Как настроить VPN на Android: пошаговая инструкция для приложения, WireGuard, OpenVPN и IKEv2

Настроить VPN на Android можно как минимум четырьмя способами, и большинство проблем начинается с выбора неправильного. Если сервис дал приложение, настраивать системный VPN вручную обычно не нужно. Получили файл .conf или QR-код WireGuard, импортируйте его в клиент WireGuard. Получили .ovpn, нужен клиент OpenVPN. Администратор прислал адрес сервера, логин, пароль, PSK или сертификаты, тогда подходит встроенный IKEv2/IPsec.

Я бы начинал именно с определения типа подключения, а не с меню Android. Современный Android умеет поддерживать VPN постоянно, запрещать интернет при падении туннеля, пускать через VPN только выбранные приложения и работать с корпоративным профилем. Но VPN не превращает телефон в анонимное устройство, не защищает от фишинга и вредоносных приложений и не гарантирует, что раздаваемый через точку доступа интернет тоже пойдёт через туннель.

VPN является обычным сетевым инструментом для защищённого доступа к корпоративной, домашней и другой разрешённой инфраструктуре. Использовать VPN следует с учётом законодательства страны и правил владельца сети. В России отдельно ограничена реклама программно-аппаратных средств доступа к информационным ресурсам, доступ к которым ограничен. Ниже речь идёт о технической настройке защищённого соединения.

Какой способ настройки выбрать

В актуальном AOSP при создании нового системного профиля предлагаются три варианта IKEv2/IPsec, MSCHAPv2, PSK и RSA. Старые PPTP, L2TP/IPsec и XAuth из интерфейса создания новых профилей убрали. Если старый корпоративный сервер требует PPTP или L2TP, я бы не искал тайную галочку в Android, а сначала выяснил у администратора, можно ли перевести сервер на IKEv2 или современный отдельный клиент.

Путь на чистом Android выглядит так.

Настройки → Сеть и интернет → VPN

У Samsung, Xiaomi, Honor, realme и других производителей название раздела отличается. Самый надёжный путь в таком случае простой. Открываю поиск в настройках и ввожу VPN. Google использует тот же подход в своей инструкции Android.

Настройка через приложение, WireGuard, OpenVPN и IKEv2

Вариант 1. VPN работает через отдельное приложение

1. Установите приложение из источника, которому доверяете.
2. Войдите в учётную запись или импортируйте выданный профиль.
3. Выберите сервер или рабочее подключение.
4. Нажмите подключение.
5. Android покажет системный запрос на создание VPN-соединения. Разрешите его.
6. После подключения проверьте системный значок VPN и внешний IP.

Запрос Android с предупреждением, что приложение сможет контролировать сетевой трафик, нормален. Большинство VPN-клиентов работают через VpnService. Android создаёт виртуальный сетевой интерфейс и отправляет в него пакеты выбранных приложений.

Само разрешение VPN не означает, что программа автоматически читает содержимое HTTPS. VPN видит сетевые адреса, объём и характеристики соединений, а незашифрованный HTTP может видеть полностью. Расшифровать обычный HTTPS только за счёт VpnService нельзя. Совсем другой уровень доверия появляется, если приложение предлагает установить собственный корневой сертификат. Для обычного потребительского VPN такой запрос я считаю поводом остановиться и выяснить причину.

Android допускает только одно активное VPN-соединение в одном пользовательском профиле. Поэтому локальный блокировщик рекламы, который сам использует VpnService, может конфликтовать с настоящим VPN. Запуск второго клиента отключает первый.

Вариант 2. WireGuard по файлу или QR-коду

WireGuard удобен, когда администратор домашнего сервера, маршрутизатора или компании дал готовый конфигурационный файл. Официальный Android-клиент доступен на сайте WireGuard.

1. Установите клиент WireGuard.
2. Нажмите кнопку добавления туннеля.
3. Выберите импорт из файла либо сканирование QR-кода.
4. Укажите полученный файл .conf.
5. Подтвердите системное разрешение Android на VPN.
6. Включите созданный туннель.

Типичная конфигурация выглядит примерно так.

