Что такое белые списки в INCY и как их обходить

Белые списки — самый жёсткий режим ограничения интернета, с которым сталкиваются пользователи INCY: оператор пропускает только заранее разрешённые домены и адреса, а всё остальное режет. Обычный VPN в таких условиях не поднимается: его серверов просто нет в списке. В этой статье объясним, как устроен режим белых списков, почему INCY с VLESS Reality часто продолжает работать, как включить профиль «Белые списки» и где проходят границы возможного.

Что такое белые списки у оператора

При обычной блокировке оператор ведёт чёрный список: всё разрешено, кроме перечисленного. При белых списках логика обратная — разрешено только перечисленное. В список попадают Госуслуги, банки, крупные маркетплейсы, мессенджеры и часть CDN. Включают режим точечно: на мобильных сетях, в отдельных регионах или на время, поэтому один и тот же ключ может работать дома по Wi-Fi и молчать на LTE.

Почему обычный VPN не работает при белых списках

WireGuard, OpenVPN и старые протоколы вроде VMess без TLS видны оператору как «незнакомый трафик на незнакомый адрес» и отбрасываются первым же правилом. Даже если протокол замаскирован под HTTPS, его SNI указывает на домен сервера, которого в белом списке нет. Чтобы соединение прошло, оно должно выглядеть для оператора как разрешённое: идти на порт 443, иметь TLS-рукопожатие, неотличимое от браузерного, и SNI из белого списка.

Как INCY обходит белые списки: Reality и SNI

INCY работает на ядре Xray-core, в котором реализован VLESS Reality. Reality не поднимает собственный TLS с самоподписанным сертификатом, а «одалживает» рукопожатие настоящего сайта: клиент отправляет ClientHello с SNI, например, www.microsoft.com, сервер отвечает сертификатом этого домена, и только после проверки ключа pbk внутри канала начинается ваш трафик. Со стороны оператора это соединение с разрешённым доменом на 443-м порту. Параметр fp=chrome (uTLS) дополнительно делает отпечаток рукопожатия таким же, как у Chrome.

vless://<uuid>@203.0.113.10:443?type=tcp&security=reality&sni=www.microsoft.com&fp=chrome&pbk=<publicKey>&sid=<shortId>&flow=xtls-rprx-vision#Riga-WL

Ключевые параметры: порт 443, security=reality, sni — домен, который у оператора точно разрешён, fp=chrome. Если ваш провайдер выдаёт ключи с SNI «своего» домена, попросите сервер под белые списки или используйте свой VPS, где SNI выбираете вы.

Важно понимать, что Reality не «взламывает» белый список, а использует его: соединение действительно начинается как обращение к разрешённому домену, и оператор видит ровно то, что ожидает. Поэтому смена SNI на «любой красивый домен» не работает — домен должен быть реально открыт у оператора, отвечать по TLS 1.3 и не находиться за проверкой сертификата на стороне DPI.

Профиль «Белые списки» в INCY: как включить

Сама маскировка — на стороне ключа. Профиль в INCY отвечает за другое: чтобы приложение не пыталось ходить напрямую туда, куда оператор не пустит, и не ждало тайм-аутов.

1. 01

   Обновите приложение

   Reality и uTLS появились в INCY не сразу. Скачайте актуальную сборку на странице загрузки — старые версии подключаются, но без маскировки отпечатка.

2. 02

   Выберите сервер под белые списки

   В списке серверов такие локации помечены назначением «Работа при белых списках» — у провайдера подписки это Рига на порту 443. Доплачивать за неё не нужно: все локации входят в любой тариф, на странице тарифов выбирают только период и число устройств.

3. 03

   Включите профиль

   «Маршрутизация → Профиль → Белые списки». В нём через прокси идёт всё, кроме geoip:private, а DNS всегда резолвится через туннель — иначе запросы упрутся в оператора.

4. 04

   Проверьте на мобильной сети

   Отключите Wi-Fi, подключитесь и откройте сайт, которого точно нет в белом списке. Если тайм-аут — попробуйте соседний сервер: адреса подсетей блокируют выборочно.

Как выбрать сервер для INCY при белых списках

• Порт только 443. Нестандартные порты (8443, 2053) в белых списках, как правило, закрыты полностью.
• SNI разрешённого домена. Microsoft, Apple, крупные CDN — с ними TLS-рукопожатие проходит. SNI собственного домена провайдера — нет.
• IP из «чистой» подсети. Хостинги, целиком попавшие в чёрный список, не спасёт никакая маскировка. Провайдеры держат под белые списки отдельные подсети.
• Ближняя локация. Рига или Хельсинки дают пинг 22–24 мс — при белых списках каждое повторное рукопожатие стоит дорого.

Резервные протоколы, если Reality не пробивается

Иногда оператор режет не по SNI, а по адресу, и тогда помогает смена транспорта. INCY поддерживает xhttp и grpc поверх TLS, а также Trojan — все они живут на 443-м порту. Порядок перебора: Reality на 443 → Trojan на 443 → xhttp или grpc поверх TLS. VMess поверх TLS остаётся последним резервом: маскируется он хуже, а нестандартные порты при белых списках чаще всего закрыты. Переключайтесь между серверами разных типов в списке подписки, а если провайдер их не предлагает — уточните у него. Настройки клиента описаны в руководстве по настройке INCY, а логика профилей — в статье о маршрутизации и GeoIP.