VPN без магии: как он работает на самом деле

В метро открываю банковское приложение, а телефон цепляется за «Free_WiFi_5G». Сеть без пароля, рядом кто угодно, и гадать, подменяют ли там трафик, нет желания. Я жму «Подключиться» в VPN, и дальше уже спокойно продолжаю дела.

Вот в таких моментах VPN перестаёт быть абстрактной «защитой» и становится обычным инструментом, как ремень безопасности. Он не делает вас супергероем. Он просто снижает количество неприятных сюрпризов в дороге и в домашней сети, если провайдер или администратор сети решит поиграть в цензора.

VPN — это не «анонимайзер»

Самая частая путаница: VPN воспринимают как плащ-невидимку. На деле это всего лишь защищённый канал между вашим устройством и сервером.

VPN не делает вас невидимым.

Что реально меняется, когда вы подключились:

• провайдер видит не сайты, а соединение с VPN-сервером (и его IP)
• сайты видят IP сервера, а не ваш домашний или мобильный

А вот что не исчезает само по себе: ваши логины в сервисах, отпечаток браузера, трекеры приложений, привычка нажимать на фишинговые ссылки. Если вы вошли в аккаунт Google или VK, никакой VPN не отменит факт входа.

Ещё одна важная штука: VPN и прокси похожи только на уровне «трафик идёт через чужой сервер». Прокси часто работает на уровне браузера или отдельного приложения, а VPN обычно перехватывает маршрутизацию целиком (или по правилам, если включён сплит-туннелинг). Поэтому VPN удобнее, когда нужно, чтобы и мессенджер, и обновления приложений, и системные сервисы шли по одному каналу.

Что происходит после нажатия «Подключиться»

Если разложить процесс по шагам, он выглядит довольно приземлённо.

Сначала клиент (на iOS, Android, Windows, macOS или на роутере с OpenWrt) устанавливает соединение с VPN-сервером. Почти всегда это либо UDP (как у WireGuard), либо TCP, иногда маскирующийся под обычный веб-трафик на порту 443. Дальше стороны договариваются о ключах шифрования и параметрах сессии. Это тот момент, когда вы видите «рукопожатие», а в плохой сети оно может тянуться лишнюю секунду.

Потом система добавляет маршруты. Условно: «всё, что ты хочешь отправить в интернет, сначала заверни в туннель и отдай VPN-интерфейсу». На телефоне это отдельный виртуальный сетевой интерфейс. На компьютере принцип тот же.

Дальше начинается рутина: приложение шлёт пакет, операционная система заворачивает его в зашифрованную оболочку и отправляет на сервер. Сервер снимает оболочку и отправляет исходный пакет в интернет уже от своего имени. Ответ идёт обратно тем же путём.

На стороне провайдера картинка такая: вы активно обмениваетесь пакетами с одним IP-адресом (сервером). Внутри что-то есть, но содержимое закрыто шифрованием. На стороне сайта картинка обратная: он видит запросы от IP VPN-сервера и отвечает туда же.

Звучит просто, но детали портят жизнь.

Где чаще всего «протекает» и почему это раздражает

Есть три места, где VPN может подвести, хотя «значок подключено» горит.

Первое — DNS. Если запросы имён (например, к example.com) внезапно уходят к провайдеру мимо туннеля, он всё равно понимает, куда вы ходите, даже если сам трафик шифрован. Это называется утечка DNS. Нормальные клиенты подменяют DNS на свои или на выбранные вами, а ещё следят, чтобы запросы шли через туннель. Но в реальности утечки встречаются: из-за кривых настроек, старых роутеров, экзотических прошивок.

Второе — IPv6. Некоторые VPN по умолчанию «закрывают» только IPv4, а приложения на устройстве внезапно предпочитают IPv6 и идут в обход. Это не магия, просто два параллельных стека. Хорошие приложения умеют правильно обрабатывать оба варианта.

Третье — разрывы на мобильной сети. Телефон прыгает между LTE и Wi‑Fi, меняется маршрут, иногда даже NAT. WireGuard переносит смену адреса легче многих, но если сеть дрожит и есть потери пакетов, вы увидите подвисания, особенно в голосе и видео.

Это раздражает. Особенно когда ты в созвоне.

Протоколы: почему WireGuard часто приятнее, но не всегда

Слово «VPN» в быту означает всё подряд. На практике под ним могут скрываться и классические VPN-протоколы, и решения из мира обхода блокировок.

Из того, что реально встречается у живых людей:

• WireGuard
• OpenVPN
• IKEv2
• Shadowsocks-2022
• VLESS+REALITY

WireGuard обычно выбирают за скорость и простую архитектуру. Он почти всегда работает поверх UDP, быстро поднимает туннель, неплохо переносит смену сети (это важнее, чем кажется). Из минусов: в некоторых сетях UDP режут или душат, и тогда приходится искать обход или использовать другие варианты.

