DNS-сервер с белыми списками: как работает фильтрация и что делать

Что такое DNS-сервер с белыми списками

DNS-сервер с белыми списками — это система, которая разрешает запросы только для заранее одобренных доменов и IP-адресов, блокируя всё остальное. В отличие от классических чёрных списков, где запрещён конкретный перечень ресурсов, белые списки работают по принципу «запрещено всё, кроме явно разрешённого». Такой подход применяется в России в рамках «суверенного интернета»: при активации режима белых списков (БС) доступными остаются только ресурсы из утверждённого перечня, а весь остальной трафик отбрасывается.

Технически белые списки реализуются на двух уровнях. Первый — сетевой (L3): фильтрация по IP-адресам и подсетям. Если адрес назначения не входит в разрешённый диапазон, пакет просто уничтожается маршрутизатором ещё до глубокой проверки содержимого. Второй — прикладной (L7): DPI-система анализирует SNI (Server Name Indication) в TLS-запросе и принимает решение о пропуске или разрыве соединения. Таким образом, даже если IP-адрес разрешён, но домен в чёрном списке SNI, соединение будет сброшено.

Для пользователя это означает, что при включении БС привычные DNS-серверы, такие как 8.8.8.8 или 1.1.1.1, перестают отвечать — порт UDP 53 закрыт для внешних адресов. Работает только DNS провайдера, который обслуживает внутренние домены из белого списка. Это создаёт дополнительные сложности для обхода, так как стандартные методы смены DNS не помогают.

Как работает фильтрация на уровне L3 и L7

Фильтрация в режиме белых списков происходит в два этапа. Сначала пакет проверяется на сетевом уровне: если IP-адрес назначения не входит в разрешённый CIDR-диапазон, пакет отбрасывается без каких-либо ответов. Это означает, что ICMP, TCP и UDP запросы к неразрешённым адресам просто исчезают — соединение не устанавливается, таймаут.

Если IP-адрес разрешён, трафик передаётся на уровень L7, где DPI анализирует SNI в TLS ClientHello. Если SNI находится в чёрном списке, соединение разрывается принудительно (RST). В противном случае трафик пропускается. Важно отметить, что правила SNI-фильтрации не всегда консистентны: один и тот же домен может быть доступен через IP одного оператора, но заблокирован через IP другого. Например, twitter.com может пропускаться через IP Яндекса, но блокироваться через IP VK или MAX.

Такая двухуровневая архитектура делает обход сложнее, но не невозможным. Ключевая идея — использовать IP-адреса из белого списка и маскировать трафик под разрешённые домены. Например, если ваш VPS имеет IP из пула Яндекса, вы можете настроить прокси с SNI, имитирующим легитимный домен, и трафик будет пропущен.

Почему обычные DNS-серверы перестают работать

В режиме белых списков доступ к внешним DNS-серверам блокируется на уровне L3. Порт UDP 53 закрыт для всех адресов, кроме DNS-сервера самого провайдера. Это сделано для того, чтобы пользователи не могли обойти фильтрацию, используя альтернативные DNS, которые могли бы резолвить заблокированные домены.

Например, при тестировании через мобильного оператора Мегафон все внешние DNS — Google (8.8.8.8), Cloudflare (1.1.1.1), Яндекс (77.88.8.8) — давали таймаут. Работал только внутренний DNS оператора (10.233.58.133). Это означает, что даже если вы вручную укажете DNS в настройках устройства, запросы будут проигнорированы.

Однако стоит отметить, что правила могут различаться у разных операторов и в разных регионах. У некоторых провайдеров внешние DNS могут работать частично, но в целом тенденция такова: в режиме БС доступен только DNS оператора. Это ограничение важно учитывать при настройке обходных путей — например, если вы используете VPN, его DNS-запросы также будут проходить через фильтр, если только не настроен туннель, который шифрует DNS-трафик.

География и неравномерность работы белых списков

Белые списки работают неравномерно как по регионам, так и по времени. В Москве режим БС включается эпизодически, примерно на три часа, в Санкт-Петербурге — редко, иногда неделями не активируется. В большинстве других регионов БС работает постоянно, 24/7. При этом даже внутри одного города ситуация может меняться от точки к точке: на одной улице интернет работает нормально, на соседней — только белые списки.

Такая неравномерность связана с тем, что ТСПУ (технические средства противодействия угрозам) устанавливаются на уровне операторов связи, и их настройки могут различаться. Кроме того, списки разрешённых IP и доменов постоянно обновляются: что-то добавляют, что-то убирают. Например, у одного оператора может быть доступен Тинькофф, а у другого — нет, без видимой логики.

Для пользователя это означает, что универсального решения не существует. То, что работает сегодня у одного оператора, может не работать завтра у другого. Поэтому при выборе метода обхода важно учитывать региональные особенности и быть готовым к тому, что настройки придётся менять.

Что попадает в белые списки: приоритеты и исключения

Анализ белых списков показывает, что в них включены далеко не все ресурсы. Существует иерархия приоритетов. На первом уровне — обязательные сервисы, такие как max.ru (мессенджер), которые присутствуют в списках всех операторов и всегда работают. На втором уровне — государственно значимая инфраструктура: vk.com, ya.ru, сайты госорганов. На третьем — банки, маркетплейсы и прочие популярные сервисы, но их наличие зависит от оператора.

Любопытная деталь: почти все банки включены в белые списки, кроме Сбербанка. При этом сервис видеозвонков salutejazz.ru от Сбера — есть. Это говорит о том, что списки формируются не всегда логично, и в них могут попадать случайные ресурсы.

