Что такое VPN и как он работает? Простое объяснение

VPN (виртуальная частная сеть) — это сервис, который отправляет ваш интернет-трафик через зашифрованный туннель на сервер VPN-компании, а тот передаёт его сайту или приложению, которым вы пользуетесь. Ваш интернет-провайдер и сеть Wi-Fi, к которой вы подключены, видят лишь то, что вы подключены к этому серверу, а сайты видят IP-адрес сервера вместо вашего.

Это действительно полезно, но заметно меньше, чем обещает реклама. VPN не делает вас анонимным, не останавливает большую часть слежки и не защищает от мошенников. Он лишь переносит право видеть ваш трафик от одной компании (вашего интернет-провайдера) к другой (VPN-провайдеру). В этом руководстве мы объясняем, как он работает, что и от кого скрывает, какие функции важны, чего он не умеет и как выбрать VPN, если он вам нужен.

Как работает VPN?

Ваше устройство шифрует всё, что отправляет, и упаковывает это в пакеты, адресованные VPN-серверу. Сервер распаковывает и расшифровывает их, отправляет ваши запросы в интернет со своего IP-адреса и шифрует ответы на обратном пути к вам.

В руководстве EFF по защите от слежки (Surveillance Self-Defense) это сказано просто: при использовании VPN «все отправляемые вами данные (например, запросы к серверам при просмотре сайтов) выглядят так, будто исходят от самого VPN», — говорится в его разделе о выборе VPN¹. Шаг за шагом:

1. Вы подключаетесь. Приложение VPN на телефоне или компьютере и VPN-сервер подтверждают друг другу подлинность и согласовывают новые ключи шифрования. Правила для этого задаёт VPN-протокол, например WireGuard или OpenVPN (см. WireGuard и OpenVPN).
2. Ваш трафик попадает в туннель. Приложение направляет интернет-трафик устройства в виртуальный сетевой интерфейс. Каждый пакет шифруется и упаковывается в новый пакет, адресованный VPN-серверу. Любой, кто находится посередине, видит лишь зашифрованные данные, идущие на один адрес.
3. Сервер пересылает его дальше. На VPN-сервере трафик расшифровывается и передаётся по реальному адресу назначения. Сайт видит запрос с IP-адреса VPN-сервера.
4. Ответы приходят тем же путём. Сайт отвечает VPN-серверу, тот шифрует ответ и отправляет его вам по туннелю.

Название «виртуальная частная сеть» пришло из корпоративного мира, где та же технология позволяет сотрудникам обращаться к внутренним системам компании из дома, как будто они в офисе. Потребительские VPN используют ту же идею, но подключают вас не к офисной сети, а к открытому интернету через чужой сервер.

Что скрывает VPN и от кого?

Он скрывает посещаемые вами сайты от локальной сети и интернет-провайдера, а ваш реальный IP-адрес — от сайтов, которые вы посещаете. От самой VPN-компании он не скрывает ничего, а от сайтов, в которые вы входите под своей учётной записью, — совсем немногое.

Последняя строка самая важная. По словам EFF, «VPN скрывает данные о вашем серфинге от интернет-провайдера, но все они видны самому VPN-провайдеру». Поэтому главное в любом VPN — кто его держит, в какой юрисдикции и какие есть доказательства того, что он не ведёт логов. Поэтому же этот сайт сравнивает провайдеров по аудитам и репутации, а не по функциям: см. сравнительную таблицу и наше руководство о том, как проверить заявление об отсутствии логов.

HTTPS, значок замка в адресной строке браузера, уже шифрует содержимое большинства веб-страниц между вами и сайтом независимо от того, пользуетесь ли вы VPN. В рекомендациях FTC для потребителей говорится, что «большинство сайтов действительно используют шифрование для защиты вашей информации» и что «из-за широкого распространения шифрования подключение через общественную сеть Wi-Fi обычно безопасно» — см. советы по общественному Wi-Fi². Но HTTPS не скрывает от сети, к каким сайтам вы подключаетесь. VPN скрывает.

Как работает шифрование в VPN?

Современные VPN-протоколы используют ту же хорошо изученную криптографию с открытым ключом, что и защищённые сайты и мессенджеры: обмен ключами для согласования секретных ключей, затем быстрое симметричное шифрование самого трафика с проверкой каждого пакета на предмет подмены.

