Что такое VPN-туннель простыми словами

В этом вся суть. Дальше о том, как это работает, какой вариант вам нужен и где туннель перестаёт помогать.

Что такое VPN-туннель на самом деле

«Туннель» - метафора, и довольно удачная, но она склеивает две разные вещи, которые должны произойти вместе.

Сначала шифрование. Ваши данные превращаются в нечитаемый шифротекст с помощью ключа, который есть только у вашего устройства и у VPN-сервера. Тот, кто перехватит трафик по дороге, получит бессмысленный набор символов.

Потом инкапсуляция. Зашифрованные данные заворачиваются в новый пакет, на котором снаружи написан другой адрес. Вот эту часть обычно пропускают. Одно только шифрование спрятало бы содержимое трафика, но оставило бы на виду адрес получателя. Примерно как запечатать письмо, а на конверте написать имя своего психотерапевта.

Сложите две части вместе, и получится туннель. Вы пишете письмо шифром, который понимает только ваш друг, а потом кладёте его в обычный конверт с адресом офиса этого друга. Почтальон узнаёт ровно одно: письмо едет в такой-то офис. Что с ним будет дальше, его не касается.

По отдельности ни то ни другое туннелем не работает. Шифрование без инкапсуляции выдаёт, куда именно вы ходите. Инкапсуляция без шифрования - это просто перенаправление трафика, то есть ровно то, чем занимается прокси.

Как работает VPN-туннель, шаг за шагом

Вот что происходит каждый раз, когда вы нажимаете «подключиться».

1. Рукопожатие. Ваше устройство и VPN-сервер проверяют друг друга и договариваются об общем секретном ключе. Это занимает доли секунды и происходит до того, как уйдут первые данные.

2. Шифрование и упаковка. Браузер отправляет запрос. Ещё до того, как запрос покинет устройство, VPN-клиент шифрует его и заворачивает в новый пакет с адресом VPN-сервера.

3. Дорога туда. Пакет проходит через ваш роутер, провайдера и все сети между вами и сервером. Каждый на этом пути видит одно и то же: зашифрованные данные едут на один конкретный адрес.

4. Выход. VPN-сервер расшифровывает запрос и отправляет его на нужный вам сайт уже со своего IP-адреса. Сайт видит сервер, а не вас.

5. Обратный путь. Ответ возвращается на VPN-сервер, снова шифруется и упаковывается и едет к вам по тому же туннелю, где устройство его разворачивает.

Круг получается длиннее прямого маршрута, поэтому соединение через VPN всегда хотя бы немного медленнее. Насколько именно медленнее, почти целиком зависит от того, о чём следующий раздел.

Протоколы туннелирования и какой из них выбрать

Протокол туннелирования - это свод правил, по которым строится туннель: как проходит рукопожатие, какой шифр защищает данные, как упаковываются пакеты. В ходу до сих пор шесть протоколов, и они совсем не равноценны.

WireGuard быстрый отчасти потому, что он маленький. В нём один фиксированный набор современных шифров (ChaCha20 вместе с Poly1305 для шифрования, Curve25519 для обмена ключами) вместо десятков настраиваемых вариантов. Меньше кода, меньше мест, где может спрятаться ошибка, и рукопожатие завершается достаточно быстро, чтобы переключение между сетями ощущалось мгновенным.

PPTP стоит обходить стороной всерьёз. Его шифрование ломается уже много лет, а в октябре 2024 года Microsoft объявила PPTP и L2TP устаревшими в Windows Server и порекомендовала администраторам переходить на SSTP или IKEv2. Когда компания, придумавшая протокол, просит перестать им пользоваться, сигнал достаточно ясный.

Если хочется деталей, у нас есть подробный разбор каждого протокола и его сильных сторон.

Что такое раздельное туннелирование

Раздельное туннелирование (split tunneling) позволяет пустить часть трафика через туннель, а часть напрямую, минуя его.

