Что такое VPN: как он работает, что скрывает и чего не может

Что такое VPN и как он работает?

Виртуальная частная сеть (VPN) — сервис, который направляет весь интернет-трафик вашего устройства через зашифрованный туннель между устройством и сервером VPN; затем трафик уходит с этого сервера к конечному адресату ^[1]. Шифрование превращает данные в нечитаемый вид, так что прочитать их может только обладатель нужного ключа. Поскольку ваши запросы выглядят исходящими с сервера VPN, VPN маскирует ваш IP-адрес — числовой адрес, который указывает на ваше примерное местоположение и может использоваться для вашей идентификации ^[1].

Cloudflare описывает подключение в четыре шага: клиент VPN (приложение на вашем устройстве) подключается через интернет-провайдера по зашифрованному соединению; провайдер передаёт это соединение серверу VPN; сервер VPN расшифровывает данные и подключается к сайту от вашего имени; а зашифрованный канал между клиентом и сервером и называется туннелем VPN ^[2]. В результате веб-серверы записывают в журналы только IP-адрес сервера VPN ^[2].

Что происходит на устройстве?

Технически клиент VPN создаёт виртуальный сетевой интерфейс — чисто программный сетевой адаптер — и использует его для шифрования и расшифровки трафика, прежде чем передать его реальному оборудованию Wi-Fi или Ethernet ^[3]. Если через туннель проходит весь трафик, это называется полнотуннельным VPN; если часть трафика, например локальный сетевой трафик, может идти в обход, это раздельное туннелирование (split tunnel) ^[3].

Для чего используют VPN?

Electronic Frontier Foundation (EFF), организация по защите цифровых прав, считает, что VPN лучше всего подходят для одной задачи — направить подключение через другую сеть, что полезно в двух ситуациях: для обхода цензуры в сети, блокирующей сайты, и для подключения к офисной сети из другого места ^[1]. Cloudflare добавляет к списку распространённых применений защиту в публичных сетях Wi-Fi и обход ограничений на контент по местоположению ^[2].

Что скрывает VPN и от кого?

VPN скрывает исходящий трафик от интернет-провайдера и от владельца локальной сети, например кафе или отеля ^[1]. Поскольку туннель, проходящий через провайдера, зашифрован, провайдер не видит, что вы делаете внутри него ^[2]. С точки зрения сайта вы находитесь там, где расположен сервер VPN ^[1].

Компромисс прост, но его часто упускают: скрывая ваши действия в интернете от провайдера, VPN делает их все видимыми для поставщика VPN ^[1]. EFF отмечает, что поставщик может продавать эту информацию точно так же, как это мог бы делать провайдер ^[1]. В пояснительном материале самой Cloudflare говорится, что пользователи могут чувствовать себя защищёнными с VPN, только если доверяют его поставщику, поскольку недобросовестный поставщик может продавать данные пользователей или оставить их беззащитными перед атаками ^[2].

VPN также не защищает ваши данные от оператора частной сети, к которой вы подключаетесь. В корпоративном VPN ваш трафик видит тот, кто управляет корпоративной сетью; в коммерческом VPN — тот, кто управляет сервисом ^[1]. Иными словами, VPN переносит доверие с одной компании (провайдера или владельца Wi-Fi) на другую (поставщика VPN), но не избавляет от необходимости доверять.

От чего VPN не может защитить?

Реклама VPN часто утверждает, что они защищают от преступников, вредоносных программ, государственной слежки и отслеживания в интернете; по мнению EFF, такая реклама сильно преувеличивает их пользу ^[1]. Основные ограничения:

• Отслеживание. VPN не является инструментом анонимности. Компании по-прежнему могут отслеживать вас с помощью GPS, веб-cookie, пикселей отслеживания или цифровых отпечатков ^[1].
• Аккаунты и история. VPN никак не мешает правоохранительным органам получить историю просмотров, сохранённую в браузере или в аккаунте, в который вы вошли ^[1].
• Запросы властей к поставщику. Поставщики VPN сами получают запросы от правоохранительных органов, и многие сохраняют столько же информации, сколько и интернет-провайдеры ^[1]. Поставщик обязан соблюдать законы стран, в которых ведёт деятельность ^[1].
• Связь с платежами. Оплата банковской картой связывает вашу личность с аккаунтом, а поставщик всё равно может собирать ваш IP-адрес ^[1].

Может ли трафик утекать мимо VPN?

