Белые списки, обход блокировок, VPN и бла бла бла.
99% материалов о белых списках, которые сейчас мелькают в инфополе это информационный мусор. За большинством из них стоит конкретная цель: продать тебе тот или иной VPN-сервис.
Берётся какая-то реальная угроза, раздувается до апокалиптических масштабов, а затем конечно же появляется «единственное решение» - тот самый продукт который всё решит!
Технические детали при этом либо намеренно упрощаются, либо искажаются так, чтобы у читателя не возникло ощущения, что он может разобраться сам.
Будьте скептичны. Если в материале про блокировки в конце или в середине появляется реферальная ссылка - вы уже знаете, зачем он написан. Реальная картина куда спокойнее, чем её рисуют те, кому выгодна ваша паника.
Так сложилось, что последние полтора года я тесно связан с этой темой, и попробую максимально простыми словами объяснить что это за белые списки, что делать если их введут, а также введут ли их вообще.
Белые списки (Whitelist) - это когда доступ у тебя есть только к заранее разрешённым ресурсам, а всё остальное блокируется по умолчанию.
Технически это можно реализовать на совершенно разных уровнях и у каждого метода есть свои ограничения и побочки, а иногда они комбинируются. В целом, можно выделить 3 основных сценария:
1. Частичный Whitelist - международный трафик разрешён только к определённому списку сервисов.
В данном случае ломаются CDN, облака, внешние API, OAuth/PKI/OCSP-зависимости приводят к отказам даже у разрешённых приложений. Это именно то, что происходит в мобильных сетях Москвы прямо сейчас.
Прямой туннель на зарубежный сервер в таком случае уже не сработает - ведь если сервиса нет в белом списке - соединение рвётся после 16–24 КБ
Рабочее решение нашлось через пару дней после первых тестирований подобных блокировок в регионах и остаётся актуальным до сих пор - каскадное соединение.
Берёшь VPS на белом российском IP (часто попадаются в Yandex.Cloud, VK Cloud и других, где хостится большинство инфраструктуры разрешённых сервисов) и уже с него перекидываешь трафик дальше, до иностранного exit-сервера, и все у тебя будет работать
2. Внешний трафик отрезан - доступ только внутри локальной сети.
Внутренняя связность и p2p остаются, но глобальная экосистема исчезает - нет внешних API, нет глобальных облаков.
Тут привычные VPN уже не помогут: пакеты физически не выходят за границу. На помощь приходит Yggdrasil - кто-то с доступом к нормальному интернету поднимает ноду и делает outproxy в обычный интернет, мы же через mesh-сеть идём к нему.
В случае блокировок такого трафика будем маскироваться - уже есть рабочий опыт. Помимо Yggdrasil, конечно, есть и другие решения. В дополнение, останутся работать пиринговые мессенджеры типа Briar, федеративные инстансы вроде Mastodon. Связь с внешним миром можно будет поддерживать в любом случае.
3. Полная изоляция - разрешены только конкретные IP-адреса, всё остальное запрещено по умолчанию.
Этим собственно тебя зачастую сейчас и пугают, хотя сценарий ОЧЕНЬ маловероятный. Такой подход требует многолетней подготовки: даже самая критичная инфраструктура все еще завязана на огромном количестве внешних сервисов.
При введении одним днём разом перестают работать не только банковские терминалы и кассы, как уже в привычном для кого-то первом сценарии, но и практически все финансовые системы, госуслуги и связанные с ними сервисы. Встаёт весь транспорт: авиация, поезда, метро, умные светофоры, некоторые лифты и домофоны. Полный хаос по всей стране, который коснётся практически каждой сферы.
В данном случае не поможет практически ничего - но и вероятность такого сценария ничтожно мала. Если бы они хотели это сделать, мы бы обязательно узнали об этом сильно заранее и видели огромное количество признаков. Ничего подобного в масштабах пока нет.
Поэтому повторюсь - меньше ведись на хуйню и не надо так сильно за всё париться. Рабочих решений сейчас много и обходы блокировок развиваются активнее и качественнее, чем сами варианты блокировок.
p.s. Телеграм сильно душат, поэтому подписывайся в MAX, чтобы не потеряться!
