Что происходит с VPN на МТС под блокировками
При локальных отключениях мобильного интернета и точечных ограничениях МТС не всегда «глушит» сеть полностью. Часто оператор переводит мобильный интернет в режим белого списка: наружу проходят только whitelisted-ресурсы — часть CDN, госсайты, отдельные сервисы. Всё остальное, включая VPN, который идёт напрямую на ваш сервер, просто не устанавливает соединение.
Для оператора VPN-сервиса это выглядит так: клиент подключается к ноде по её IP или домену, но пакеты до дата-центра не доходят — handshake не завершается, туннель не поднимается. Проблема не в конфиге и не в протоколе как таковом, а в том, что адрес ноды не входит в белый список сети. Значит, задача не «пробить» блокировку, а сделать вход в сервис неотличимым от обращения к разрешённому ресурсу.
МТС белый список: почему всё решает подсеть /24
Ключевой момент про мтс белый список: он привязан не к конкретным доменам, а к подсетям — как правило, к блокам /24. Если IP вашего входа лежит в подсети, которую сеть считает «белой», трафик проходит; если нет — не проходит. Отсюда прямое следствие для выбора хостинга под ноду или CDN-edge.
| Хостер | Статус в белом списке (по наблюдениям) |
|---|---|
| Selectel | подсети часто whitelisted |
| cloud.ru / SberCloud | часто НЕ попадают в белый список |
| ранее рабочие блоки (напр. часть Yandex) | могут отвалиться со временем |
Важно: статус меняется, гарантий нет, проверять нужно каждую /24 отдельно, а не «хостера вообще». Перед запуском тестируйте конкретный блок из реальной сети МТС в зоне ограничений — то, что работает у одного адреса, может не работать у соседнего. Это не разовая проверка, а регламент.
Нужен вход, который проходит при белых списках, прямо сейчас? CLEAR VPN: первые 5 дней бесплатно, карта не нужна, до 10 устройств.
Получить ключ на 5 дней →Транспорт под троттлингом: XHTTP через CDN
В режиме белого списка и под троттлингом важен и сам транспорт. Практика такая: Reality и Hysteria2 напрямую обычно НЕ проходят — edge их не пропускает. Рабочий подход — спрятать вход за whitelisted CDN-edge (например, Yandex CDN) и гонять XHTTP (mode packet-up) через CDN: оператор видит обращение к «белому» CDN, а CDN проксирует запрос на вашу ноду.
Ошибка unexpected EOF сама по себе не определяет причину. В текущем входе Clearway GET с телом отклоняется CDN с ошибкой 413. Проверьте серверный auto и лимит заголовков, затем клиентский header; для других ошибок сопоставьте время и журналы клиента, CDN, gateway и origin. Ответ HTTP 200 и успешный TLS ещё не подтверждают передачу HTTPS через туннель. Для текущего XHTTP-входа Clearway клиент отправляет uplink в заголовках: uplinkHTTPMethod: "GET", uplinkDataPlacement: "header", uplinkChunkSize: 4096, scMaxEachPostBytes: 4096. Сначала на сервере задайте uplinkDataPlacement: "auto" и serverMaxHeaderBytes: 262144, затем обновите Host и подписки клиентов. Порт, путь, пользователей и остальные параметры сохраняйте. Серверный auto нельзя переносить в клиентскую ссылку.
Настройка ноды за CDN
Для текущего XHTTP-входа Clearway клиент отправляет uplink в заголовках: uplinkHTTPMethod: "GET", uplinkDataPlacement: "header", uplinkChunkSize: 4096, scMaxEachPostBytes: 4096. Сначала на сервере задайте uplinkDataPlacement: "auto" и serverMaxHeaderBytes: 262144, затем обновите Host и подписки клиентов. Порт, путь, пользователей и остальные параметры сохраняйте. Серверный auto нельзя переносить в клиентскую ссылку.
Origin (ноду) обязательно защитите: файрволом разрешите входящие только с IP gateway/CDN, а сам origin прикройте секрет-заголовком X-Cdn-Auth, чтобы сервер не отвечал на прямые обращения мимо CDN. Пошаговая последовательность — в блоке howto ниже.
Себестоимость трафика и учёт в панели
Экономику считать нужно отдельно, потому что XHTTP плодит много мелких запросов, а CDN тарифицирует не только гигабайты, но и запросы.
| Показатель | Оценка |
|---|---|
| Сырой трафик CDN | зависит от провайдера |
| С учётом платы за запросы на масштабе | зависит от провайдера |
Размер uplink-пакета влияет на число HTTP-запросов и нагрузку. Для текущего входа используйте клиентские uplinkChunkSize: 4096 и scMaxEachPostBytes: 4096. Увеличение пакетов ради экономии требует отдельной проверки лимитов CDN и сервера; перенос GET в body сейчас приводит к ошибке 413.
Чего whitelist-CDN не решает
Не путайте две разные задачи. Whitelist-CDN решает устойчивость входа под троттлингом и в режиме белого списка. Он НЕ разблокирует стриминг: сервисы вроде Кинопоиска банят дата-центровые IP по репутации, и для российского контента нужен резидентный IP. Whitelist-CDN этого не даёт — это отдельная история. Если клиенты жалуются именно на стриминг, а не на «интернет вообще не работает», причина другая, и CDN-входом она не лечится.
Строить whitelisted-вход можно самому на Yandex CDN или брать его как сервис. Например, Clearway (clear-way.pro) даёт операторам готовый whitelisted CDN-edge (*.whitechannel-x1-cdn.ru) перед их нодами, без продажи серверов — проверку подсетей и совместимость с XHTTP это снимает с вашей команды. Что выбрать — вопрос объёма трафика и того, готовы ли вы держать собственный CDN-слой.