Что такое белые списки и как они работают
Белые списки — это перечни сайтов и сервисов, которые остаются доступными во время отключений мобильного интернета. Механизм внедрён Минцифры и операторами связи, чтобы сохранить доступ к социально значимым ресурсам: госуслугам, банкам, маркетплейсам, мессенджерам. Когда пользователь пытается открыть сайт или приложение, оператор проверяет адрес назначения: если он есть в белом списке, трафик пропускается, если нет — блокируется.
Технически фильтрация происходит на оборудовании ТСПУ (технические средства противодействия угрозам), которое устанавливается на сетях операторов. В обычном режиме ТСПУ работает по принципу чёрного списка: блокирует только запрещённое. В режиме белых списков логика переворачивается: блокируется всё, кроме разрешённых адресов. Это создаёт серьёзную нагрузку на оборудование, поэтому даже разрешённые сервисы могут работать с перебоями.
Важно понимать: белые списки не гарантируют стабильную работу. Даже если банк официально включён в перечень, приложение может не открыться из-за технических ограничений, о которых мы расскажем ниже.
Почему банки не всегда работают даже из белого списка
Казалось бы, если банк попал в белый список, доступ должен быть. Но на практике пользователи жалуются, что приложения банков не работают или работают крайне нестабильно. Причин несколько.
Первая — конфликт шифрования и DPI. Банковские приложения используют сложные протоколы шифрования, чтобы защитить данные клиентов. Если какое-то устройство в сети пытается анализировать трафик (а ТСПУ именно этим и занимается), приложение может разорвать соединение. Это защитная реакция, которая срабатывает автоматически.
Вторая — сложная архитектура. Современное банковское приложение — это не один сервер, а целая экосистема: платёжный процессинг, облачные хранилища, сервисы уведомлений. Многие из этих компонентов находятся на зарубежных серверах (например, push-уведомления зависят от Google или Apple), которые в белые списки не попали. Без ответа от этих серверов приложение может зависнуть на этапе загрузки.
Третья — динамические IP-адреса. Крупные банки используют пулы IP-адресов, которые меняются для защиты от DDoS-атак. Пока Минцифры обновляет списки, адреса могут устареть, и доступ снова пропадает.
Какие банки есть в белых списках, а какие нет
Состав белых списков постоянно меняется и зависит от оператора связи. По данным Минцифры, в перечень включены сайты и приложения Альфа-Банка, ВТБ, ПСБ, Газпромбанка, Мосбиржи, платёжной системы «Мир». Однако Сбер и Т-Банк долгое время отсутствовали, что вызывало вопросы у пользователей.
При этом даже если банк формально в списке, это не значит, что он работает у всех операторов. Например, у Мегафона может быть доступен один набор банков, у МТС — другой. Списки различаются по регионам и даже по районам внутри одного города.
Показательный случай: сервис видеозвонков Сбера (salutejazz.ru) был доступен, а само приложение Сбера — нет. Это демонстрирует, что включение в белый список происходит непоследовательно и зависит от множества факторов, включая лоббистские возможности компании.
Как технически устроена фильтрация: два уровня блокировки
Чтобы понять, как обойти белые списки, нужно разобраться в механизме фильтрации. Она работает на двух уровнях.
Первый уровень — сетевой (L3). Фильтрация по IP-адресам. Если IP-адрес назначения не входит в белый список, пакет просто уничтожается на маршрутизаторе. При этом не работает ни ICMP, ни TCP, ни UDP — трафик физически не покидает сеть оператора.
Второй уровень — прикладной (L7). DPI проверяет SNI (Server Name Indication) в TLS-запросе. Даже если IP-адрес разрешён, но SNI находится в чёрном списке, соединение разрывается. Это сделано для блокировки отдельных доменов, которые могут быть размещены на разрешённых серверах.
Интересный нюанс: правила SNI-фильтрации неодинаковы для разных подсетей. Например, SNI telegram.org через IP Яндекса пропускается, а через IP VK — блокируется. Это говорит о том, что единого чёрного списка SNI нет, и правила могут различаться даже внутри одного оператора.
Какие способы обхода не работают
Прежде чем рассматривать рабочие методы, важно понять, что не поможет.
QUIC/HTTP3 — протокол, использующий UDP, блокируется почти всегда. UDP-порт 443 режется в режиме белых списков, поэтому HTTP3 не работает.
ECH/ESNI (Encrypted Client Hello) — технология шифрования SNI, тоже блокируется. Но даже если бы она работала, она не помогла бы, потому что основная блокировка идёт по IP-адресу, а не по SNI.
