Код на обход белых списков для Happ: настройка раздельного туннелирования и маршрутизации

Что такое белые списки и почему они ломают обычные VPN

Белые списки — это режим фильтрации интернета, при котором провайдер пропускает только трафик к заранее одобренным IP-адресам и доменам, а всё остальное блокируется на уровне маршрутизации. В отличие от классических чёрных списков, где запрещены конкретные ресурсы, здесь действует принцип «запрещено всё, кроме разрешённого». Это делает бесполезными большинство стандартных VPN-протоколов: OpenVPN, IKEv2, WireGuard и даже Shadowsocks без обфускации, так как их серверы не входят в белый список.

Фильтрация работает на двух уровнях: L3 (сетевой) — проверка IP-адреса назначения по CIDR-списку, и L7 (прикладной) — DPI анализирует SNI в TLS-ClientHello. Если IP не в списке, пакет просто дропается, и соединение не устанавливается. Если IP разрешён, но SNI в чёрном списке, отправляется RST. Поэтому даже если VPN-сервер находится в белом списке, его трафик может быть заблокирован на уровне SNI.

Для пользователей Happ это означает, что просто включить VPN недостаточно — нужно настроить раздельное туннелирование, чтобы локальные сервисы (банки, госуслуги) работали напрямую, а зарубежные — через прокси. Это не только решает проблему доступности, но и повышает скорость, так как локальный трафик не делает крюк через зарубежный сервер.

Почему Happ и раздельное туннелирование — ключ к обходу

Happ — это VPN-клиент для iOS, который поддерживает продвинутую маршрутизацию через пользовательские правила. В отличие от простых приложений, где можно только включить или выключить VPN, Happ позволяет разделять трафик: одни домены и IP-адреса идут через прокси, другие — напрямую. Это критично при белых списках, потому что локальные ресурсы (например, Сбербанк, Госуслуги) часто недоступны через зарубежные серверы из-за гео-блокировок, а зарубежные сайты не работают напрямую из-за фильтрации.

Раздельное туннелирование решает две задачи: обеспечивает доступ к заблокированным ресурсам через прокси и сохраняет стабильную работу локальных сервисов. Например, вы можете настроить правило, чтобы трафик к доменам .ru и .рф шёл напрямую, а всё остальное — через VLESS-сервер. Это особенно актуально в регионах, где белые списки работают постоянно, и ручное переключение VPN становится невыносимым.

Ключевой элемент — правило geosite:geolocation-!cn, которое направляет весь трафик, кроме китайских доменов, через прокси. Это универсальное правило покрывает большинство зарубежных ресурсов, включая YouTube, Instagram и Twitter, которые часто блокируются. Однако для локальных банков и госуслуг нужно добавить отдельные правила в раздел «Прямое подключение».

Как настроить обход белых списков в Happ: пошаговая инструкция

Настройка раздельного туннелирования в Happ занимает около 10 минут и требует всего 7 шагов. Вот подробная инструкция:

1. Откройте приложение Happ и убедитесь, что у вас есть активный конфиг (подписка VLESS или Shadowsocks). Без рабочего конфига маршрутизация не будет иметь смысла.
2. Перейдите в «Настройки» в нижнем меню приложения.
3. Найдите пункт «Маршрутизация» и включите пользовательские правила. По умолчанию Happ использует стандартную маршрутизацию, которая не разделяет трафик.
4. В разделе «Прямое подключение» добавьте правила для локальных сетей и российских доменов. Например, можно добавить geoip:ru и geosite:category-ru, чтобы весь российский трафик шёл напрямую. Также стоит добавить конкретные домены банков, если они не покрываются общими правилами.
5. В разделе «Прокси» укажите правило geosite:geolocation-!cn — это направит весь трафик, кроме китайских доменов, через прокси. Альтернативно можно оставить маршрутизацию по умолчанию, но тогда локальные сервисы могут работать нестабильно.
6. Сохраните изменения и перезапустите подключение. Это важно, чтобы правила применились.
7. Проверьте работу: откройте локальный банк и зарубежный сайт. Если всё работает — настройка завершена.

