VPN и белые списки в России: разбираемся, как это работает

Что такое белые списки мобильного интернета в России

Белый список — это модель цензуры, при которой разрешен доступ только к заранее одобренным сайтам и сервисам. Все остальное блокируется по умолчанию. Такая модель противоположна привычной модели черных списков, при которой весь интернет доступен, а отдельные сайты заблокированы.

Режим белых списков активируется по решению региональных властей под предлогом обеспечения безопасности. Конкретные причины, когда и почему его включают, не разглашаются. Активация происходит на узлах связи: МТС, МегаФон, Билайн, T2 и другие провайдеры мобильного интернета применяют настройки на своем оборудовании.

В России в белый список попали несколько сотен сайтов и сервисов: государственные и инфраструктурные ресурсы, сервисы Яндекса, сайты крупных банков, операторов связи, некоторые медиа, соцсети и маркетплейсы. Реальный набор доступных сервисов может отличаться по региону, оператору, времени и режиму ограничения.

Похожие механики цензуры встречаются не только в России, но и в других странах. Например, в Иране и Северной Корее. Но именно массовое, кратковременное и точечное включение белых списков на уровне регионов — российская особенность.

Как работают черные и белые списки интернета

Ключевым элементом фильтрации трафика в России являются ТСПУ — технические средства противодействия угрозам. Это оборудование, которое установлено в сетях крупных операторов связи и управляется централизованно Роскомнадзором.

В обычном режиме ТСПУ работает по принципу черного списка: анализирует трафик, ищет обращения к запрещенным ресурсам и блокирует их. В этом случае VPN меняет видимый IP-адрес назначения, шифрует и маскирует трафик. ТСПУ видит, что вы обращаетесь не к YouTube, а к какому-то ресурсу, которого нет в черном списке, и пропускает запрос.

Если ТСПУ работает в режиме белого списка, логика инвертируется: система ищет обращения к разрешенным ресурсам, а все остальное блокирует.

Есть несколько уровней, где можно применить белые списки на оборудовании ТСПУ:

• На уровне балансировщика. Балансировщик может применить правила на основании простых признаков: IP-адрес, подсеть, порт, протокол. Например, если IP-адрес назначения есть в белом списке, трафик пропускается, если нет — блокируется или отправляется на DPI-анализ для дополнительной проверки. Это самый быстрый вариант, потому что устройство смотрит только на заголовки пакетов.

• На уровне DPI. Если в белом списке указан не IP-адрес, а конкретный домен или сервис на общем IP, простой проверки уже недостаточно. Например, на одном CDN-адресе могут быть и ресурсы из белого списка, и другие сервисы. В таком случае трафик отправляется в DPI — систему глубокого анализа пакетов. Она смотрит на такие признаки, как HTTP Host, TLS SNI, сигнатуру или поведение соединения.

Таким образом, режим белого списка фильтрует вообще любые “незнакомые” соединения. Подключение к VPN-серверу, чей IP-адрес не входит в разрешенный перечень, обрывается на уровне ТСПУ — еще до того, как зашифрованный туннель успевает установиться.

Обходит ли VPN белые списки мобильного интернета

VPN — это защищенное соединение, изначально придуманное для того, чтобы сотрудники компаний могли безопасно подключаться к корпоративной сети из дома или командировки.

Позже технологию адаптировали под задачи приватности и для обхода географических ограничений в интернете. Но такой сценарий предполагает, что интернет в целом работает, а заблокированы только отдельные ресурсы.

Белый список устроен жестче. Он ограничивает не конкретный сайт, а весь интернет-трафик, который не похож на разрешенный. VPN сталкивается с тем, что его серверы недоступны, потому что их IP-адресов нет в белых списках.

Однако некоторым VPN все же удается обходить белые списки. Для этого соединение не просто маскируется под обычный сайт, а имитирует разрешенные сервисы: замаскированный трафик сначала идет на IP-адрес из белого списка и только потом на VPN-сервер.

Такое решение встречается с целым рядом проблем:

• Роскомнадзор запрещает российским облачным провайдерам сдавать в аренду IP-адреса из белых списков.

• Даже если VPN использует разрешенный адрес, DPI может распознать VPN-соединение и заблокировать его.

• Роскомнадзор продолжает борьбу с VPN: блокирует адреса и целые подсети VPN-серверов, VPN-протоколы, сайты и приложения сервисов.

Обход белого списка — это постоянная гонка: как только сервис находит рабочий способ, ТСПУ учится его распознавать, и цикл начинается заново. Чтобы противостоять давлению, VPN-сервисы применяют несколько подходов:

• Используют нестандартные, модифицированные или собственные протоколы, маскируют трафик, чтобы сделать его менее заметным.

• Арендуют адреса из подсетей крупных облачных сервисов, которые сложно заблокировать полностью, не задев легитимные ресурсы.

• Как только IP-адрес попадает под ограничение, заменяют его на другой. Это называется ротацией серверов. Со стороны пользователя это выглядит просто: вчера локация не подключалась, сегодня работает. Но за этим стоит постоянная техническая работа.

Методы обхода белых списков, которые доступны VPN-провайдерам, работают не всегда и не для всех пользователей. Сети операторов в разных регионах устроены по-разному — даже если правила похожи, техническая реализация может отличаться. У одного пользователя соединение проходит. У другого — сбрасывается на этапе подключения.

При этом сама архитектура VPN не рассчитана на такие условия. Технология создавалась для мира, где интернет по умолчанию открыт. Белые списки — это принципиально другая парадигма. То, что VPN в ней вообще работает, — следствие усилий команды сервиса, а не свойство технологии.

FAQ