Белые списки в VPN: что это, как работает и зачем нужно

Что такое белый список в VPN

Белый список в VPN — это перечень адресов, доменов или приложений, для которых VPN-клиент не применяет шифрование и туннелирование, а пропускает трафик напрямую через обычное интернет-соединение. Проще говоря, это исключения из правил: всё, что попадает в белый список, работает без VPN, а всё остальное — через защищённый туннель.

Эта функция есть во многих VPN-клиентах, хотя называется по-разному: split tunneling, исключения, обходные пути, per-app VPN. Белый список позволяет гибко управлять трафиком: например, оставить доступ к локальной сети, принтеру или банковскому приложению напрямую, а весь остальной трафик пустить через VPN.

Важно не путать белый список в VPN с белым списком сайтов, который вводят операторы связи при ограничении доступа к интернету. В первом случае это настройка пользователя, во втором — внешнее ограничение, которое VPN как раз пытается обойти.

Зачем нужны белые списки: основные сценарии

Белые списки решают несколько практических задач.

Скорость и стабильность. Если VPN-сервер находится далеко, шифрование и туннелирование замедляют соединение. Для ресурсов, которые не требуют защиты (например, новостные сайты или стриминговые сервисы в вашей стране), можно включить прямой доступ — это ускорит загрузку и снизит задержки.

Совместимость с локальными сервисами. Корпоративные сети, умные устройства, принтеры и системы умного дома часто не работают через VPN, потому что они ожидают прямого подключения к локальной сети. Добавив их в белый список, вы сохраняете доступ к ним без отключения VPN.

Экономия трафика и заряда батареи. VPN-туннель потребляет ресурсы устройства. Если часть трафика идёт напрямую, нагрузка на процессор и батарею снижается, а мобильный трафик расходуется экономнее.

Обход блокировок отдельных сервисов. В некоторых случаях белый список помогает обойти блокировки: если провайдер блокирует VPN-трафик для определённых доменов, можно добавить их в исключения и подключаться напрямую. Однако это работает только если сам сайт не заблокирован на уровне DPI.

Как технически реализованы белые списки

Механизм работы белого списка зависит от реализации VPN-клиента.

В большинстве приложений (например, в OpenVPN, WireGuard, IKEv2) белый список реализован через маршрутизацию. VPN-клиент создаёт виртуальный сетевой интерфейс и добавляет маршруты: для адресов из белого списка маршрут указывает на физический интерфейс (Wi-Fi или мобильную сеть), а для остальных — на VPN-туннель.

В приложениях с графическим интерфейсом (например, в NvoVPN, AmneziaVPN) белый список обычно настраивается через раздел "Исключения" или "Белый список". Пользователь может выбрать приложения из списка установленных или вручную ввести домены и IP-адреса.

В конфигурационных файлах OpenVPN для исключения маршрутов используется директива route-nopull, которая запрещает импорт маршрутов с сервера, а затем вручную добавляются нужные маршруты. В WireGuard белый список настраивается через AllowedIPs: если указать 0.0.0.0/0 в конфигурации, весь трафик пойдёт через VPN, а для исключений нужно добавить более конкретные маршруты.

Важно понимать: белый список не отключает VPN полностью, он лишь перенаправляет часть трафика в обход туннеля. Это значит, что DNS-запросы для исключённых доменов тоже идут напрямую, что может раскрыть ваш реальный IP-адрес.

Настройка белых списков в популярных протоколах

Рассмотрим, как настроить белые списки в трёх самых распространённых протоколах.

WireGuard. В конфигурационном файле клиента параметр AllowedIPs определяет, какие подсети направляются через туннель. Если указать 0.0.0.0/0, весь трафик пойдёт через VPN. Чтобы исключить конкретный IP или подсеть, нужно добавить их в AllowedIPs как более специфичные маршруты. Например, AllowedIPs = 0.0.0.0/0, 192.168.1.0/24 направит локальную сеть напрямую, а остальной трафик — через VPN. Однако такой подход требует ручного редактирования конфигурации и не всегда удобен.

OpenVPN. В конфигурационном файле можно использовать директиву route-nopull, чтобы не импортировать маршруты с сервера, а затем добавить свои. Например:

route-nopull
route 192.168.1.0 255.255.255.0 net_gateway

Это направит трафик к локальной сети напрямую, а остальной — через VPN.

IKEv2. В большинстве клиентов (например, встроенный клиент Windows или macOS) белый список настраивается через графический интерфейс. В разделе "Дополнительные настройки" можно указать исключения для конкретных приложений или адресов.

Для мобильных устройств (Android, iOS) белые списки обычно настраиваются в приложении VPN: в разделе "Исключения" выберите приложения, которые должны работать напрямую.

Белые списки и обход блокировок: что нужно знать

Многие пользователи надеются, что белый список поможет обойти блокировки, введённые операторами связи. Однако в случае с белыми списками, которые вводят операторы (например, в России с 2025 года), ситуация иная.

Когда оператор включает режим "белого списка", доступ разрешён только к ограниченному перечню доменов (Госуслуги, маркетплейсы, соцсети и т.д.), а весь остальной трафик блокируется на уровне DPI. VPN-туннели, как правило, используют зарубежные IP-адреса, которые не входят в белый список, поэтому соединение с VPN-сервером блокируется ещё на этапе установки.

Даже если VPN-клиент настроен с белым списком (то есть часть трафика идёт напрямую), это не поможет обойти блокировку, потому что сам VPN-сервер недоступен. Исключения в VPN-клиенте работают только в обратную сторону: они позволяют не шифровать трафик к определённым ресурсам, но не могут сделать недоступный сервер доступным.