OpenVPN старше и тяжелее, но его плюс в том, что он умеет жить в «неприятных» сетях. Когда всё вокруг ломается, OpenVPN по TCP иногда спасает, хотя задержки растут. И да, батарейку на телефоне он может подъедать заметнее, особенно если канал нестабильный и идут постоянные переподключения.

IKEv2 часто хорошо дружит с iOS и вообще мобильными устройствами. Он быстро поднимается после сна, но тоже зависит от того, как сеть относится к нужным портам и как настроен сервер.

А вот Shadowsocks-2022 и VLESS+REALITY обычно всплывают, когда речь про цензуру и активные блокировки. Их чаще настраивают через клиенты вроде V2RayNG, NekoBox, Hiddify или Shadowrocket. Эти решения могут выглядеть «как VPN», но по смыслу это скорее транспорт для трафика, который сложнее обнаружить простыми методами. Плата за это бывает разная: где-то сложнее настройки, где-то нестабильнее работа на слабом сигнале, где-то больше накладных расходов.

Если вам нужен именно защищённый канал в гостинице или кафе, WireGuard или IKEv2 обычно закрывают вопрос без лишних танцев.

Почему скорость проседает даже на хорошем тарифе

VPN почти всегда добавляет задержку. Пакет идёт не напрямую к серверу сайта, а через промежуточную точку. Плюс шифрование, плюс обработка на сервере, плюс иногда более длинный маршрут.

Чудес не будет.

Но падение скорости бывает разным. Я обычно проверяю четыре вещи.

Во-первых, географию. Сервер «в другом конце планеты» может быть полезен, когда нужен конкретный регион, но для повседневной работы лучше брать ближайший. У задержки есть физика.

Во-вторых, перегрузку узла. Если на одном сервере вечером сидят все, он начнёт упираться в процессор, в сетевой интерфейс или в канал. Это не всегда видно пользователю, но ощущается как плавающая скорость.

В-третьих, качество мобильной сети. Потери пакетов убивают VPN сильнее, чем обычный серфинг. В браузере вы просто не замечаете повторных передач, а в туннеле они идут поверх всего.

В-четвёртых, MTU. Иногда провайдер или сеть режут размер пакета, начинается фрагментация, и скорость падает без очевидной причины. Это классика в некоторых Wi‑Fi с авторизацией и в мобильных сетях при смене маршрута.

Если вы выбираете сервис, полезно заранее посмотреть, какие протоколы доступны, есть ли нормальные клиенты и настройки, и как решены вопросы с DNS и IPv6. У DuduVPN это описано на странице что умеет сервис, без лишней мишуры.

Настройки, о которых вспоминают только когда всё сломалось

Я вижу один и тот же сценарий: человек ставит VPN, всё работает, а потом внезапно перестаёт открываться половина приложений. Начинается хаос, переустановки, смена серверов, ругань на провайдера.

Чаще всего спасают две функции.

Первая — «килл-свитч» (блокировка трафика при падении VPN). Он нужен не всем, но если вы подключаетесь в публичных сетях, лучше пусть приложение честно оборвёт интернет, чем молча уйдёт в открытую сеть.

Вторая — сплит-туннелинг. Иногда нужно, чтобы рабочий мессенджер и браузер шли через VPN, а банковское приложение и локальные устройства (умный дом, принтер) работали напрямую. В реальной жизни это удобнее, чем спорить с приложением, почему оно не любит «чужой» IP.

Если непонятно, что включать, полезно заглянуть в ответы в FAQ. Там обычно быстро находишь, почему не открывается конкретный сервис или как правильно настроить устройство.

Когда хочется просто пользоваться, а не ковыряться

Я нормально отношусь к ручным конфигам, VLESS-профилям и прочим радостям. Но честно, не каждый вечер хочется разбираться, почему очередной клиент решил иначе трактовать маршруты.

Если вам нужен VPN «поставил и забыл» для телефона, ноутбука и иногда роутера, проще взять DuduVPN и подключать через их выдачу конфигураций. А если удобнее через мессенджер, у них есть Telegram-бот, который помогает с подключением и сменой локаций. Тарифы лежат на странице стоимость и варианты подписки.

Дальше уже начинается личная гигиена: обновляйте клиент, не ставьте случайные «бесплатные VPN» из выдачи, и не забывайте, что VPN не лечит фишинг и заражённые расширения.

Если на мобильном рвётся связь в WireGuard, попробуйте вручную поставить MTU 1280 и включить постоянный keepalive, это часто чинит подвисания в нестабильной сети.