Что такое белые списки и как они работают
Белые списки — это режим фильтрации трафика, при котором оператор связи пропускает только заранее одобренные IP-адреса и домены, а всё остальное блокируется. В отличие от классических чёрных списков, где запрещены конкретные ресурсы, здесь действует принцип «запрещено всё, кроме разрешённого». Это означает, что даже если у вас есть физический сигнал и байты идут, ТСПУ решает, какие из них пропустить, а какие отбросить.
Фильтрация работает на двух уровнях. Первый — сетевой (L3): проверяется IP-адрес назначения. Если он не входит в белый список, пакет просто исчезает — не приходит ни ICMP, ни TCP, ни UDP. Второй — прикладной (L7): DPI анализирует SNI в TLS-ClientHello. Даже если IP разрешён, но SNI находится в чёрном списке, соединение разрывается. Порядок проверки: сначала IP, потом SNI. Если IP не в списке — drop, если IP в списке, но SNI запрещён — RST.
На практике это выглядит так: vk.com открывается, google.com — нет, хотя физически интернет работает. При этом фильтрация неоднородна: она зависит от оператора, региона и даже конкретной вышки. В одном районе белый список может быть включён, в соседнем — нет. Списки постоянно обновляются, что делает обход динамической задачей.
Почему телемост оказался в центре внимания
Телемост — это сервис видеозвонков от Яндекса, который использует технологию WebRTC и TURN-серверы для передачи трафика. В условиях белых списков IP-адреса Яндекса почти всегда разрешены, так как Яндекс входит в число крупнейших российских компаний, чья инфраструктура необходима для работы множества государственных и коммерческих сервисов. Это делает телемост привлекательной точкой для обхода.
Идея обхода заключается в том, чтобы использовать TURN-серверы Яндекса как ретранслятор: ваше устройство и удалённый сервер (например, за границей) притворяются участниками аудиозвонка, а трафик идёт через инфраструктуру Яндекса. Таким образом, пакеты выглядят как легитимные звонки, и ТСПУ пропускает их, поскольку IP Яндекса в белом списке.
Однако у этого подхода есть нюансы. Во-первых, TURN-серверы Яндекса имеют ограничения по скорости и типу трафика. Во-вторых, Яндекс активно совершенствует алгоритмы обнаружения аномалий: например, по размеру трафика за короткий промежуток времени или по соотношению скачивания и отдачи. Если трафик выглядит подозрительно, соединение может быть заблокировано.
Как устроен обход через телемост: технические детали
Для обхода через телемост необходимо получить адрес TURN-сервера и учётные данные. Это делается через создание сессии (конференции) в телемосте. При создании встречи Яндекс выдаёт клиенту session_id, который используется для аутентификации при запросе к TURN-серверу. В ответ сервер возвращает IP-адрес, порт и временные учётные данные (username и password).
Эти данные затем используются для установки соединения через TURN. Ваше устройство подключается к TURN-серверу Яндекса, а удалённый сервер — тоже к нему, но с другой стороны. TURN-сервер ретранслирует пакеты между ними, и трафик идёт через инфраструктуру Яндекса. Чтобы это выглядело как звонок, трафик часто оборачивается в DTLS (Datagram Transport Layer Security), который используется в WebRTC для шифрования.
Один из проектов, реализующих эту схему, — Turnel от KillTheCensorship. Он автоматически получает креды от TURN-серверов Яндекса и MAX (мессенджер от VK) и устанавливает туннель. Однако у проекта есть ограничения: дефолтный Яндекс иногда банит, а MAX-серверы работают стабильнее и быстрее. Также есть аналогичный проект для ВК — vk-turn-proxy, который использует TURN-серверы VK (на базе инфраструктуры Одноклассников).
Сравнение TURN-серверов: Яндекс, MAX, ВК
Разные TURN-серверы имеют свои особенности, которые важно учитывать при выборе.
Яндекс Телемост — самый доступный, так как IP Яндекса почти всегда в белом списке. Однако у Яндекса несколько алгоритмов детекта аномалий, и они постоянно улучшаются. Некоторые подсети Яндекса (например, 77.88.7.0/24 и 37.9.82.0/24) могут не работать для обхода. Скорость на серверах Яндекса обычно ниже, чем у MAX.
MAX — мессенджер от VK, использует инфраструктуру Одноклассников. TURN-серверы MAX показывают более высокую скорость и меньше проблем с блокировками. Однако у MAX есть ограничение: 5 Мбит/с на каждое соединение. Для увеличения пропускной способности можно запускать несколько параллельных подключений, как это сделано в vk-turn-proxy (16 соединений).