Да. В мае 2024 года Leviathan Security Group опубликовала методику TunnelVision (CVE-2024-3661), которая использует встроенную функцию DHCP — протокола, раздающего сетевые настройки, — чтобы вывести трафик пользователя из туннеля VPN и отправить его в незашифрованном виде ^[3]. Национальная база данных уязвимостей США описывает проблему так: опция DHCP 121 может добавлять маршруты в таблицу маршрутизации устройства, и злоумышленник в той же локальной сети может читать, нарушать или, возможно, изменять трафик, который должен был быть защищён VPN ^[4].

В тестах исследователей VPN неизменно продолжал сообщать о подключении, а аварийный выключатель (kill switch — функция, блокирующая трафик при обрыве соединения с VPN) ни разу не срабатывал ^[3]. Android не был затронут, поскольку не реализует опцию DHCP 121 ^[3]. Исследователи пришли к выводу, что VPN не предназначены для защиты от атак в физической локальной сети и что обещать обратное опасно ^[3].

А как насчёт скорости?

Некоторые пользователи замечают замедление соединения в зависимости от мощности серверов поставщика, а сервер VPN, удалённый и от пользователя, и от сайта, добавляет задержку ^[2].

Нужен ли VPN в публичной сети Wi-Fi?

Не всегда. По словам EFF, раньше стандартным советом было использовать VPN в публичных сетях Wi-Fi, но теперь это уже не так необходимо для всех, поскольку большая часть веб-трафика шифруется с помощью HTTPS ^[1]. HTTPS — защищённая версия веб-протокола, отмеченная значком замка, которая шифрует то, что вы отправляете на сайт и получаете с него.

HTTPS защищает содержимое передаваемых данных, но не метаданные ^[1]. На сайте с HTTPS участники на пути передачи обычно видят доменное имя (например, wikipedia.org) и время посещения, а также размеры страниц и файлов, но не конкретную страницу, ваш логин или ваши сообщения ^[1]. VPN может скрыть эти метаданные от того, кто прослушивает локальную сеть, но поставщик VPN увидит их все ^[1].

EFF считает, что VPN может быть полезен, когда приходится пользоваться публичной сетью, которой вы не доверяете, а VPN, которому вы доверяете, у вас есть ^[1]. Федеральная торговая комиссия США (FTC) также предупреждала, что бесплатные публичные сети Wi-Fi часто небезопасны, и её советы 2018 года по VPN-приложениям касались защиты информации, передаваемой через публичные сети Wi-Fi ^[5]. Учтите, что устаревшее VPN-приложение может плохо защищать даже в этом случае; EFF приводит в пример TunnelVision ^[1].

Какие протоколы VPN безопасны?

Протокол — это набор правил, по которым VPN строит и шифрует туннель. Если VPN использует взломанное шифрование, например протокол Point-to-Point Tunneling Protocol (PPTP), проходящие через него данные легко расшифровать и просмотреть ^[1]. EFF называет OpenVPN и WireGuard двумя протоколами, ставшими распространёнными в потребительских сервисах ^[1].

Разработчики WireGuard описывают его как простой, быстрый и современный VPN, использующий передовую криптографию, например фреймворк протоколов Noise, Curve25519 и ChaCha20, и отмечают, что он прошёл проверку криптографов ^[7]. Он задуман достаточно компактным, чтобы его мог полностью проверить один человек, в отличие от гораздо более объёмных кодовых баз IPsec или OpenVPN ^[7].

Для организаций Национальный центр кибербезопасности Великобритании (NCSC) указывает, что наиболее распространённые протоколы — TLS и IPsec, рекомендует IPsec для VPN-доступа как открытый стандарт, встроенный во многие операционные системы, и отмечает, что WireGuard выглядит многообещающе, но ещё не проверен в корпоративной среде ^[6]. NCSC также предупреждает, что некоторые сторонние сети ограничивают или блокируют трафик IPsec, тогда как TLS VPN могут надёжнее проходить через корпоративные межсетевые экраны ^[6].

Функцию Apple «Частный узел iCloud» (iCloud Private Relay) иногда путают с VPN. Она предназначена для защиты просмотра сайтов в Safari, отправляет запросы через два отдельных ретранслятора, чтобы ни одна сторона, даже Apple, не видела одновременно, кто вы и какие сайты посещаете, и доступна не во всех странах и регионах ^[10].

Как выбрать надёжный VPN?