Важно: если вы используете Happ на iOS, убедитесь, что у вас установлена последняя версия приложения, так как старые версии могут не поддерживать пользовательские правила.

Выбор клиента: Happ, Hiddify или v2rayNG

Хотя статья посвящена Happ, стоит рассмотреть альтернативы, так как выбор клиента зависит от вашей платформы и уровня комфорта. Happ идеален для iOS: он имеет интуитивный интерфейс и полную поддержку маршрутизации через UI. Однако на Android многие пользователи предпочитают v2rayNG, который предлагает более гибкие настройки, но требует ручного редактирования конфигурации. Hiddify — кроссплатформенное решение, которое поддерживает маршрутизацию, но сложность настройки зависит от конфигурации.

Вот сравнение популярных клиентов:

| Клиент | Платформа | Поддержка маршрутизации | Сложность настройки | |--------|-----------|-------------------------|---------------------| | Happ | iOS | Полная (через UI) | Средняя | | Hiddify | Кроссплатформенный | Поддерживается | Зависит от конфигурации | | v2rayNG | Android | Полная (через настройки) | Зависит от конфигурации |

Если вы используете несколько устройств, Hiddify может быть удобнее, так как он поддерживает Windows, macOS, Linux и мобильные платформы. Однако для пользователей iPhone Happ остаётся лучшим выбором благодаря простоте и стабильности. Главное условие для любого клиента — поддержка правил маршрутизации, иначе раздельное туннелирование будет невозможно.

Типичные ошибки при настройке и как их исправить

Даже при правильной настройке могут возникнуть проблемы. Вот три самые распространённые ошибки и способы их решения:

1. Не открываются банки РФ. Это происходит, когда трафик к локальным сервисам идёт через прокси. Решение: проверьте, что в разделе «Прямое подключение» добавлены правила для локальных сетей (например, geoip:ru). Также убедитесь, что домены банков не перехватываются правилом geosite:geolocation-!cn.

1. Не работают зарубежные сайты. Причина — неактивный конфиг или устаревшая подписка. Проверьте статус подписки в Happ, обновите конфиги и убедитесь, что сервер доступен. Если проблема сохраняется, попробуйте переключиться на другой сервер в подписке.

1. Правила игнорируются. Это часто связано с устаревшими базами маршрутизации. В настройках Happ нажмите «Обновить ресурсы», чтобы загрузить актуальные списки IP-адресов и доменов. Регулярное обновление (раз в несколько недель) минимизирует сбои.

Если ничего не помогло, обратитесь в поддержку вашего VPN-провайдера. Например, FOLK VPS предлагает помощь через Telegram-канал. Также проверьте, не блокирует ли ваш провайдер сам протокол VLESS — в некоторых регионах DPI может распознавать и блокировать даже замаскированный трафик.

Технические детали: как работают белые списки и почему VLESS+Reality эффективен

Чтобы понять, почему раздельное туннелирование работает, нужно разобраться в механике белых списков. Как показали исследования, фильтрация на L3 блокирует все IP, не входящие в список, — пакеты просто дропаются на маршрутизаторе. На L7 DPI проверяет SNI в TLS-ClientHello и отправляет RST, если домен в чёрном списке. Однако есть нюансы: правила SNI не консистентны между разными подсетями, и некоторые заблокированные домены (например, telegram.org) могут пропускаться через определённые IP.

VLESS + Reality — это протокол, который маскирует трафик под обычный HTTPS. Сервер «притворяется» реальным сайтом из белого списка (например, vk.com или ya.ru), используя его TLS-сертификат. Это позволяет обойти DPI, так как трафик выглядит как легитимное HTTPS-соединение. Для работы нужен VPS с IP в белом списке — например, у Timeweb, Yandex.Cloud или VK Cloud. Также важно выбрать правильный SNI: из сканирования белых списков известно, что домены вроде storage.yandex.net или userapi.com пропускаются.