99% материалов о белых списках, которые сейчас мелькают в инфополе это информационный мусор. За большинством из них стоит конкретная цель: продать тебе тот или иной VPN-сервис.
Берётся какая-то реальная угроза, раздувается до апокалиптических масштабов, а затем конечно же появляется «единственное решение» - тот самый продукт который всё решит!
Технические детали при этом либо намеренно упрощаются, либо искажаются так, чтобы у читателя не возникло ощущения, что он может разобраться сам.
Будьте скептичны. Если в материале про блокировки в конце или в середине появляется реферальная ссылка - вы уже знаете, зачем он написан. Реальная картина куда спокойнее, чем её рисуют те, кому выгодна ваша паника.
Так сложилось, что последние полтора года я тесно связан с этой темой, и попробую максимально простыми словами объяснить что это за белые списки, что делать если их введут, а также введут ли их вообще.
Белые списки (Whitelist) - это когда доступ у тебя есть только к заранее разрешённым ресурсам, а всё остальное блокируется по умолчанию.
Технически это можно реализовать на совершенно разных уровнях и у каждого метода есть свои ограничения и побочки, а иногда они комбинируются. В целом, можно выделить 3 основных сценария:
1. Частичный Whitelist - международный трафик разрешён только к определённому списку сервисов.
В данном случае ломаются CDN, облака, внешние API, OAuth/PKI/OCSP-зависимости приводят к отказам даже у разрешённых приложений. Это именно то, что происходит в мобильных сетях Москвы прямо сейчас.
Прямой туннель на зарубежный сервер в таком случае уже не сработает - ведь если сервиса нет в белом списке - соединение рвётся после 16–24 КБ
Рабочее решение нашлось через пару дней после первых тестирований подобных блокировок в регионах и остаётся актуальным до сих пор - каскадное соединение.
Берёшь VPS на белом российском IP (часто попадаются в Yandex.Cloud, VK Cloud и других, где хостится большинство инфраструктуры разрешённых сервисов) и уже с него перекидываешь трафик дальше, до иностранного exit-сервера, и все у тебя будет работать
2. Внешний трафик отрезан - доступ только внутри локальной сети.
Внутренняя связность и p2p остаются, но глобальная экосистема исчезает - нет внешних API, нет глобальных облаков.
Тут привычные VPN уже не помогут: пакеты физически не выходят за границу. На помощь приходит Yggdrasil - кто-то с доступом к нормальному интернету поднимает ноду и делает outproxy в обычный интернет, мы же через mesh-сеть идём к нему.
В случае блокировок такого трафика будем маскироваться - уже есть рабочий опыт. Помимо Yggdrasil, конечно, есть и другие решения. В дополнение, останутся работать пиринговые мессенджеры типа Briar, федеративные инстансы вроде Mastodon. Связь с внешним миром можно будет поддерживать в любом случае.
3. Полная изоляция - разрешены только конкретные IP-адреса, всё остальное запрещено по умолчанию.
Этим собственно тебя зачастую сейчас и пугают, хотя сценарий ОЧЕНЬ маловероятный. Такой подход требует многолетней подготовки: даже самая критичная инфраструктура все еще завязана на огромном количестве внешних сервисов.
При введении одним днём разом перестают работать не только банковские терминалы и кассы, как уже в привычном для кого-то первом сценарии, но и практически все финансовые системы, госуслуги и связанные с ними сервисы. Встаёт весь транспорт: авиация, поезда, метро, умные светофоры, некоторые лифты и домофоны. Полный хаос по всей стране, который коснётся практически каждой сферы.
В данном случае не поможет практически ничего - но и вероятность такого сценария ничтожно мала. Если бы они хотели это сделать, мы бы обязательно узнали об этом сильно заранее и видели огромное количество признаков. Ничего подобного в масштабах пока нет.
Поэтому повторюсь - меньше ведись на хуйню и не надо так сильно за всё париться. Рабочих решений сейчас много и обходы блокировок развиваются активнее и качественнее, чем сами варианты блокировок.
p.s. Телеграм сильно душат, поэтому подписывайся в MAX, чтобы не потеряться!