FTC предлагает четыре проверки перед использованием VPN-приложения: изучите приложение до установки, проверьте запрашиваемые разрешения, убедитесь, что оно шифрует вашу информацию, и выясните, передаёт ли оно ваши данные третьим лицам ^[5]. EFF добавляет ещё несколько вопросов ^[1]:

1. Прочитайте политику конфиденциальности. Поставщик может записывать ваши данные, если прямо не исключает этого, а заявление об отсутствии журналов не является гарантией ^[1].
2. Выясните, как он зарабатывает. Некоторые VPN бесплатны, но продают ваши данные; другие используют модель freemium с ограничением трафика или регулярную подписку ^[1].
3. Ищите публичные аудиты. Независимые аудиты безопасности — хороший знак, но после аудита практика может измениться ^[1].
4. Узнайте, кто им управляет. Относитесь скептически к VPN, за репутацию которого никто не ручается, и поищите на странице «О нас» сведения об основателях или сотрудниках ^[1].
5. Проверьте страну. Поставщик связан законами страны, в которой работает, включая правила о запросах данных со стороны государства ^[1].

Достаточно ли наличия в магазине приложений?

Нет. EFF предупреждает, что не стоит считать VPN-приложение безопасным только потому, что оно есть в Google Play или Apple App Store ^[1]. Правила проверки приложений Apple (App Review Guidelines) запрещают VPN-приложениям продавать, использовать или раскрывать данные третьим лицам с какой-либо целью ^[9]. Тем не менее 1 апреля 2025 года Tech Transparency Project сообщил, что 20 из 100 самых популярных бесплатных VPN в американском App Store в 2024 году принадлежали китайским компаниям, ни одна из которых явно не раскрывала этого, и что эти приложения были загружены более 70 млн раз ^[8]. Google Play показывает у некоторых VPN значок Verified, который EFF описывает как небольшое представление о заявленной безопасности приложения, а не как замену самостоятельной проверке ^[1].

Законны ли VPN везде?

Нет. EFF советует следить за политикой конкретных стран в отношении VPN, включая запреты, и отмечает, что стриминговые платформы всё чаще блокируют устройства, которые, по всей видимости, используют VPN ^[1]. Apple требует от разработчиков, предлагающих VPN-приложение на территории, где для VPN нужна лицензия, предоставлять сведения об этой лицензии ^[9]. Это общая информация, а не юридическая консультация; уточняйте законы страны, в которой вы живёте.

Какова ситуация в Иране?

В докладе Freedom House «Свобода в интернете 2024» (Freedom on the Net 2024) говорится, что многие иранцы используют VPN для доступа к международным сервисам, заблокированным властями ^[11]. В феврале 2024 года Высший совет по киберпространству запретил использование нелицензированных VPN и заявил, что частным лицам придётся подавать заявки на покупку лицензированных VPN с одобрения правительства ^[11]; цитируемые в докладе аналитики считают, что это решение криминализировало не только распространение и продажу, но и использование VPN ^[11]. В том же докладе отмечается, что в октябре 2022 года министерство ИКТ объявило, что любому, кто продаёт или использует незаконные VPN, может быть предъявлено обвинение по статье 753 Уголовного кодекса, и что такие сервисы, как NordVPN, Proton VPN и TunnelBear, были недоступны в течение охватываемого докладом периода ^[11]. Доклад «Свобода в интернете 2025» добавляет, что в июне 2025 года было введено почти полное отключение интернета по всей стране ^[12].

Отличаются ли корпоративные VPN?

Да. Корпоративный VPN подключает сотрудников к внутренним системам, а не маскирует их местоположение. NCSC отмечает, что VPN-сервисы входят в доступную из интернета поверхность атаки организации и должны оперативно обновляться при выходе исправлений безопасности ^[6]. Центр также указывает, что VPN почти бесполезен для организации, полностью перешедшей на модель нулевого доверия (zero trust), при которой ни одно устройство не считается доверенным по умолчанию ^[6].

Cloudflare, которая продаёт такие альтернативы, утверждает, что традиционные VPN могут приводить к модели «замок со рвом», где всё внутри сети автоматически считается доверенным, и отмечает, что многие компании вместо этого перешли на архитектуру SASE (secure access service edge) ^[2]. Что касается частных лиц, EFF считает, что для многих людей VPN — не самая важная мера безопасности; среди более действенных мер организация называет обмен сообщениями со сквозным шифрованием ^[1].