Сценарий, где оно подводит: вы один раз всё настроили, забыли, какие приложения вывели из туннеля, а потом считаете, что защищено всё, хотя защищена половина. Если включаете раздельное туннелирование, держите список исключений коротким и помните, что в нём.

От чего VPN-туннель не защищает

Эту часть обычно пропускают, а она важнее ещё одного абзаца про стойкость шифрования.

Туннель прячет трафик от сети. Анонимным он вас не делает. Если вы зашли в свой аккаунт Google через VPN, Google знает, что это вы. Туннель поменял место, откуда приходит соединение, а не человека за клавиатурой.

От browser fingerprinting он тоже не спасает. Разрешение экрана, набор шрифтов, часовой пояс и особенности отрисовки графики складываются в отпечаток, по которому сайты узнают вас между сессиями независимо от IP-адреса.

И он не убирает доверие, а перемещает его. Провайдер больше не видит ваш трафик, зато VPN-сервис работает с ним на выходе. Поэтому политика логов у сервиса значит больше, чем реклама про «шифрование военного уровня».

Туннели от этого не становятся бесполезными. Просто стоит понимать, что именно вы получаете.

Когда туннель действительно нужен

Публичный Wi-Fi - самый очевидный случай. В открытой сети в аэропорту или кафе все подключённые находятся в одном сегменте с вами, и туннель делает ваш трафик нечитаемым для них всех. Про то, что может пойти не так в открытых сетях на самом деле, мы писали отдельно.

Видимость для провайдера - второй случай. Без туннеля у провайдера остаётся журнал всех доменов, которые вы посещали, и во многих странах он вправе передать или продать эту запись.

Третий случай - региональные ограничения. Каталоги стримингов, новостные сайты, а иногда и целые сервисы меняются в зависимости от того, откуда приходит соединение. Выйдите через сервер в другой стране, и получите то же, что видят местные. Есть и другие практические причины включать VPN, но эти три покрывают большую часть повседневных задач.

Чем туннель отличается от прокси

Прокси перенаправляет ваш трафик через другой сервер. И всё. IP-адрес меняется, сайты видят другой источник, но по дороге ничего не шифруется, и провайдер по-прежнему читает каждый запрос. VPN-туннель делает обе работы сразу, поэтому эти два инструмента невзаимозаменяемы, хотя снаружи выглядят похоже. Если выбираете между ними, вот чем прокси отличается от VPN на практике.

Частые вопросы

VPN-туннель и VPN - это одно и то же?

Почти, но не совсем. VPN - это сервис целиком: приложения, серверы, протоколы, правила. Туннель — само зашифрованное соединение, та часть, которая делает основную работу. В разговоре обычно говорят «VPN», имея в виду туннель, и никто не возражает.

Можно ли отследить или расшифровать VPN-туннель?

Сломать шифрование современного туннеля при нынешних вычислительных мощностях нереально. Зато возможно всё вокруг него: наблюдатель видит сам факт использования VPN и объём переданных данных, а сервис видит ваш трафик на выходе. Шифр редко оказывается слабым звеном.

Замедляет ли туннелирование соединение?

Да, немного, потому что данные идут в обход и шифруются в обе стороны. На WireGuard и близком сервере разница обычно незаметна. Ощутимой её делает выбор сервера на другом континенте или старый протокол вроде L2TP.

Нужен ли VPN-туннель на телефоне?

Телефон подключается к чужим сетям чаще ноутбука и делает это автоматически. Если вы вообще пользуетесь публичным Wi-Fi, телефон закрывать даже важнее.

Законно ли пользоваться VPN-туннелем?

В большинстве стран да, и бизнес ежедневно использует туннели для удалённого доступа. В отдельных странах использование VPN ограничено или запрещено, и правила там меняются. При этом всё, что вы делаете внутри туннеля, по-прежнему регулируется местным законодательством, независимо от шифрования.