ВК (VK Звонки) — также использует TURN-серверы, но с теми же ограничениями по скорости. Проект vk-turn-proxy автоматически генерирует пароль от TURN и поддерживает UDP-транспорт. Однако у ВК нет режима direct без модификации сервера, что усложняет использование.
Важно: при использовании TURN-серверов без маскировки под звонок (например, просто WireGuard поверх TURN) есть риск обнаружения. Администраторы Яндекса или ВК могут заметить, что их сервер внезапно открывает WireGuard-соединение за границу. Поэтому рекомендуется использовать DTLS-обёртку, как это сделано в vk-turn-proxy.
Пошаговая инструкция по настройке обхода через телемост
Рассмотрим общий алгоритм настройки обхода через телемост. Вам понадобятся: аккаунт Яндекса (можно без почты, но нужен для создания встречи), клиент для работы с TURN (например, Turnel или собственная реализация), и удалённый сервер (VPS) за пределами РФ.
- Создайте встречу в телемосте. Зайдите на yandex.ru/telemost, создайте новую конференцию. Скопируйте session_id из cookie или URL. Этот идентификатор нужен для аутентификации при запросе к TURN.
- Получите TURN-креды. Используйте API Яндекса или готовый инструмент (например, Turnel), который автоматически запрашивает адрес TURN-сервера и учётные данные. Обычно это делается через POST-запрос к специальному эндпоинту с session_id.
- Настройте удалённый сервер. На VPS установите WireGuard или другой туннель. Важно, чтобы сервер также подключался к тому же TURN-серверу, но с другой стороны. Можно использовать скрипты из репозиториев Turnel или vk-turn-proxy.
- Установите клиент на устройство. Настройте подключение к TURN-серверу с полученными кредами. Убедитесь, что трафик оборачивается в DTLS или другой протокол, имитирующий звонок.
- Проверьте соединение. Подключитесь через мобильный интернет (не Wi-Fi), так как белые списки чаще всего активны именно на мобильных сетях. Откройте заблокированный сайт или приложение.
Если соединение не работает, попробуйте сменить TURN-сервер (например, с Яндекса на MAX) или подсеть. Также можно добавить фейковый трафик для выравнивания соотношения скачивания и отдачи, чтобы не вызывать подозрений.
Альтернативные методы обхода белых списков
Телемост — не единственный способ обойти белые списки. Рассмотрим другие рабочие методы.
VLESS + Reality на российском VPS. Это основной метод, который рекомендуют эксперты. Вы арендуете VPS у российского провайдера (Timeweb, Yandex.Cloud, VK Cloud), IP которого входит в белый список. Настраиваете VLESS с Reality и XTLS-Vision, маскируя трафик под легитимный TLS к разрешённому домену (например, vk.com или yastatic.net). Этот метод стабилен и относительно прост в настройке.
Yandex Cloud Functions. Можно использовать serverless-функцию Яндекса как прокси. Эндпоинт functions.yandexcloud.net универсально в белом списке у всех провайдеров. Вы пишете SOCKS5-клиент, который подключается к функции, и трафик идёт через инфраструктуру Яндекса. Бесплатный тариф включает 1 000 000 вызовов в месяц, что достаточно для личного использования.
Обход через DNS. В некоторых случаях можно использовать DNS-серверы, которые не блокируются. Например, у Мегафона работает только собственный DNS, но у других операторов могут быть доступны альтернативы. Однако этот метод не решает проблему с IP-фильтрацией.
Использование VPN-сервисов с маскировкой. Некоторые коммерческие VPN (например, VPNUS, HideMy.name) предлагают протоколы с обфускацией, которые могут обходить DPI. Однако их эффективность при белых списках ограничена, так как IP-адреса серверов могут быть не в белом списке.
Ограничения и риски метода с телемостом
Метод с телемостом имеет ряд ограничений, которые важно понимать.
Скорость. TURN-серверы Яндекса и MAX имеют ограничения по пропускной способности. У MAX — 5 Мбит/с на соединение, у Яндекса — аналогично. Для просмотра видео в высоком качестве этого может не хватить. Решение — запуск нескольких параллельных соединений, но это увеличивает нагрузку и риск обнаружения.
Стабильность. Яндекс постоянно улучшает алгоритмы детекта. Проекты, работавшие летом, могут перестать работать через несколько месяцев. Например, Turnel уже сталкивался с блокировками на некоторых подсетях Яндекса.
Риск обнаружения. Если использовать TURN-сервер без маскировки под звонок, администраторы могут заметить аномальный трафик. Это может привести к блокировке вашего аккаунта или IP.
