Что находится под капотом обхода белых списков в VPN

Когда VPN работает стабильно, пользователь обычно видит только одну кнопку: подключиться. Но за этой простой кнопкой стоит большая техническая работа — особенно в периоды, когда в отдельных регионах ограничивают мобильный интернет и включают режим белых списков.

Редакция Ateo Digital связалась с командой SLOVO VPN, чтобы разобраться, что находится под капотом такой стабильности: как VPN-сервис ищет рабочие маршруты, почему одна и та же локация может вести себя по-разному у разных операторов и зачем иногда приходится строить целую цепочку серверов вместо одного прямого подключения.

Белый список — это режим, при котором сеть пропускает только заранее разрешённые направления: конкретные сервисы, домены, IP-адреса или части инфраструктуры. Всё остальное может быть недоступно, даже если телефон показывает нормальный сигнал LTE или 5G.

Важно не путать белые списки с «глушилками». Глушилка мешает самому радиосигналу: телефон теряет сеть или почти не может передавать данные. Белый список работает иначе: связь остаётся, но интернет превращается в проходную со списком гостей. К одним адресам вас пускают, к другим — нет.

Почему обычный VPN не работает при белом списке

В обычном режиме VPN подключается напрямую:

пользователь → VPN-сервер → интернет

Но если VPN-сервер не входит в разрешённый список, пользователь до него просто не достучится. Приложение может долго пытаться подключиться, показывать ошибку или зависать на этапе соединения. При этом сам сервер может быть полностью исправен. Он может работать у других пользователей, принимать подключения из обычного интернета и нормально проходить проверки. Проблема не в сервере как таковом, а в том, что конкретная сеть не пропускает путь до него.

Поэтому для обхода белых списков используют не прямое подключение, а каскад серверов.

Как работает каскад серверов

Каскад выглядит так:

пользователь → входной сервер с разрешённым IP → основной VPN-сервер → интернет

Главный элемент здесь — входной сервер. Он должен стоять на белом IP-адресе, который оператор пропускает во время ограничений.

Пользователь подключается не сразу к обычному VPN-серверу, а к такому входному узлу. Дальше входной сервер передаёт трафик на основной сервер VPN-сервиса, через который уже открывается обычный интернет.

Для пользователя это может выглядеть как обычная локация в приложении. Но под капотом за одной кнопкой может стоять цепочка из нескольких серверов. Это похоже на поездку с пересадкой: если прямой путь закрыт, нужно сначала попасть на станцию, куда ещё пускают, а уже оттуда ехать дальше.

Почему белые IP приходится искать методом проб и ошибок

Белые списки не работают как одна открытая таблица, которую можно скачать и сразу использовать. У разных операторов, регионов и даже отдельных участков сети могут отличаться разрешённые IP-адреса, маршруты и правила пропуска трафика.

В одном регионе конкретный IP проходит, в другом — нет. У одного оператора нужный диапазон доступен, у другого он может быть закрыт. Где-то правила обновились сегодня, где-то они применятся позже. Иногда один и тот же сервис работает частично: приложение открывается, а часть технических адресов уже недоступна.

Поэтому подходящие входные IP часто находятся методом проб и ошибок. Проверяются разные площадки, разные адреса, разные регионы и реальные подключения пользователей. Даже если IP работает сегодня, это не гарантирует, что он будет работать завтра.

Из-за этого одна и та же VPN-локация может вести себя по-разному:

• в одном городе подключается, в другом нет

• на одном операторе работает, на другом зависает

• через домашний Wi-Fi открывается, через мобильную сеть — нет

• вчера работала, сегодня перестала

• после смены локации снова подключилась

Обычно дело не в названии страны в приложении, а в том, проходит ли конкретный входной IP через конкретную сеть пользователя.

Почему входной сервер сложно получить

Для обхода белого списка подходит не любой сервер. Обычный VPS в дата-центре может быть быстрым и дешёвым, но бесполезным, если его IP-адрес не разрешён в нужной сети.

Нужен сервер с подходящим белым IP. Получить такой доступ непросто. Часто площадки требуют проверку личности, подтверждение платежей, описание целей использования, прохождение комплаенса. Иногда нужен аккаунт компании или отдельное юридическое лицо.

Вокруг таких серверов уже появился отдельный рынок перепродажи. В обычные дни он может быть относительно спокойным, но в периоды активных блокировок цены на аккаунты хостинг-провайдеров с белыми IP резко растут. Рабочий входной адрес становится дефицитным ресурсом: его ищут, тестируют, перепродают и быстро разбирают.