Также в белых списках обнаруживаются VPN-сервисы, включая государственные (например, vpn.gov45.ru) и даже сомнительные домены. Это создаёт возможности для обхода: если ваш сервер имеет IP из белого списка, вы можете использовать его для проксирования трафика, даже если домен не связан с разрешёнными ресурсами.

Методы обхода белых списков: от SNI-подмены до VPS

Существует несколько практических методов обхода белых списков. Самый популярный — использование VPS с IP-адресом из белого списка. Например, серверы в Yandex Cloud, VK Cloud или Timeweb часто попадают в списки, так как эти провайдеры хостит множество государственных и коммерческих сервисов. Настроив на таком VPS прокси (например, VLESS + Reality), вы можете обходить блокировки, маскируя трафик под разрешённый домен.

Второй метод — подмена SNI. Если у вас есть доступ к серверу с белым IP, вы можете настроить его так, чтобы он отвечал на запросы с SNI, соответствующим разрешённому домену (например, vk.com или ya.ru). DPI пропустит трафик, так как SNI будет выглядеть легитимным.

Третий метод — использование облачных функций, например Yandex Cloud Functions. Эндпоинт functions.yandexcloud.net универсально доступен в белых списках, и через него можно организовать проксирование. Это бесплатно до определённого лимита (1 млн вызовов в месяц), что делает метод привлекательным для личного использования.

Важно понимать, что все эти методы требуют технических навыков и могут перестать работать, если списки обновятся. Кроме того, использование обходных путей может нарушать законодательство, поэтому стоит взвесить риски.

Практические примеры настройки обхода

Рассмотрим пример настройки VLESS + Reality на российском VPS. Вам понадобится сервер с IP из белого списка (например, в Yandex Cloud). Установите Xray, настройте VLESS с параметрами reality, укажите SNI разрешённого домена (например, vk.com) и flow=xtls-rprx-vision. Клиент подключается к серверу, и весь трафик идёт через него, маскируясь под обычное HTTPS-соединение с VK.

Другой пример — использование подмены SNI на Android. Приложения типа Invizible Pro позволяют подделать SNI в исходящих запросах, заменяя его на разрешённый домен. Это работает, если блокировка основана только на SNI, но не поможет, если IP-адрес назначения не в белом списке.

Также можно использовать TURN-серверы VK Calls для проброса трафика WireGuard или Hysteria. Этот метод использует легитимные серверы VK, которые всегда доступны, и шифрует трафик внутри DTLS. Настройка сложнее, но даёт стабильный обход.

Каждый метод имеет свои плюсы и минусы. VPS-прокси — самый надёжный, но требует затрат. Подмена SNI — бесплатна, но не всегда эффективна. TURN-серверы — хороший баланс, но сложны в настройке.

Риски и ограничения при использовании обходных методов

Использование обходных методов связано с рядом рисков. Во-первых, это юридические последствия: обход блокировок может нарушать законодательство, и в некоторых случаях предусмотрена ответственность. Во-вторых, технические риски: списки белых адресов постоянно обновляются, и ваш VPS может быть исключён из них в любой момент. В-третьих, безопасность: использование непроверенных VPN-сервисов или подписок может привести к утечке данных.

Кроме того, не все методы работают одинаково у разных операторов. Например, некоторые обходы не работают на МТС и Т-Мобайл, но работают на Мегафоне и Билайне. Поэтому перед выбором метода стоит изучить актуальные списки и тесты.

Также важно помнить, что DPI-системы постоянно совершенствуются. Методы, которые работают сегодня, могут быть заблокированы завтра. Поэтому рекомендуется следить за обновлениями в сообществах, посвящённых обходу блокировок, и быть готовым к смене тактики.

Как выбрать DNS-сервер с белыми списками для своих нужд

Если вы администратор или владелец бизнеса, которому нужен доступ к ресурсам в условиях БС, выбор DNS-сервера с белыми списками может быть критичным. Важно понимать, что стандартные публичные DNS не подойдут — они будут заблокированы. Вместо этого нужно использовать DNS провайдера, который обслуживает только разрешённые домены.

При выборе DNS-сервера обратите внимание на следующие аспекты:

• Скорость ответа: внутренние DNS обычно быстрее, так как находятся ближе.
• Надёжность: убедитесь, что DNS-сервер не перегружен и работает стабильно.
• Поддержка DNSSEC: если важна безопасность, проверьте, поддерживает ли DNS-сервер DNSSEC.
• Логирование: уточните, хранит ли провайдер логи запросов — это может быть важно для конфиденциальности.

Также стоит рассмотреть возможность настройки собственного DNS-сервера на VPS с белым IP. Это даст вам полный контроль над резолвингом и позволит обходить ограничения, если вы настроите проксирование. Однако такой подход требует технических знаний и может быть сложен для новичков.

Будущее белых списков и альтернативные подходы

Белые списки — это не статичная технология. Они развиваются, и можно ожидать, что в будущем фильтрация станет более жёсткой и умной. Уже сейчас DPI-системы анализируют TLS-отпечатки, что позволяет блокировать даже замаскированный трафик. Возможно, появятся новые методы обхода, но и защита будет совершенствоваться.

Альтернативой белым спискам может стать полная сегментация интернета, когда доступ к глобальной сети будет полностью закрыт, а внутри страны будет работать только ограниченный набор сервисов. Однако такой сценарий маловероятен в ближайшее время из-за экономических и социальных последствий.

Для пользователей важно оставаться в курсе изменений и адаптироваться. Следите за новостями в профильных сообществах, тестируйте разные методы и выбирайте те, которые работают в вашем регионе и у вашего оператора. Помните, что технические решения быстро устаревают, поэтому гибкость — ключ к успеху.

Вопросы и ответы