Юридические риски. Обход блокировок может нарушать законодательство РФ. Хотя формально использование TURN-серверов не запрещено, но если ваши действия будут расценены как обход блокировок, возможны санкции.
Неравномерность белых списков. В разных регионах и у разных операторов списки отличаются. То, что работает у Мегафона, может не работать у МТС. Поэтому перед использованием метода необходимо проверить его в вашем конкретном случае.
Как проверить, работает ли обход, и что делать при сбоях
Проверка обхода должна проводиться в реальных условиях — на мобильном интернете, а не на Wi-Fi. Вот пошаговый план.
- Подключитесь к мобильной сети. Убедитесь, что Wi-Fi выключен.
- Запустите туннель. Используйте настроенный клиент (например, Turnel).
- Откройте несколько заблокированных ресурсов. Проверьте YouTube, Telegram, зарубежные сайты.
- Оцените скорость. Зайдите на speedtest или просто попробуйте загрузить видео.
Если соединение не работает, попробуйте:
- Сменить TURN-сервер (Яндекс → MAX или наоборот).
- Сменить подсеть (если используете конкретный IP).
- Перезапустить мобильные данные.
- Добавить фейковый трафик для маскировки.
Если проблема сохраняется, возможно, ваш оператор ужесточил фильтрацию. В этом случае стоит рассмотреть альтернативные методы, такие как VLESS + Reality на российском VPS.
Перспективы и будущее обхода белых списков
Ситуация с белыми списками в России динамична. Списки постоянно обновляются, ТСПУ совершенствуется, а методы обхода эволюционируют. Телемост-метод, скорее всего, будет работать до тех пор, пока Яндекс не изменит свои алгоритмы или не введёт дополнительные проверки. Уже сейчас видно, что некоторые подсети Яндекса блокируются, что говорит о целенаправленной борьбе с такими схемами.
Эксперты прогнозируют, что в будущем белые списки могут стать ещё более строгими, включая запрет на подключение к российским сервисам из-за рубежа. Это сделает текущие методы неэффективными. Однако пока есть лазейки, и сообщество активно ищет новые решения.
Для пользователей важно следить за обновлениями в репозиториях (например, openlibrecommunity/twl) и быть готовыми к быстрой смене методов. Также стоит иметь несколько запасных вариантов, чтобы не остаться без доступа к нужным ресурсам.
Вопросы и ответы
Что такое белый список интернета и чем он отличается от обычной блокировки?
Белый список — это режим, при котором оператор пропускает только разрешённые IP-адреса и домены, а всё остальное блокируется. При обычной блокировке закрыт конкретный сайт, а остальной интернет работает. При белом списке — наоборот: работает только то, что разрешено, а всё остальное по умолчанию недоступно. Это более жёсткий и тотальный метод фильтрации.
Как телемост помогает обойти белые списки?
Телемост использует TURN-серверы Яндекса, IP которых входят в белый список. Ваше устройство и удалённый сервер подключаются к одному TURN-серверу, который ретранслирует трафик между ними. Трафик маскируется под аудиозвонок, поэтому ТСПУ пропускает его. Таким образом, вы можете получить доступ к заблокированным ресурсам, используя инфраструктуру Яндекса.
Какие TURN-серверы лучше использовать: Яндекс, MAX или ВК?
MAX-серверы обычно работают стабильнее и быстрее, но имеют ограничение 5 Мбит/с на соединение. Яндекс-серверы более доступны, но могут банить при подозрительной активности. ВК-серверы похожи на MAX, но требуют модификации сервера для direct-режима. Рекомендуется попробовать несколько вариантов и выбрать тот, который работает в вашем регионе.
Какие риски при использовании обхода через телемост?
Основные риски: обнаружение аномального трафика администраторами Яндекса, что может привести к блокировке аккаунта; нестабильность метода из-за улучшения алгоритмов детекта; юридические последствия за обход блокировок. Также метод может не работать у некоторых операторов или в некоторых регионах.
Что делать, если обход через телемост не работает?
Сначала проверьте, активен ли белый список у вашего оператора. Попробуйте сменить TURN-сервер (Яндекс на MAX или наоборот), перезапустить мобильные данные, добавить фейковый трафик. Если не помогает, рассмотрите альтернативные методы: VLESS + Reality на российском VPS или Yandex Cloud Functions.
Можно ли использовать телемост-обход бесплатно?
Да, телемост-обход не требует покупки VPN. Вам нужен только аккаунт Яндекса и доступ к TURN-серверам. Однако бесплатные методы часто менее стабильны и могут быть заблокированы. Для постоянного использования лучше рассмотреть платные VPS или VPN-сервисы с маскировкой.