Белые IP как товар: проверить адрес до оплаты и купить правильно

Как поднять белый вход самому, разобрано в статье «Белые списки мобильного интернета». Эта про случай, когда вы покупаете или арендуете чужой.

Три разные вещи под одним словом

Продавцы называют «белым IP» три несовместимых свойства. Покупатель платит за одно, получает другое, и обе стороны считают себя правыми.

Второе и третье к белым спискам отношения не имеют. Российский адрес у обычного хостера при отключённом мобильном интернете недоступен ровно так же, как немецкий.

Спрашивайте прямо: у какого оператора и в каком регионе адрес входит в белый список. Ответ «это российский IP, он белый» означает, что продавец говорит про второе свойство.

Что можно проверить онлайн, а что нельзя

Сначала важное уточнение про сам предмет. Белые списки бывают двух видов, и продавцы редко уточняют, какой именно у них:

• По домену. Оператор пускает на имена из своего списка, и рабочий приём тут — поставить в serverNames домен из этого списка.
• По подсети. Оператор пускает на диапазоны адресов, и тогда важен именно адрес.

Механика обоих разобрана в «Белых списках мобильного интернета». Дальше речь про второй вид: покупают обычно именно адрес.

Список живёт на стороне оператора, наружу как таблица не отдаётся, и API для запроса «этот адрес белый?» не существует. Есть оценка вероятности: сервис chebur.me показывает процент того, что адрес попадает в белый список, и эта проверка уже встроена в MultiRoller. Ей стоит пользоваться до покупки — она отсеивает заведомо мимо.

Процент это не факт. Точный ответ даёт только SIM нужного оператора в нужном регионе с исчерпанным пакетом трафика.

Что люди используют вместо этого и почему это ничего не доказывает:

• Пинг с домашнего интернета. Проверяет, что сервер жив. К белым спискам отношения не имеет.
• Пинг с мобильного при активном пакете. Тоже пройдёт: при живом пакете открывается вообще всё.
• Номер автономной системы. Показывает, чья сеть. Внутри одной AS часть адресов может быть в списке, а часть нет.
• Расположение в России. Необходимое условие, не достаточное.

Порядок такой: сначала прикидка процентом, потом проверка с SIM-карты. Одной прикидки мало, одной SIM-карты достаточно.

⚠️ Если проверяете с рабочего компьютера, убедитесь, что запрос действительно ушёл в интернет напрямую. Поднятый на машине туннель уводит соединение по имени и подменяет назначение: вы проверите чужой сервер и получите обнадёживающий результат. На macOS проверка делается с явной привязкой к сетевому интерфейсу, а не «как получится».

Что проверить до оплаты

Тестовый доступ важнее скидки. Час работы с живой SIM-картой отвечает на все вопросы выше сразу, и никакая переписка его не заменит.

Три ловушки аренды входа

Вход арендуют не сам по себе: он проксирует трафик на вашу зарубежную ноду. Ломается эта связка тремя способами, и все три выглядят одинаково — «не подключается».

Протухшая A-запись

Ваше доменное имя смотрит на адрес входа. Провайдер вход поменял, а запись осталась старой.

Симптом обманчивый: адрес пингуется, потому что железка на месте и отвечает на ICMP. TCP на 443 при этом не открывается или упирается в чужой сертификат.

# куда на самом деле смотрит имя
dig +short ВАШ_ДОМЕН

# отвечает ли там TLS и чьим именем
echo | openssl s_client -connect ВАШ_ДОМЕН:443 -servername ВАШ_SNI 2>/dev/null \
  | openssl x509 -noout -subject -dates

Если в сертификате чужое имя, вы стучитесь не туда. Мониторинг, который проверяет только доступность, эту поломку не увидит: с его точки зрения хост жив.

SNI не совпадает с serverNames

Вход выбирает, куда переслать соединение, по имени из TLS-рукопожатия. Имя, которое отправляет клиент, задаётся в конфиге ноды.

Совпадать должны три места: serverNames в инбаунде вашей ноды, sni в хосте панели и имя, под которым вас завели у провайдера входа. Расхождение в любом из трёх даёт разрыв на рукопожатии, без внятной ошибки в логах.

Инбаунд без TLS на 443

Отдельный случай, который стоит держать в голове заранее. Если ваш инбаунд поднят без TLS (например, чистый WebSocket с security: none), в рукопожатии нет имени вовсе. Значит, вход не сможет определить, куда пересылать соединение, и на 443 такой инбаунд поставить нельзя.

Для него нужен режим, где вход пересылает трафик по адресу и порту, а не по имени. Спрашивайте про это до покупки: провайдер, который автоматически выдаёт вам имя для любого инбаунда, молча сломает именно этот случай.

Аренда или покупка

Покупка адреса имеет смысл, когда вы держите вход сами и умеете его обслуживать. Тогда вы платите за адрес, за сервер под ним и за своё время: настройка проксирования, обновление списков сканеров, дежурство в момент блокировки.

Аренда закрывает то же самое как услугу. Вы платите за результат, а обслуживанием и заменой при блокировке занимается провайдер.

Что бы вы ни выбрали, держите два входа в разных сетях. Белые адреса блокируют так же, как обычные, и по тем же подсетям.

HUBRent

Мы держим такую аренду сами, поэтому проверьте нас по тому же списку, который стоит выше в этой статье.

Про третью ловушку из этой статьи: арендаторы на общем 443 разводятся по имени домена, поэтому SNI у вас должен совпадать. Работает и ваш домен, и имя из нашей зоны, если своего нет. Инбаунд без TLS в эту схему не заходит по причине, описанной выше: скажите об этом до оформления, для него нужен другой режим.

Ключи и сертификаты остаются на вашей ноде. Вход работает на четвёртом уровне: принимает соединение, смотрит имя домена в приветствии клиента и передаёт поток дальше без изменений. Расшифровывать там нечего.

Сети известных сканеров и госсетей закрыты на входе, списки обновляются ежедневно.

Тарифы, лимиты трафика и порядок оформления — в статье HUBRent. Сама аренда оформляется в боте, раздел «Аренда БС», там же выдаётся пробный доступ.

Проверка после оплаты

Проверять надо по пути клиента, а не по статусу операции. «Провижининг прошёл успешно» и «клиент подключился» — разные утверждения, и второе из первого не следует.

Порядок такой:

1. Имя резолвится в выданный адрес. dig +short возвращает ровно тот адрес, который вам продали.
2. TLS отвечает вашим именем. Команда openssl s_client выше показывает ваш сертификат, а не чужой.
3. Клиент подключается. Реальное приложение, реальный конфиг, открывается сайт.
4. С мобильного при нулевом пакете. Тот самый сценарий, ради которого всё затевалось. Без него проверка не считается.

Первые три шага занимают пять минут. Четвёртый требует SIM-карты с обнулённым пакетом, и именно поэтому его пропускают. Пропустив, вы узнаете правду от клиентов.

⭐ Заведите отдельную SIM-карту под проверки и держите её пакет исчерпанным намеренно. Стоит она копейки, а отвечает на вопрос «у нас работает или у нас кажется» за минуту.

Если проходить этот путь целиком не хочется, возьмите пробный доступ в HUBRent и потратьте час на проверку с той самой SIM-картой. Ответ вы получите до того, как заплатите.