WireGuard, протокол, который сегодня используют по умолчанию большинство провайдеров, не согласовывает алгоритмы, а использует фиксированный набор: в его технической документации⁴ описаны Curve25519 для обмена ключами и ChaCha20Poly1305 для шифрования и аутентификации пакетов, передаваемых по UDP. OpenVPN использует TLS — то же семейство протоколов, что защищает HTTPS. Оба достаточно надёжны, чтобы никто разумный не атаковал само шифрование; реальные слабые места — программное обеспечение вокруг него, сервер и компания, которая им управляет.

Разбираться в математике не нужно. Проверьте другое: использует ли провайдер распространённый протокол (WireGuard, OpenVPN, IKEv2 или собственный протокол, который опубликован и прошёл независимый аудит), а не что-то секретное. Агентство национальной безопасности США и CISA в рекомендациях 2021 года по выбору и защите VPN³ для организаций советовали выбирать продукты на основе стандартов, а не проприетарные.

Что такое IP-адреса и DNS и почему они важны?

Ваш IP-адрес — это номер, по которому интернет отправляет вам данные; он раскрывает вашего интернет-провайдера и примерное местоположение. DNS — это служба поиска, которая превращает имя вроде example.com в IP-адрес. VPN должен обрабатывать и то и другое, иначе возникает утечка.

Когда сайт видит IP-адрес VPN-сервера, он не может определить, из какого дома или с какого телефона пришёл запрос, а его предположение о вашем местоположении становится местоположением сервера. Именно так VPN позволяет выглядеть так, будто вы находитесь в другом городе или стране.

DNS — менее заметная проблема. Каждый раз, когда вы открываете сайт, ваше устройство сначала спрашивает DNS-сервер, где его найти. Если эти запросы идут к вашему интернет-провайдеру, а не через туннель («утечка DNS»), провайдер всё равно получает список посещаемых вами сайтов. Надёжные VPN-приложения отправляют DNS через туннель на собственные резолверы провайдера. Если вы настраиваете VPN вручную, например на роутере, стоит это проверить.

Что такое kill switch и раздельное туннелирование?

Kill switch блокирует ваше интернет-соединение, если VPN отключается, чтобы ничего не ушло в сеть без защиты. Раздельное туннелирование (split tunneling) решает обратную задачу: позволяет выбрать приложения или сайты, которые работают в обход VPN.

• Kill switch. VPN-соединения обрываются по обычным причинам: телефон переключается с Wi-Fi на мобильный интернет, ноутбук выходит из спящего режима, сервер перезапускается. Без kill switch ваше устройство тихо продолжает работать через обычное соединение. С ним трафик останавливается, пока туннель не восстановится. Если вы используете VPN ради приватности, а не удобства, включите его.
• Раздельное туннелирование. Некоторые вещи плохо работают через VPN: банковские приложения, которые помечают иностранные IP-адреса, принтеры и устройства умного дома в вашей собственной сети, видеозвонки, где важна каждая миллисекунда. Раздельное туннелирование направляет их напрямую, а всё остальное — через туннель. Это удобно, но означает и то, что эти приложения не защищены.
• Multi-hop. Некоторые провайдеры могут направлять трафик через два сервера, часто в разных странах, так что ни один сервер не видит одновременно ваш настоящий IP-адрес и пункт назначения. Это медленнее и в основном полезно, если вы опасаетесь слежки за конкретным сервером.
• Обфускация. Сети на некоторых рабочих местах, в школах и странах блокируют VPN. Режимы обфускации маскируют VPN-трафик под обычный веб-трафик. У каждого провайдера для этого своё название.

Чего VPN не может?

VPN не делает вас анонимным, не мешает отслеживанию через файлы cookie, входы в аккаунты или фингерпринтинг и не защищает от фишинга, мошенничества и вредоносных программ. Он меняет то, кто видит ваши соединения, но не то, что вы сами о себе раскрываете.

