 212.233.x.x), а у VK Cloud «белые» IP поймать почти невозможно. EDGE Cloud также упоминается как вариант с CDN.

Цепочка серверов: как обойти блокировку через российский VPS

Когда прямые подключения к зарубежным серверам блокируются, на помощь приходит цепочка из двух серверов: клиент → российский VPS («мост») → зарубежный VPS («выход») → интернет. ТСПУ видит, что вы общаетесь с российским сервером, и относится к этому трафику лояльно, а дальше связь между серверами фильтруется значительно слабее.

Для настройки цепочки понадобятся два VPS: один в России (желательно с «белым» IP), другой за границей. На обоих должен стоять Xray-core версии не ниже 25.12.8 — старые версии Reality детектятся через анализ TLS 1.3 NewSessionTicket.

На зарубежной ноде поднимается обычный VLESS-инбаунд с транспортом xhttp в режиме packet-up. Это снижает нагрузку на память и уменьшает вероятность детекта. На российской ноде настраивается outbound, который пробрасывает трафик на зарубежный сервер через vless+reality.

Важно настроить роутинг на российской ноде: русские сайты (ВК, Госуслуги, Яндекс) должны идти напрямую, а заблокированные — через цепочку. Это экономит трафик и ускоряет доступ к легитимным ресурсам.

Минусы такого подхода — нужны два VPS (около $10 в месяц) и навыки настройки. Но для стабильной работы в условиях белых списков это один из самых надёжных вариантов.

Практические советы по настройке Xray и 3X-UI панели

Если вы используете 3X-UI панель, убедитесь, что она обновлена до актуальной версии. Пользователи сообщают, что после обновления сертификата и перезапуска панели на Wi-Fi всё работает, но на мобильном интернете — нет. Это типичная ситуация, когда блокировка применяется только к мобильной сети.

Проверьте, что SNI в конфигурации Reality указывает на домен из белого списка. Если используете свой домен, привязанный к VPS, убедитесь, что он имеет действующий SSL-сертификат. Некоторые пользователи рекомендуют использовать freedns.afraid.org для привязки домена, но это не гарантирует «белость» IP.

Для проверки доступности SNI можно использовать скрипт с openssl s_client, который проверяет, отвечает ли домен на 443 порту. Однако пингование SNI не гарантирует, что трафик пройдёт — ТСПУ может блокировать по IP, а не по домену.

Если VPN подключается, но интернет не работает, проверьте, не используется ли чистый WireGuard или OpenVPN — они не проходят whitelist. Переключитесь на VLESS+Reality, AmneziaWG или Hysteria2. Также попробуйте сменить сервер или локацию — возможно, конкретный IP уже заблокирован у вашего оператора.

Что делать, если VPN не работает в режиме белого списка

Пошаговый план действий, если вы столкнулись с блокировкой:

1. Подключитесь к Wi-Fi. Белые списки касаются только мобильной передачи данных, домашний интернет и Wi-Fi работают без ограничений. Если на Wi-Fi всё открывается, значит, проблема именно в мобильной сети.

1. Проверьте, какой протокол использует ваш VPN. Если это чистый WireGuard, OpenVPN, Trojan или Shadowsocks — они не пройдут whitelist. Нужен VLESS+Reality, AmneziaWG или Hysteria2.

1. Убедитесь, что SNI в Reality указывает на российский домен из белого списка (yandex.ru, vk.com, max.ru и т.д.). Если SNI зарубежный — замените его.

1. Попробуйте другой сервер или другого VPN-провайдера. Возможно, IP вашего сервера заблокирован, а у другого провайдера есть «белые» IP.

1. Если ничего не помогает, рассмотрите настройку цепочки серверов через российский VPS с «белым» IP. Это сложнее, но даёт наибольшую стабильность.

1. Следите за обновлениями в Telegram-каналах, посвящённых обходу блокировок. Ситуация меняется ежедневно, и то, что работало вчера, может перестать работать сегодня.

Ограничения и риски: что нужно знать о «войне» с ТСПУ

Важно понимать, что обход белых списков — это бесконечная гонка. ТСПУ постоянно совершенствуются, и методы, которые работают сегодня, завтра могут оказаться бесполезными. Пользователи отмечают, что блокировки становятся всё более умными: от простой проверки SNI они перешли к проверке IP, а затем и к сравнению IP с CIDR-диапазонами.

Некоторые операторы, например Tele2, уже внедрили блокировку по IP, которая не оставляет шансов даже при правильном SNI. В таких случаях единственный выход — использовать VPS с «белым» IP, но таких адресов осталось очень мало, и они в основном принадлежат крупным сервисам.

Также стоит учитывать, что использование VPN для обхода блокировок может нарушать законодательство РФ. Хотя формально это не запрещено, Роскомнадзор активно борется с VPN-сервисами, и некоторые из них блокируются. Будьте готовы к тому, что ваш VPN может перестать работать в любой момент.

Наконец, не забывайте о безопасности: используйте только проверенные VPN-сервисы и конфиги, чтобы не стать жертвой мошенников, которые могут перехватывать ваш трафик.

Вопросы и ответы