Обычный VPN на зарубежном VPS — не работает, так как IP-адрес сервера не входит в белый список. Пакеты до него просто не дойдут.
Также не стоит рассчитывать на публичные DNS-серверы (Google, Cloudflare, Яндекс). В режиме белых списков работает только DNS провайдера, все внешние DNS-серверы недоступны.
Рабочий способ 1: VPN на российском VPS с IP из белого списка
Самый надёжный способ обойти белые списки — поднять VPN-сервер на российском VPS, IP-адрес которого входит в белый список. Это возможно, потому что в белые списки включены целые подсети крупных хостинг-провайдеров: Yandex.Cloud, Timeweb, VK Cloud, Selectel и других.
Для настройки используется протокол VLESS с расширением Reality и XTLS-Vision. Этот протокол маскирует трафик под обычное HTTPS-соединение, что позволяет обойти DPI. В качестве SNI нужно указать домен, который точно есть в белом списке, например, vk.com или ya.ru.
Провайдеры, которые подходят для этой задачи:
- Timeweb — есть возможность бесплатно менять IP-адрес, пока не попадётся белый.
- Yandex.Cloud — выдаёт грант 4000 рублей при регистрации, высокий шанс попасть в белый список.
- VK Cloud — серверы долго держатся, но сложная верификация и дорого.
Важно: сервер должен находиться в России, иначе IP не будет в белом списке.
Рабочий способ 2: Serverless-функции Yandex Cloud
Ещё один способ — использовать serverless-функции Yandex Cloud как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белый список у всех провайдеров. Это связано с тем, что Yandex.Cloud хостит множество государственных сервисов, и его IP-адреса нельзя заблокировать.
Бесплатный тариф включает 1 000 000 вызовов в месяц, 100 000 ГБ-секунд и 40 000 ГГц-секунд. Для личного использования этого более чем достаточно.
Суть метода: вы создаёте функцию, которая работает как SOCKS5-прокси. Подключаетесь к ней с устройства, и весь трафик идёт через IP Яндекса, который не блокируется. DPI не применяется к IP Яндекса на уровне L3 и L7, поэтому доступ к банку будет работать.
Этот способ проще в настройке, чем VPN на VPS, но требует базовых знаний программирования.
Практические советы: как подготовиться к отключениям
Даже если вы настроили обход, стоит подготовиться к ситуациям, когда интернет может пропасть полностью.
- Скачайте банковское приложение и данные офлайн. Некоторые банки позволяют просматривать баланс и историю операций без интернета.
- Установите приложения из белого списка. Например, приложение «Госуслуги» работает всегда, через него можно получить доступ к некоторым банковским сервисам.
- Настройте VPN заранее. Не ждите, пока интернет отключат — настройте обход на российском VPS и проверьте его работу.
- Используйте SMS-банкинг. Даже если мобильный интернет отключён, SMS-сообщения обычно продолжают работать. Узнайте в банке, какие операции можно совершать через SMS.
- Держите под рукой контакты банка. Если интернет полностью пропал, позвоните в банк по телефону — многие операции можно подтвердить по голосовому меню.
Юридические и этические аспекты обхода белых списков
Обход белых списков — серая зона с точки зрения законодательства. Официально обход блокировок не запрещён, но может быть расценён как нарушение правил оказания услуг связи. Пока нет судебной практики по этому вопросу, но риск существует.
Важно понимать: белые списки введены для безопасности — чтобы во время угроз атак беспилотников сохранялся доступ к критически важным сервисам. Использование VPN для доступа к банку — это не преступление, но злоупотребление обходом (например, для доступа к запрещённым ресурсам) может привлечь внимание.
Также стоит помнить, что банки сами заинтересованы в том, чтобы клиенты имели доступ к своим счетам. Поэтому многие банки активно работают над включением в белые списки и адаптацией своих приложений к работе в условиях фильтрации. Возможно, в ближайшее время проблема решится на уровне банков.
Вопросы и ответы
Почему Сбер и Т-Банк не работают при белых списках?
Сбер и Т-Банк долгое время отсутствовали в официальных белых списках Минцифры. Причины могут быть связаны с архитектурой их приложений: они используют сложные протоколы шифрования, которые конфликтуют с DPI, и зависят от зарубежных облачных сервисов. Кроме того, включение в список происходит непрозрачно, и не все банки успевают адаптироваться к требованиям.