[Interface]
 PrivateKey = ВАШ_ПРИВАТНЫЙ_КЛЮЧ
 Address = 10.20.0.2/32
 DNS = 10.20.0.1
 
 [Peer]
 PublicKey = ПУБЛИЧНЫЙ_КЛЮЧ_СЕРВЕРА
 Endpoint = vpn.example.org:51820
 AllowedIPs = 0.0.0.0/0, ::/0
 PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0, ::/0 означает полный туннель для IPv4 и IPv6. Если указана только корпоративная сеть вроде 10.20.0.0/16, через VPN пойдёт только такая сеть. Остальной интернет останется прямым.

Приватный ключ нельзя публиковать, отправлять в чаты или использовать одновременно на куче устройств, если сервер рассчитывает на отдельный ключ для каждого клиента. QR-код WireGuard содержит те же секретные параметры, поэтому фотография QR-кода фактически может оказаться копией VPN-ключа.

Вариант 3. OpenVPN по файлу .ovpn

Если выдали .ovpn, не пытайтесь добавить его через системное меню Android. Нужен совместимый OpenVPN-клиент.

1. Установите клиент.
2. Сохраните файл .ovpn на телефон.
3. Откройте импорт профиля.
4. Выберите файл.
5. Введите логин и пароль, если сервер их требует.
6. Разрешите Android создать VPN.
7. Запустите соединение.

OpenVPN официально поддерживает импорт профиля из файла и URL. Если конфигурация ссылается на отдельные сертификаты и ключи, файлы тоже должны быть доступны клиенту либо сертификаты должны быть встроены внутрь .ovpn.

Вариант 4. Встроенный IKEv2/IPsec без приложения

Для корпоративного VPN я предпочитаю системный IKEv2, если инфраструктура его поддерживает. Не нужен отдельный постоянно обновляемый клиент, а Android сам управляет туннелем.

1. Откройте Настройки → Сеть и интернет → VPN.
2. Нажмите добавление нового VPN.
3. Введите произвольное имя профиля.
4. Выберите тип IKEv2/IPSec MSCHAPv2, IKEv2/IPSec PSK или IKEv2/IPSec RSA.
5. Введите адрес сервера.
6. Укажите идентификатор IPsec, который дал администратор.
7. Для MSCHAPv2 добавьте логин и пароль.
8. Для PSK вставьте общий ключ.
9. Для RSA выберите пользовательский и CA-сертификаты.
10. Сохраните профиль и подключитесь.

Не угадывайте поле «Идентификатор IPsec». Имя сервера, логин и идентификатор могут быть совершенно разными строками. Android требует идентификатор для системных IKEv2-профилей.

С сертификатами я также не советую выбирать вариант вроде «не проверять сервер», если организация выдала собственный CA. Проверка сертификата защищает от подключения к серверу, который лишь притворяется вашим VPN-шлюзом.

Always-on VPN, kill switch, приложения, DNS и локальная сеть

Обычное подключение защищает трафик только пока туннель работает. Для рабочего телефона или устройства, которое не должно случайно выходить напрямую, есть более жёсткая схема.

Настройки → VPN → нужный профиль → Постоянная VPN

Android поддерживает Always-on VPN начиная с Android 7. Система может автоматически поднимать VPN после перезагрузки. Совместимые VPN-приложения тоже могут поддерживать такой режим, хотя расположение переключателя зависит от клиента и оболочки производителя.

Следующий уровень называется «Блокировать соединения без VPN». По смыслу это системный kill switch. Если туннель упал, Android не разрешает приложениям тихо перейти на Wi-Fi или мобильную сеть.

Для рабочего смартфона я обычно выбрал бы связку.

Постоянная VPN = включена
Блокировать соединения без VPN = включено

На личном телефоне режим подходит не всем. В гостинице или аэропорту сначала может потребоваться открыть страницу авторизации Wi-Fi. При жёсткой блокировке портал иногда недоступен, потому что VPN ещё не поднялся, а прямой трафик уже запрещён. Тогда временно отключают блокировку, проходят авторизацию Wi-Fi, подключают VPN и возвращают kill switch.

Если банку, игре или телевизору VPN мешает

Нужен раздельный туннель. VPN-клиент может разрешить исключить отдельные приложения или, наоборот, пропускать через туннель только выбранные.

Например, можно отправить через VPN рабочую почту и браузер, а банковское приложение оставить на обычном подключении. Но есть неприятная комбинация. Если одновременно включить «Блокировать соединения без VPN», Android может лишить исключённые приложения сети полностью. Поэтому после изменения split tunneling нужно проверить каждое исключение.

