Что такое ВПН (VPN) простыми словами: как работает и зачем нужен

Ваш интернет-провайдер видит каждый сайт, на который вы заходите, — адрес запроса проходит через его серверы открытым текстом. VPN убирает эту видимость одним приёмом: заворачивает ваши пакеты в шифрованную оболочку и пропускает их через свой сервер. Снаружи остаётся только поток нечитаемых данных и адрес сервера-посредника.

Что скрывается за аббревиатурой

VPN — Virtual Private Network, виртуальная частная сеть. По-русски пишут «ВПН». Слово «виртуальная» здесь буквально: отдельного провода между вами и удалённым ресурсом нет, канал живёт только в программной логике. «Частная» — потому что заглянуть в него могут лишь две стороны: ваше устройство и VPN-сервер.

Технология закрывает сразу две дыры. Шифрование прячет содержимое трафика от всех, кто стоит на пути пакета. Подмена адреса меняет ваш IP на адрес сервера — сайт фиксирует обращение от посредника, а не от вас.

Как устроен туннель

Всё держится на туннелировании — приёме, когда один пакет целиком прячут внутрь другого. Исходный пакет с вашими данными шифруют и упаковывают во внешний пакет с адресом VPN-сервера. По дороге провайдер читает только внешнюю надпись на конверте; что внутри — для него шум.

Соединение разворачивается по шагам:

1. Клиент на устройстве стучится к VPN-серверу и проходит проверку — паролем, сертификатом или заранее розданным ключом.
2. Стороны согласуют шифр и обмениваются ключами. Туннель поднят.
3. Каждый исходящий пакет клиент шифрует и прячет во внешнюю оболочку. Дальше провайдер видит только её.
4. Сервер снимает оболочку, расшифровывает пакет и отправляет его в открытый интернет уже от своего имени и со своим IP.
5. Ответ возвращается на сервер, тот шифрует его и кладёт обратно в туннель. Клиент расшифровывает данные на устройстве.

Раз источником запроса сайт считает сервер, то и страну он определяет по серверу. Поставили сервер в Германии — для сайта вы в Германии. Доступ к контенту с географическими замками работает за счёт этой подмены, отдельной кнопки «обойти блокировку» внутри протокола нет.

Шифрование и ключи

Шифрование перемалывает читаемые данные в набор, который без ключа не собрать обратно. VPN тянет сразу две схемы и применяет их на разных этапах.

На старте, во время рукопожатия, работает асимметричная пара ключей: открытым шифруют, закрытым расшифровывают. Пара нужна ровно для одного — безопасно договориться о сеансовом ключе через канал, который ещё никто не защитил.

Дальше включается симметричный шифр: обе стороны крутят один общий ключ. Он быстрее асимметричного, поэтому основной поток данных идёт именно через него. Отраслевой стандарт — AES-256, WireGuard вместо него использует ChaCha20.

Стойкость упирается в длину ключа. Перебрать все варианты 256-битного ключа грубой силой современная техника не успеет — счёт идёт на сроки, которые превышают возраст Вселенной. Поэтому атакуют не сам шифр, а то, что вокруг: украденные ключи, кривую настройку, дыры в реализации.

Протоколы: чем WireGuard отличается от OpenVPN

Протокол задаёт правила, по которым строится туннель и шифруются данные. От него зависит скорость, стойкость и то, насколько легко системы фильтрации опознают ваш трафик. Рабочий минимум укладывается в пять имён.

На практике выбор сужается до пары вариантов. WireGuard берут ради скорости и щадящей нагрузки на процессор. OpenVPN — когда нужна гибкая настройка и возможность спрятать трафик под обычный. IKEv2/IPSec выручает на телефоне: переключились с домашнего Wi-Fi на мобильную сеть, а туннель не отвалился. PPTP держат в памяти только как пример того, чем пользоваться нельзя.

Заголовки стандартных протоколов несут узнаваемую сигнатуру, и системы глубокой фильтрации опознают их по этому отпечатку. Чтобы туннель не торчал на виду, его маскируют под обычный HTTPS — этим занимаются отдельные протоколы обфускации и обёртки поверх базовых.

Типы VPN

По устройству VPN делятся на две категории, и смешивать их не стоит — задачи разные.

Удалённый доступ (client-to-site)

Сценарий частника и удалёнщика. На устройстве стоит клиент, он поднимает туннель до шлюза. Так домашний ноутбук цепляется к корпоративной сети, так же работают потребительские сервисы для смены IP. Один конец туннеля — устройство, другой — шлюз.

Site-to-site (сеть с сетью)

Тут туннель сшивает не пользователя, а две сети целиком. Компания с офисами в разных городах загоняет локальные сети филиалов в один шифрованный канал между шлюзами. Конечные устройства о туннеле не подозревают — всю работу тянут пограничные маршрутизаторы.

SSL VPN

Доступ через браузер, без установки толстого клиента. Канал шифруется тем же механизмом, что и HTTPS на сайтах. Подход выручает, когда сотруднику надо открыть узкий набор ресурсов с любого устройства, включая личное.

Способы установки

Один протокол разворачивают по-разному, и от выбранного способа зависит, что именно попадёт под защиту.

• Отдельное приложение. Шифрует трафик всех программ на устройстве. Самый надёжный вариант для одной машины.
• Расширение браузера. Закрывает только то, что идёт через браузер. Мессенджеры, игры, системные службы лезут в сеть мимо туннеля и остаются открытыми.
• VPN на роутере. Туннель поднимается на уровне домашней сети, под защиту разом попадают все устройства — включая телевизор и умную технику, куда клиент не поставишь.
• Корпоративное решение. Сеть настраивает IT-отдел, прав администратора у рядового сотрудника нет, передачу данных компания журналирует на своей стороне.

На смартфоне принцип тот же: системное приложение перехватывает весь сетевой трафик и заворачивает его в туннель. И Android, и iOS держат VPN на уровне самой операционной системы.

Где VPN бессилен

VPN закрывает канал связи и не трогает само устройство. Слои защиты разные, подменять один другим — ошибка.

• Антивирус он не заменяет. Залетел на диск троян или шифровальщик — шифрованный канал ему не помеха, данные он украдёт или испортит локально.
• То, что идёт мимо интернета, остаётся открытым. Голосовой звонок и SMS через сотовую сеть проходят вне туннеля.
• Анонимности он не даёт. Cookie, отпечаток браузера и вход в собственные аккаунты по-прежнему выдают вас с головой.
• Доверие просто переезжает к владельцу сервиса. Провайдер ваш трафик больше не читает, зато VPN-сервер видит его в открытом виде — отсюда вопросы к логам и репутации поставщика.

Туннель иногда обрывается. Без защиты при обрыве — kill switch — трафик в этот момент пойдёт напрямую и открыто. Функция следит за состоянием туннеля и режет сеть до его восстановления, не давая данным утечь. Отдельно стоит проверить, не утекают ли DNS-запросы: имена доменов должны разрешаться внутри туннеля, а не на серверах провайдера.

Частые вопросы