Дополнительная сложность в том, что сами хостинг-провайдеры находятся под давлением РКН. Из-за этого они вынуждены внимательнее следить за входящим и исходящим трафиком, анализировать поведение виртуальных машин клиентов и в спорных случаях быстро блокировать подозрительные серверы. Поэтому сложность не только в аренде входного узла, а в том, чтобы найти рабочий белый IP, запустить его и удержать в работе.

Какой протокол используется в SLOVO VPN

В SLOVO VPN для таких сценариев используется VLESS TCP REALITY. Это не уникальная технология одного сервиса: такую связку применяют разные проекты, потому что она хорошо подходит для условий, где обычные VPN-протоколы легко распознаются или не проходят первый этап подключения.

Если объяснять коротко, VLESS отвечает за передачу трафика, TCP использует привычный для сетей способ соединения, а REALITY помогает подключению выглядеть ближе к обычному защищённому интернет-трафику. Поэтому такая связка лучше подходит для каскада с входным сервером, чем классические варианты вроде OpenVPN или WireGuard: они хороши в обычных сетях, но при жёстких ограничениях чаще выглядят слишком узнаваемо.

При этом VLESS TCP REALITY не отменяет главную проблему белых списков. Если входной IP не разрешён в конкретной сети, один только протокол не спасёт. Протокол помогает соединению выглядеть естественнее, но сначала всё равно нужен рабочий входной адрес.

Что из этого следует

Каскадная схема решает главную задачу: помогает пользователю сначала попасть на входной сервер, а уже через него выйти в интернет. Но у этой схемы есть несколько последствий.

Во-первых, обход дороже обычного VPN. Входной сервер должен находиться не просто в дешёвом дата-центре, а на белом IP, который действительно проходит у пользователей. Такие ресурсы сложно получить напрямую, а на вторичном рынке их цена может резко расти в дни массовых блокировок.

Во-вторых, скорость может быть ниже. Прямой маршрут короче, а при каскаде данные проходят через дополнительное звено. Если входной сервер перегружен или ограничен по каналу, это сразу чувствуется.

В-третьих, входные IP могут быстро переставать работать. Когда через разрешённый адрес начинает идти много VPN-трафика, его поведение становится заметным: соединения держатся долго, данных много, поток идёт постоянно и в обе стороны. Содержимое может быть зашифровано, но внешний рисунок трафика всё равно отличается от обычного использования сайта или приложения.

В-четвёртых, рабочие маршруты приходится регулярно менять. Белые списки отличаются по регионам и операторам, IP-адреса могут выпадать из доступа, площадки могут ограничивать серверы, а нагрузку приходится распределять между разными входными узлами.

Поэтому обход белых списков — это не одна секретная настройка, а постоянная работа с инфраструктурой.

Почему поддержка просит оператора и регион

Сообщение «VPN не работает» почти ничего не говорит о причине. При белых списках важно понять, где именно ломается маршрут.

Поддержке обычно нужны:

• оператор

• регион или город

• мобильная сеть или Wi-Fi

• название локации в приложении

• что именно происходит: не подключается, подключается без интернета или открываются только некоторые сайты

• работают ли другие локации

• когда началась проблема

• модель устройства и приложение

Эти данные помогают отличить сбой сервера от регионального ограничения. Например, если много пользователей с одного оператора и из одного региона жалуются на одну локацию, вероятно, перестал проходить конкретный входной IP. Если проблема только у одного пользователя, причина может быть в приложении, старом конфиге, DNS, настройках телефона или локальной сети.

Чем точнее описание, тем быстрее можно понять, нужен ли новый маршрут, смена локации или исправление на стороне клиента.

Что будет дальше

Блокировки становятся сложнее, и это меняет сам рынок VPN. Простых серверов и стандартных настроек уже недостаточно: сервисам приходится быстрее адаптироваться, искать новые маршруты и выдерживать растущие расходы. Часть проектов в таких условиях неизбежно перестаёт справляться.

Но для Ateo Digital и команды SLOVO VPN свободный доступ к информации остаётся принципиальной позицией. Поэтому работа над устойчивыми обходами, новыми схемами подключения и защитой доступа к информации будет продолжаться.

Проверить, работает ли VPN у вашего оператора прямо сейчас, можно в Freedom Checker. Оформить SLOVO VPN — на официальном сайте.