Минцифры хочет проверить VPN в белых списках хостеров

Один чужой VPN на соседнем порту способен подставить белый IP компании, и теперь эту проблему хотят решать руками хостеров.

3 августа 2026 года РБК со ссылкой на участников рынка сообщил: Минцифры обсуждает с хостинг-провайдерами постоянный аудит IP-адресов из белых списков. Формально эти списки нужны, чтобы не ломать корпоративные VPN. Банки, ретейл, заводы, логистика держат защищенные каналы между офисами, складами, дата-центрами и облаками. Если блокировать такие соединения вслепую, бизнес получит не борьбу с обходом ограничений, а остановку касс, ERP, удаленного доступа для администраторов и резервных каналов.

Но рынок быстро нащупал серую зону. На IP, заявленном как корпоративный шлюз, может параллельно работать публичный VPN-сервис. Снаружи все выглядит прилично: трафик идет через 443-й порт, шифруется, похож на обычный HTTPS. В документах - адрес для компании. В реальности - укрытие для сервиса обхода.

Белый список стал защитным экраном для серых сервисов

Сама идея исключений для корпоративных VPN нормальная. Я видел проекты, где одно неаккуратное правило фильтрации отрезало инженеров от промышленной сети или филиал от центральной бухгалтерии. Для крупных компаний VPN - это не удобство, а часть производственного контура.

Проблема в другом: IP-адрес давно перестал быть аккуратной табличкой с именем одного сервиса. У хостера на одном адресе могут жить разные клиенты, контейнеры, прокси, панели управления, тестовые стенды. Провайдер выдал VPS по упрощенной процедуре, клиент поднял VPN, а снаружи это выглядит как проблема всего адреса. Иногда прилетает не только конкретному серверу, но и соседям по подсети.

По обсуждаемой схеме хостер должен быстро реагировать, если на белом IP регулярно находят VPN-инфраструктуру. Провайдеру дают сутки, чтобы подтвердить законность соединения. Если клиент идентифицирован слабо, например только по телефону или банковской карте, услугу могут отключить за 30 минут. Для хостеров, у которых такие эпизоды повторяются, звучит более жесткая мера - ограничение целых IP-подсетей.

На бумаге это похоже на дисциплину для провайдеров. В работе это перенос расследования на тех, кто продает серверы, адреса и каналы связи.

30 минут хватит на выключение, но не на разбор трафика

Полчаса достаточно, чтобы погасить VPS. Но почти никогда недостаточно, чтобы спокойно понять, что именно идет через узел.

Корпоративный VPN поверх TLS может выглядеть очень похоже на сервис обхода. OpenVPN на 443-м порту, WireGuard в нестандартной обертке, IPsec за NAT, самописный агент удаленного доступа, ZTNA-шлюз - в логах хостера это часто превращается в набор соединений, объемов, портов и направлений. Содержимое трафика провайдер не видит, и при нормальном шифровании видеть не должен.

Остаются косвенные признаки. Они ошибаются.

Много коротких соединений? Это может быть публичный VPN, а может быть мобильная сеть сотрудников. Постоянный трафик за рубеж? Это может быть обход ограничений, а может быть репликация в облако или доступ к SaaS. Один IP обслуживает много пользователей? Для публичного VPN подозрительно, для корпоративного шлюза на тысячу сотрудников - обычный рабочий день.

В такой ситуации хостер выбирает не между точным решением и ошибкой. Он выбирает между риском наказания и риском потерять клиента. Если на другой чаше весов ограничение подсети, средний провайдер будет отключать с запасом.

Подсеть режут из-за одного узла, страдают десятки клиентов

Ограничение целой IP-подсети - самая опасная часть этой схемы. IPv4-адреса дефицитны, стоят дорого и используются плотно. У небольшого хостера одна подсеть может обслуживать интернет-магазин, CRM подрядчика, почтовый сервер, тестовый API, удаленный рабочий стол бухгалтера и несколько корпоративных шлюзов.