Таким образом, белый список в VPN — это инструмент для управления трафиком, а не для обхода сетевых ограничений. Для обхода блокировок нужны специальные протоколы, которые маскируют VPN-трафик под легитимный (например, VLESS+Reality, AmneziaWG, Hysteria2).

Почему VPN не работает при блокировках по белому списку

Когда оператор включает режим белого списка, DPI-системы анализируют не только доменные имена, но и IP-адреса, а также паттерны трафика. VPN-серверы обычно находятся на зарубежных IP, которые не входят в белый список, поэтому соединение с ними блокируется.

Даже если VPN-сервер замаскирован под разрешённый сервис, DPI может выявить несоответствие доменного имени и IP-адреса. Кроме того, VPN-туннели имеют характерный признак — сбалансированность входящего и исходящего трафика. Для обычного веб-сервиса входящий трафик значительно превышает исходящий, а у VPN эти объёмы примерно равны, что легко обнаружить статистически.

Некоторые VPN-протоколы, такие как WireGuard или OpenVPN, имеют известные сигнатуры, которые DPI распознаёт и блокирует ещё на этапе handshake. Поэтому в режиме белого списка работают только протоколы с обфускацией, которые маскируют трафик под обычный HTTPS или UDP.

Какие протоколы реально проходят белый список

По данным тестов сообщества, в режиме белого списка работают три основных протокола:

VLESS+Reality. Этот протокол маскирует TLS-handshake под обращение к реальному публичному сайту. Для России важно, чтобы SNI (имя сервера) был из белого списка разрешённых ресурсов, например yandex.ru, mail.ru, vk.com. Тогда DPI пропускает соединение, и трафик идёт через туннель.

AmneziaWG. Российская модификация WireGuard, которая перед handshake передаёт junk-пакеты со случайными заголовками, что не позволяет DPI распознать сигнатуру WireGuard. Внешне трафик выглядит как случайный UDP, который в белом списке обычно пропускается.

Hysteria2. Протокол на основе QUIC, который маскируется под HTTP/3. Он хорошо работает на нестабильных мобильных сетях благодаря собственному алгоритму контроля перегрузки.

Чистые WireGuard, OpenVPN, Trojan и Shadowsocks без обфускации в режиме белого списка не работают, так как их сигнатуры известны DPI.

Как настроить VPN для работы в режиме белого списка

Если вы оказались в ситуации, когда мобильный интернет работает только для белого списка, следуйте этим шагам:

1. Подключитесь к Wi-Fi. Режим белого списка касается только мобильной передачи данных. Домашний Wi-Fi и проводной интернет работают без ограничений.

1. Выберите VPN-клиент с поддержкой обфускации. Подойдут v2RayTun, AmneziaVPN, Hiddify Next, Karing, NekoBox. Они поддерживают протоколы VLESS+Reality, AmneziaWG и Hysteria2.

1. Получите ключ от рабочего VPN-сервиса. Многие VPN-сервисы для России уже настроены правильно, но если вы используете собственный VPS, убедитесь, что SNI для Reality выбран из белого списка (например, yandex.ru или max.ru).

1. Проверьте подключение. Если VPN подключается, но интернета нет, скорее всего, протокол не подходит или SNI указан неверно. Попробуйте другой сервер или протокол.

1. Настройте автоматическое подключение VPN при включении устройства, чтобы при следующей блокировке не пришлось настраивать всё в спешке.

Белые списки на роутере и нестандартных устройствах

Настройка белых списков не ограничивается ПК и смартфонами. Многие пользователи хотят использовать VPN на игровых консолях, Smart TV и других устройствах, которые не поддерживают VPN напрямую.

В этом случае VPN настраивается на роутере. После настройки VPN на роутере весь трафик устройств в локальной сети проходит через туннель. Чтобы добавить белый список, нужно войти в настройки роутера, найти раздел VPN и указать исключения для нужных адресов или приложений.

Для Smart TV процесс аналогичен: либо настройте VPN на роутере, либо используйте приложение VPN, если оно доступно для вашей модели телевизора.

Важно учитывать, что не все роутеры поддерживают VPN и белые списки. Перед покупкой роутера убедитесь, что он поддерживает нужные протоколы (например, WireGuard или OpenVPN) и позволяет настраивать маршрутизацию.

Риски и ограничения использования белых списков

Использование белых списков связано с рядом рисков и ограничений.

Утечка реального IP-адреса. Когда трафик идёт напрямую, ваш IP-адрес виден сайтам и провайдеру. Это может раскрыть ваше местоположение и личность, особенно если вы используете VPN для анонимности.

Несовместимость с некоторыми сервисами. Некоторые сайты и приложения могут определять, что вы используете VPN, и блокировать доступ. Если вы добавили их в белый список, они будут работать, но ваш IP будет виден.

Сложность настройки. Ручная настройка белых списков в конфигурационных файлах требует технических знаний. Ошибки могут привести к тому, что весь трафик пойдёт напрямую или, наоборот, через VPN, что нарушит работу.

Юридические риски. В некоторых странах использование VPN для обхода блокировок может быть незаконным. Белые списки не являются исключением, и их использование для обхода ограничений может привлечь внимание властей.

Неэффективность против DPI. Как уже упоминалось, белые списки не помогают обойти блокировки, введённые операторами. Они лишь управляют маршрутизацией, но не маскируют трафик.

Вопросы и ответы