• Это не анонимность. EFF высказывается прямо: «VPN — не инструмент для анонимности». Провайдер знает ваш настоящий IP-адрес и, как правило, платёжные данные. Если вам нужна более надёжная анонимность, EFF считает, что «Tor — лучшее решение, чем VPN».
• Он не останавливает большую часть слежки. В том же руководстве EFF¹ отмечается: «есть много других способов, которыми компании могут вас отслеживать, включая GPS, веб-куки, пиксели слежения или фингерпринтинг». Если вы вошли в Google, Facebook или Amazon, они знают, что это вы, какой бы IP-адрес вы ни использовали. Браузер или расширение, блокирующие трекеры, справляются с этим лучше, чем VPN.
• Он не защищает от мошенничества. FTC предупреждает, что мошенники «создают поддельные сайты и шифруют их, чтобы вы думали, что они безопасны, хотя это не так». Фишинговая страница работает так же успешно и через VPN.
• Он не заменяет базовую безопасность. Обновления программ, менеджер паролей, уникальные пароли и двухфакторная аутентификация защищают вас от гораздо большего числа атак, с которыми действительно сталкиваются обычные люди.
• Он не ставит вас вне закона. EFF отмечает, что «в зависимости от юрисдикции правительство может потребовать эти данные или выдать на них повестку» и что провайдеры «также могут подвергаться давлению со стороны правительств или правоохранительных органов с целью передачи информации».

Чем рабочий VPN отличается от потребительского?

Рабочий VPN подключает вас к частной сети работодателя, чтобы вы могли пользоваться внутренними системами; потребительский VPN выводит вас в публичный интернет через серверы провайдера. Технология схожа, а назначение противоположное.

CISA сообщает, что серверы VPN для удалённого доступа «позволяют внешним пользователям подключаться по туннелю к защищённым сетям» — в её оповещении о рекомендациях АНБ и CISA³. Когда VPN работодателя включён, сеть работодателя, как правило, видит ваш трафик так же, как обычно его видит ваш интернет-провайдер, поэтому не считайте его приватным. Потребительский VPN, такой как Proton VPN, Mullvad или NordVPN, — отдельный продукт, за который вы платите (или пользуетесь бесплатным тарифом), чтобы скрыть свой трафик от собственной сети и провайдера.

Есть ли законное право?

В большинстве стран, включая США, использование VPN законно. Некоторые правительства ограничивают или запрещают их, а всё, что незаконно без VPN, остаётся незаконным и с ним. Ничто из сказанного здесь не является юридической консультацией.

EFF советует следить за «политикой отдельных стран в отношении VPN (например, запретами VPN)», если вы путешествуете или живёте там, где есть интернет-цензура. Отдельно: многие стриминговые сервисы в условиях использования запрещают применять VPN для доступа к каталогу другой страны и активно блокируют VPN-серверы; это вопрос договора, а не уголовного права, но аккаунт могут заблокировать. В нашем руководстве по VPN для стриминга объясняется, что это значит на практике, а в руководстве по VPN для торрентов — почему VPN не меняет закон об авторском праве.

Чего VPN не делает?

Многим он не нужен. Он имеет смысл, если вы регулярно пользуетесь сетями, которым не доверяете, не хотите, чтобы интернет-провайдер видел, какие сайты вы посещаете, или хотите, чтобы сайты видели другое местоположение. Это не универсальное средство «безопасности в интернете».

Наш полный ответ — с ситуациями, где он помогает и где нет, — в материале Нужен ли мне VPN?. Если вопрос в цене, читайте бесплатные и платные VPN и наш список бесплатных VPN, которыми стоит пользоваться.

Как выбрать VPN?

Выбирайте компанию, а не функции. Ищите названный независимый аудит отсутствия логов, который можно прочитать, понятного владельца и юрисдикцию, проверяемую репутацию, распространённый протокол и понятные условия возврата денег.

• Узнайте, как компания зарабатывает. EFF предлагает спросить: «Если VPN не продаёт свой сервис, на что держится его бизнес?» Бесплатные VPN без видимого бизнеса — самый рискованный вариант.
• Прочитайте политику конфиденциальности. EFF предупреждает: «VPN-компания может вести логи ваших данных, если это прямо не исключено в её политике конфиденциальности».
• Ищите доказательства, а не лозунги. Аудиты от названных компаний, полицейские обыски или судебные дела, не обнаружившие ничего, и честная работа с утечками. Наш обзор провайдеров без логов ранжирует их именно по этому.
• Проверьте реальную цену. Рекламные цены обычно действуют при оплате вперёд за один-два года, а при продлении вырастают. См. самые дешёвые надёжные VPN.

Если вы выбираете между самыми известными сервисами, наши сравнения разбирают их по пунктам: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN и Mullvad vs Proton VPN.