Однако даже VLESS+Reality не гарантирует работу, если IP сервера не в белом списке. Поэтому при выборе VPS обращайте внимание на подсети с высокой плотностью белых IP — например, у Yandex.Cloud (AS200350) или Timeweb (AS9123). Некоторые провайдеры, такие как Timeweb, предлагают бесплатный reroll IP, что позволяет подобрать подходящий адрес.

Альтернативные методы обхода: Yandex Cloud Functions и другие

Помимо VLESS+Reality, существуют и другие способы обхода белых списков. Один из них — использование Yandex Cloud Functions как прокси. Эндпоинт functions.yandexcloud.net универсально входит в белые списки у всех провайдеров, так как Яндекс — критическая инфраструктура. Вы можете написать serverless-функцию, которая будет работать как SOCKS5-прокси, и подключаться к ней через клиент. Free tier включает 1 000 000 вызовов в месяц, что достаточно для базового использования.

Другой метод — использование VPN-серверов, которые уже находятся в белом списке. Например, в списке есть государственные VPN (vpn.gov45.ru) и даже некоторые коммерческие сервисы. Однако такие серверы могут быть нестабильными или иметь ограничения. Также можно использовать CDN-серверы, такие как Cloudflare, если их IP входят в белый список — но это редкость.

Важно помнить, что методы обхода постоянно меняются, так как списки обновляются. Рекомендуется следить за актуальными данными в открытых репозиториях, например, openlibrecommunity/twl, где публикуются результаты сканирования белых списков.

Практические советы по выбору VPS и настройке конфига

Если вы решили использовать VLESS+Reality, вот несколько практических советов:

• Выбирайте VPS у провайдеров, которые часто попадают в белые списки: Yandex.Cloud, Timeweb, VK Cloud, Selectel. У Yandex.Cloud есть бесплатный грант 4000₽ при регистрации, что позволяет протестировать сервер без затрат. Timeweb предлагает бесплатный reroll IP, что удобно для подбора.
• Используйте SNI из списка whitelisted доменов: например, storage.yandex.net, yastatic.net, userapi.com, vkuser.net. Избегайте очевидно заблокированных доменов, таких как twitter.com или youtube.com, так как они могут вызвать RST.
• Настройте конфиг с XTLS-Vision: это улучшает производительность и маскировку. Пример конфига: vless://UUID@IP:443?type=tcp&security=reality&pbk=...&fp=chrome&sni=vklive.enotfast.com&sid=...&flow=xtls-rprx-vision.
• Проверяйте доступность IP: перед покупкой VPS можно просканировать подсеть на предмет вхождения в белый список, но это требует технических навыков. Проще использовать серверы, которые уже известны как работающие.

Помните, что белые списки нестабильны: они могут включаться и выключаться в зависимости от региона и провайдера. Поэтому всегда имейте запасной вариант — например, второй VPS или альтернативный протокол.

Безопасность и легальность: что нужно знать

Обход белых списков — это технически сложная задача, но она не является незаконной в России. Однако использование VPN для доступа к запрещённым ресурсам может нарушать законодательство, если эти ресурсы внесены в реестр запрещённых. Рекомендуется использовать VPN только для легальных целей, таких как доступ к зарубежным сервисам, которые не запрещены.

Также важно помнить о безопасности: при использовании VLESS+Reality убедитесь, что ваш сервер настроен правильно, чтобы не стать жертвой атак. Используйте сложные пароли, обновляйте программное обеспечение и не передавайте конфиги третьим лицам. Некоторые провайдеры, такие как FOLK VPS, предлагают готовые решения с поддержкой, что снижает риски.

Наконец, не забывайте, что белые списки — это динамическая система. То, что работает сегодня, может перестать работать завтра. Следите за обновлениями в сообществах и репозиториях, чтобы быть в курсе изменений.

Вопросы и ответы