Что вообще такое «белый список»
Привычная блокировка работает наоборот: реестр Роскомнадзора — это чёрный список, в нём конкретные запрещённые сайты, а всё остальное доступно. Белый список — обратная история: разрешён только заранее одобренный набор доменов, а всё, чего там нет, блокируется. Для пользователя это выглядит так: интернет «работает», но Telegram и YouTube не открываются, а Госуслуги — открываются.
Список обновляет Минцифры вместе с операторами и межведомственной комиссией, в которую входят представители Минцифры, ФСБ и Роскомнадзора. Полный перечень не публикуется официально — анонсы и изменения выкладывают в Telegram-канал ведомства @mintsifry. Энтузиасты с Habr тестировали разные домены и оценили объём списка примерно в 1000 ресурсов из миллиона самых популярных в мире — то есть около 0.1%.
Что точно работает в этом режиме
Если перечислять то, что чаще всего всплывает в подтверждённых тестах: Госуслуги и сайты госорганов — президент, Правительство, Госдума, министерства, региональные власти. Маркетплейсы Wildberries, Ozon, Яндекс Маркет, плюс к ним 2ГИС и Авито. Вся экосистема Яндекса: поиск, Карты, Такси, Музыка, Лавка, Доставка. VK, OK, Mail.ru, новый мессенджер MAX (max.ru). Банковские приложения крупных банков. Личные кабинеты самих операторов МТС, МегаФон, Билайн, Tele2.
Что точно не работает: Telegram (даже мессенджер, не только звонки), WhatsApp, YouTube, Instagram, Discord, Roblox, ChatGPT, GitHub, большинство зарубежных новостей, поиск Google, англоязычная википедия, App Store / Google Play и большая часть интернета вообще. В режиме whitelist они доступны исключительно через VPN.
Как технически работает блокировка
Фильтрация выполняется на стороне ТСПУ — оборудования, которое стоит у российских мобильных операторов с 2021 года. DPI смотрит на TLS SNI (имя сервера в начале handshake) или на HTTP Host header у незашифрованных запросов. Если домен в белом списке — соединение проходит, страница открывается. Если нет — TCP-соединение технически устанавливается, handshake может пройти, но дальше через 16-20 килобайт данных пакеты перестают доходить.
Важная деталь: это не разрыв с RST-флагом, а намеренное замораживание. Пользователь видит не «ошибку соединения», а вечную загрузку и таймаут. Из-за этого некоторые VPN формально «подключаются» (handshake успевает за первые 16 КБ), но интернета через них всё равно нет — трафик упирается в стену сразу после установки туннеля.
Какие VPN-протоколы реально проходят
В режиме whitelist выживают только те протоколы, которые либо маскируются под легитимный трафик из самого белого списка, либо выглядят как обычный UDP/QUIC, не похожий на VPN. На практике это три варианта.
VLESS + Reality
Самый стойкий вариант. Reality маскирует TLS-handshake под обращение к настоящему публичному сайту. Тут есть критичный нюанс: для России в режиме whitelist SNI должен быть из белого списка разрешённых российских ресурсов, иначе ТСПУ не пропустит даже сам handshake. Правильный выбор: yandex.ru, mail.ru, vk.com, max.ru, ok.ru, ozon.ru, wildberries.ru, 2gis.ru и другие домены из белого списка. Современные VPN-сервисы для РФ-сегмента уже настраивают SNI правильно. Если поднимаете свой VPS — обязательно выбирайте «русский» SNI из белого списка.
AmneziaWG
Российская модификация WireGuard от команды Amnezia. Перед обычным handshake протокола передаются junk-пакеты со случайными заголовками, благодаря чему ТСПУ не может опознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в whitelist обычно пропускается. Производительность — как у обычного WireGuard, никаких накладных расходов на обёртку.
Hysteria2
Современный протокол на QUIC поверх UDP, маскируется под обычный HTTP/3-трафик. На нестабильных мобильных сетях работает особенно хорошо благодаря собственному congestion-контролю Brutal — пользователь задаёт реальную полосу пропускания, и алгоритм её удерживает, не сбрасывая скорость при потерях пакетов.
Остальное — чистый WireGuard, OpenVPN, Trojan, Shadowsocks без обфускации — в режиме whitelist не проходит. Сигнатуры этих протоколов известны ТСПУ, и handshake режется ещё на этапе подключения.
Цепочка серверов — для тех, кто хочет ещё надёжнее
Энтузиасты на Habr описывают технику двойного туннеля: клиент → ваш российский VPS с «белым» IP → ваш зарубежный VPS → интернет. Между двумя серверами трафик фильтруется значительно слабее, чем при прямом подключении пользователя за рубеж — Россия не блокирует исходящий трафик с собственных коммерческих VPS на внешние сети. В whitelist-режиме это особенно важно: ТСПУ видит, что вы общаетесь с «российским» сервером (его IP или SNI в белом списке), а дальше — за пределами вашего телефона — связь идёт нормально. Минусы: нужны два VPS (~$10/мес) и навыки настройки. Но для важных сценариев — самый стабильный вариант на сегодня.
Что делать прямо сейчас, если у вас включился whitelist
Сначала самое простое: подключитесь к Wi-Fi, если он есть рядом. Режим whitelist касается только мобильной передачи данных, проводное и Wi-Fi работают нормально. Если Wi-Fi нет — поставьте VPN-клиент с поддержкой Reality, AmneziaWG или Hysteria2 (v2RayTun, Happ, AmneziaVPN, Hiddify Next, Karing, NekoBox). Получите ключ от рабочего VPN-сервиса — подборка с голосами выше на этой странице. Подключайтесь и проверяйте: если коннект встал, а интернета нет — проверьте, что протокол не чистый WireGuard, а Reality использует SNI из белого списка (yandex.ru или max.ru).
На будущее — настройте автоматическое подключение VPN при включении устройства, чтобы при следующей блокировке не пришлось ничего настраивать в спешке.