Если перестал открываться NAS, принтер или роутер

Полный туннель может забрать маршруты к локальным адресам вроде 192.168.1.1, 192.168.1.100 или 10.0.0.1. Ищите в клиенте параметры «Разрешить локальную сеть», «LAN access», «Exclude private IPs» или настройку маршрутов.

Не исключайте всю локальную сеть автоматически на рабочем устройстве. Корпоративная политика иногда специально запрещает одновременно видеть VPN и потенциально недоверенную локальную сеть.

Private DNS не заменяет VPN

Android имеет отдельную функцию «Частный DNS». Она защищает DNS-запросы, но не маршрутизирует через себя остальной трафик.

Если после подключения VPN тест DNS показывает неожиданный сервер, проверяйте обе настройки. VPN может назначать собственный DNS, а Android может одновременно иметь вручную заданный Private DNS. Как именно разрешится конфликт, зависит от клиента и конфигурации.

Раздача VPN через точку доступа

Здесь часто ошибаются. Значок VPN на телефоне не доказывает, что ноутбук, подключённый к точке доступа Android, тоже идёт через VPN. Обычный VpnService прежде всего обрабатывает трафик самого Android-устройства, а трафик tethering проходит через отдельный механизм маршрутизации.

Поэтому после включения точки доступа я открываю проверку внешнего IP именно на ноутбуке или втором телефоне. Если адрес отличается от VPN-адреса смартфона, hotspot идёт напрямую. Некоторые прошивки и специализированные решения умеют делиться VPN, но стандартное поведение нельзя считать гарантией.

Как проверить VPN и исправить типичные проблемы

После настройки я не ограничиваюсь значком VPN. За пару минут можно проверить большую часть ошибок.

1. Запишите внешний IP без VPN.
2. Подключите VPN.
3. Проверьте внешний IP повторно.
4. Проверьте DNS-серверы.
5. Если используется IPv6, убедитесь, что IPv6 тоже проходит через нужный маршрут.
6. Включите передачу данных и принудительно оборвите VPN.
7. При включённом kill switch интернет должен пропасть, а не переключиться на прямое подключение.
8. Перезагрузите телефон и проверьте Always-on VPN.
9. Переключитесь с Wi-Fi на мобильную сеть и обратно.

Самые характерные неисправности выглядят так.

Если мессенджеры работают, а большие сайты или изображения постоянно зависают, я бы проверил MTU. Для WireGuard типичное автоматическое значение близко к 1420, но сложные мобильные сети иногда требуют меньше. В качестве диагностики можно попробовать 1420, затем 1380 и 1280. Не меняйте MTU без причины, большинство клиентов определяют подходящее значение самостоятельно.

Если VPN постоянно погибает спустя несколько минут после выключения экрана, проверьте ограничения батареи для клиента. На некоторых оболочках помогают разрешение фоновой работы и автозапуск. Я бы не отключал энергосбережение для приложения заранее. Сначала убедитесь, что проблема действительно связана с выгрузкой процесса.

Ещё одна частая ошибка связана с доверием. VPN-клиент становится новой точкой, через которую проходит почти весь сетевой трафик телефона. Поэтому случайное бесплатное приложение из магазина не становится безопасным только из-за высокого рейтинга. На SecurityLab отдельно разбирали риски VPN-приложений, включая лишние разрешения, непрозрачный сбор данных и установку сертификатов.

Мой вариант настройки

Для личного сервера я бы в первую очередь выбрал WireGuard с отдельным ключом для каждого устройства. Для корпоративной сети при наличии нормальной инфраструктуры удобен системный IKEv2/IPsec или клиент, который требует ИТ-отдел. OpenVPN остаётся логичным вариантом, когда инфраструктура уже построена вокруг .ovpn и нет причины срочно всё переделывать.

После подключения я обязательно проверяю IPv4, IPv6, DNS и поведение при обрыве туннеля. Для телефона с чувствительными рабочими данными включаю Always-on VPN и блокировку соединений без VPN. Для обычного смартфона kill switch включаю только после проверки банков, локальной сети, гостиничных Wi-Fi и других сценариев, где слишком строгая блокировка способна сама превратиться в проблему.