Если подсеть начинают ограничивать из-за пары подозрительных серверов, ущерб становится коллективным. Пострадают клиенты, которые вообще не запускали VPN. Дальше цепочка понятная: бизнес уходит к другому провайдеру, хостер ужесточает регистрацию, цены растут, серые операторы переезжают на зарубежные площадки или дробят инфраструктуру на более мелкие адресные куски.

С точки зрения контроля победа тоже спорная. Публичные VPN мигрируют быстро. Сегодня сервер стоит в российском дата-центре, завтра - в Казахстане, Германии или за residential-прокси. Корпоративная инфраструктура переезжает медленно: договоры, маршрутизация, сертификаты, белые списки у контрагентов, требования службы безопасности, внутренние регламенты.

Получается перекос. Легальный бизнес несет инерционные расходы, а серый сервис меняет площадку за вечер.

Проверка клиента станет новым фильтром на входе

В позиции Минцифры есть рациональное зерно: VPS действительно слишком долго продавались по легкой схеме. Телефон, банковская карта, почта - и через пять минут у клиента сервер. Для разработчика удобно. Для оператора серого VPN тоже.

Если регулирование пойдет через усиление идентификации, рынок разделится. Крупные хостеры встроят проверку документов, договоры с юрлицами, скоринг, хранение контактных данных и круглосуточную abuse-процедуру. Мелким станет тяжелее: комплаенс стоит денег, юристы стоят денег, команда реагирования 24/7 тоже стоит денег.

Но идентификация не решает техническую задачу различения трафика. Она отвечает на другой вопрос: кого наказать после инцидента. Если критерии подозрительности останутся размытыми, провайдеры начнут защищаться самым грубым способом: отключать быстрее, задавать меньше вопросов, не брать клиентов с нестандартными сетевыми сценариями.

Для корпоративного заказчика это плохой сигнал. Сегодня компания поднимает резервный VPN для аварийного доступа к складу. Завтра хостер просит объяснить, почему ночью через сервер идет много шифрованного трафика. Объяснение простое: синхронизация баз после закрытия смены. Но сервис уже лежит, потому что таймер на 30 минут истек.

Без понятных критериев аудит превратится в лотерею

Пока меры не утверждены, главный вопрос не в самом аудите, а в правилах принятия решения. Что считать регулярным обнаружением VPN-инфраструктуры? Кто фиксирует нарушение? Как хостер доказывает законность корпоративного соединения? Достаточно договора с юрлицом или понадобятся схема сети, назначение сервера, журналы доступа, список пользователей?

Отдельная боль - апелляция. Если адрес исключили из белого списка по ошибке, бизнесу нужен не абстрактный канал обращения, а рабочий SLA: кто принимает заявку, за сколько часов возвращают доступ, какие документы нужны, что происходит при повторной проверке.

Я бы оценивал будущую модель по двум признакам. Первый - разделяют ли в ней конкретный сервер, IP-адрес и подсеть. Второй - защищен ли добросовестный клиент от мгновенной коллективной блокировки. Если этих предохранителей не будет, хостеры начнут чистить все подозрительное с запасом, а клиенты получат больше случайных отказов.

Серые VPN не исчезнут только потому, что их вытеснят из белых списков. Они станут дороже, аккуратнее и мобильнее. Российским хостерам придется жить в режиме сетевого патруля: проверять клиентов, хранить доказательства легальности, отвечать за чужой трафик и держать палец на кнопке отключения. Если VPN вашей компании размещен у внешнего провайдера, уже сейчас проверьте договор, качество идентификации аккаунта и резервный адрес. Потом 30 минут могут оказаться слишком короткими.

P.S. "Друзья, больше свободы в сети - то заходите в бот: https://t.me/BBQ_VPN_BOT?start=u_HJ7nN "

P.S. "По разработке ботов пишите в ЛС ТГ https://t.me/joodjoy "