Обход блокировок

Взгляд сетевого инженера на то, как блокировки выглядят на самом деле, почему /etc/hosts и «поменяй DNS на 1.1.1.1» давно не работают, и какие приёмы ещё держатся.

Получить рабочий VPN 3 дня бесплатно — без карты

Как блокировки реально устроены — четыре слоя

Большинство статей про «как обойти блокировку» предполагают, что цензор делает самое тупое из возможного. В 2026-м это почти всегда не так. Блокировки накладываются слоями, и обход, который ломает один, проигрывает следующему.

Слой 1 — DNS-подмена. Провайдер возвращает неправильный IP для заблокированного домена. Самый дешёвый и старый метод. Ломается переключением DNS на 1.1.1.1, 9.9.9.9 или DoH. Серьёзные цензоры на одном DNS уже не держатся.

Слой 2 — блок по IP. Адреса сайта дропаются на границе провайдера. Никакой DNS-фокус не поможет — пакет физически не выходит. Лечится маршрутизацией через любой эндпоинт, который не заблокирован.

Слой 3 — SNI-инспекция. Ваш TLS-hello несёт имя домена в открытом виде (поле SNI). DPI его читает и роняет соединение, если домен в списке. ECH (Encrypted Client Hello) это решает, но только если поддержат обе стороны, а в 2026-м это всё ещё лоскутно.

Слой 4 — фингерпринт протокола. Цензору всё равно, куда вы идёте — ему важно, как выглядит ваш трафик. OpenVPN, WireGuard, чистый Shadowsocks, IKEv2 — у всех узнаваемая форма рукопожатия. Опознанное соединение режется или дропается независимо от IP назначения. Этот слой ломает любой совет «просто включи VPN».

Что больше не работает само по себе

Правка hosts. Ломает DNS-подмену, но не блок по IP. Помогает только против самых ленивых фильтров.

Смена на публичный DNS. Та же история. Спасает от дешёвых региональных блоков; против государственного фильтра бесполезна.

HTTP-only прокси. Гонит сайты через незашифрованных посредников, которые сами уходят в блок за часы. Плюс ломает любой современный сайт на HTTPS.

«Бесплатные» веб-прокси (сайты, открывающие другой сайт в iframe). Сам прокси-сайт уходит в блоклист почти сразу. И это катастрофа для приватности — он видит всё, что вы делаете.

«VPN-расширения» в браузере. Большинство — это HTTP/SOCKS прокси под маркетинговым соусом. Не справляются ничем выше SNI-инспекции и не закрывают трафик за пределами браузера.

Tor по чистому TCP. Легко опознаётся по рукопожатию. Работает только обёрнутый в obfs4 или meek, и эти мосты требуют активного обслуживания.

Что ещё работает

Список короткий и сужается.

VLESS+Reality. Везёт трафик внутри настоящего TLS 1.3 рукопожатия с реальным популярным сайтом. Для DPI ваше соединение неотличимо от того, как кто-то этот сайт открывает. Нет фиксированного рукопожатия для сигнатуры, нет фейкового сертификата для флага. Полный разбор протокола.

Trojan-GFW. Концептуальный собрат Reality — тоже прикидывается HTTPS к реальному сайту, с чуть другими дизайн-решениями. Во многих регионах ещё работает с теми же оговорками.

Hysteria2 / TUIC. Протоколы поверх QUIC, которые эксплуатируют то, что DPI плохо справляется с массовым UDP. Отличная скорость там, где работают; некоторые сети целиком режут UDP/443.

Shadowsocks-2022 через CDN. До Reality был «рабочей лошадкой». Жив, когда фронтится крупным CDN, который цензор не может позволить себе блокировать целиком.

Обёрнутый Tor (obfs4, meek, snowflake). Латенси выше, зато устойчиво для низкоскоростных сценариев. Snowflake особенно — делает блокировку дорогой, потому что пускает трафик через волонтёрские вкладки браузера.

Слои + умный клиент = устойчивость

Современный инструмент обхода — это не один протокол, а набор фолбэков. Клиент пробует, какой транспорт сейчас живой в вашей сети — TLS на реальный SNI, потом UDP, если первый не пошёл, потом CDN-фронт как третий вариант. Решение — за миллисекунды, прозрачно для приложений.

Именно это VnePN делает на стороне пользователя. В вашей подписке несколько эндпоинтов; клиент выбирает с лучшим рукопожатием в вашей сети и автоматически переключается, если условия изменились. Вы видите «VPN подключён» — под капотом протокол мог сменить себя между утром и вечером.

Вторая половина — что не идёт через туннель. Гонять всё подряд — это поломанные банковские приложения, Госуслуги и локальные платёжные шлюзы. Умная маршрутизация обходит это автоматически — российские и СНГ банковские IP идут напрямую, всё остальное — в туннель. Так снимается самая частая проблема наивных VPN-сетапов.

Когда никаких хитростей не нужно

Если блок на корпоративном Wi-Fi, в школе или в публичном хотспоте — почти любой VPN сойдёт. Эти операторы держатся на дешёвых коммерческих фильтр-боксах, которые не разбирают протоколы на уровне рукопожатия. Хватит WireGuard или OpenVPN на TCP/443.

Если блок на границе страны — Россия, Иран, Китай, часть Залива — нужен как минимум VLESS+Reality, Trojan или Hysteria. Эти протоколы и проектировали под такие фильтры. Гайд по России · кейс ChatGPT.

Если блок со стороны сервиса (сайт режет IP вашей страны) — подойдёт любой VPN с эндпоинтом за пределами этой страны. Протокол менее важен; выбирайте по скорости и списку стран.

Часто задаваемые вопросы

Транспорт, который не устарел в 2024-м

VLESS+Reality с умными фолбэками и таблицей маршрутизации, которая не ломает домашние приложения. 3 дня бесплатно, без карты.

Получить рабочий VPN