Что значит «белый список» у оператора
Во время локальных блокировок и мобильных шатдаунов операторы РФ переводят мобильный интернет в режим белого списка: доступны только whitelisted-ресурсы — часть CDN, госсайты, платёжные системы. Всё остальное отдаёт таймаут или сбрасывается на уровне DPI.
Для VPN-оператора это ключевой момент: клиент, который ходит напрямую на вашу ноду, обращается к датацентр-IP, которого в белом списке нет. Туннель отваливается, независимо от протокола. Whitelist работает не по отдельным адресам, а по подсетям /24 — оператор пропускает или режет диапазон целиком, ориентируясь на его категорию и репутацию. Поэтому вопрос «подходит ли хостер под ноду» — это на самом деле вопрос «в белых списках ли его конкретная /24».
Selectel и whitelist: что подтверждено, что проверять
На практике подсети Selectel часто остаются доступны в режиме белого списка — это делает его одним из разумных кандидатов под ноду в РФ-инфраструктуре. Но «часто» — не «всегда»: статус привязан к конкретной /24, зависит от её истории и может измениться без предупреждения. Гарантий по IP не даёт ни хостер, ни оператор.
Для сравнения — типичная картина по популярным площадкам (проверяйте актуально, статус подвижен):
| Хостер | Типичный статус в whitelist | Что делать |
|---|---|---|
| Selectel | часто whitelisted | проверять каждую /24 перед боем |
| cloud.ru / SberCloud | часто НЕ whitelisted | не полагаться без проверки |
| Зарубежные ДЦ | как правило нет | только за CDN-edge |
Вывод простой: сам факт «взял сервер в Selectel» доступность не гарантирует. Гарантирует её только проверка конкретной подсети и запасной вариант на случай, если /24 выпадет из списка.
Как проверить подсеть перед запуском
Whitelist нельзя проверить из офиса на проводном интернете — там доступно всё. Нужен реальный мобильный канал в зоне ограничений:
- Возьмите SIM целевого оператора и проверьте доступность IP/подсети именно с мобильного интернета в момент троттлинга, а не с Wi-Fi.
- Тестируйте всю /24, а не один адрес: сосед по подсети может тянуть репутацию вверх или вниз.
- Держите запасную подсеть у того же или другого whitelisted-хостера — миграция ноды должна быть заранее отрепетирована.
- Поставьте периодический мониторинг доступности подсети с мобильного, чтобы поймать выпадение из списка раньше пользователей.
Это рутина, а не разовое действие: категории подсетей пересматриваются, и то, что работало месяц назад, может отвалиться.
Почему одна нода в Selectel не решает всё: вход за CDN
Даже если подсеть в белом списке, прямой транспорт под ограничениями обычно не проходит. Reality и Hysteria2 «в лоб» edge оператора чаще всего не пропускает — они не выглядят как обращение к разрешённому ресурсу. Рабочий подход — спрятать вход VPN за whitelisted CDN-edge (например, на базе Yandex CDN): оператор видит обращение к «белому» CDN-домену, а CDN проксирует трафик на вашу ноду в Selectel.
Транспорт для этого — XHTTP в режиме packet-up. И здесь есть неочевидный, но критичный момент: uplink-данные должны идти в теле запроса (uplinkDataPlacement: "body"), а не в кастомном заголовке вроде X-Payload. CDN-edge кастомные заголовки до origin не доносит — туннель рвётся с ошибкой unexpected EOF. Session/seq кладите в cookie, padding — в query. Это одна из самых частых причин «настроил по инструкции, а не работает».
Настройка ноды за CDN: ключевые моменты
Схема одинаково ложится на Remnawave, 3x-ui, Marzban и Hiddify. Нода в Selectel держит XHTTP-инбаунд (например, на порту 25454); перед ней стоит CDN-edge; клиент ходит на CDN-поддомен.
- Совпадение параметров. В клиентском конфиге CDN-поддомен указывается как Address / SNI / Host.
pathиextraна клиенте и на ноде должны совпадать точь-в-точь — иначе туннель не поднимется. - Безопасность origin. Закройте ноду файрволом на вход только с IP gateway. Секрет-заголовок
X-Cdn-Authзащищает origin от прямых обращений мимо CDN. - Номинальная цена за гигабайт мало что говорит: у провайдеров с тарификацией запросов XHTTP-профиль добавляет к счёту отдельную статью, и реальная ставка получается заметно выше прайсовой. XHTTP плодит мелкие запросы, поэтому крупные посты в body снижают их число и итоговый кост.
- Учёт трафика. В Remnawave множитель потребления ноды и per-user лимиты — механизмы панели. Множитель
0на ноде означает, что трафик не считается против лимита пользователя, хотя нода работает штатно.
Если поднимать и обслуживать whitelisted-вход самостоятельно не хочется, Clearway (clear-way.pro) даёт операторам готовый whitelisted CDN-вход как сервис (edge-домен вида *.whitechannel-x1-cdn.ru) — без продажи серверов, вы просто заводите за него свою ноду.