VPN через другой VPN: настройка двойного туннеля и разделение трафика

Что такое двойной VPN и зачем он нужен

Двойной VPN — это технология, при которой трафик пользователя проходит последовательно через два или более VPN-сервера, прежде чем попасть в интернет. Такая схема позволяет разделить IP-адрес точки подключения (входа) и точки выхода в интернет, что значительно усложняет отслеживание реального местоположения пользователя.

Основные сценарии использования двойного VPN:

• Повышение анонимности: даже если один сервер скомпрометирован, второй сохраняет конфиденциальность.
• Обход усиленной цензуры: в странах с глубокой фильтрацией трафика (например, Китай) двойное шифрование помогает маскировать VPN-соединение.
• Защита от анализа трафика: провайдер видит только подключение к первому серверу, но не может определить конечный пункт назначения.

Важно понимать, что двойной VPN не является панацеей. Он увеличивает задержки и снижает скорость из-за двойной инкапсуляции пакетов. Кроме того, если оба сервера контролируются одним провайдером, доверие к схеме снижается.

Основные схемы построения двойного VPN

Существует несколько архитектурных подходов к реализации двойного VPN, каждый со своими особенностями.

VPN между серверами — клиент подключается к первому серверу, который уже имеет туннель ко второму. Промежуточные узлы могут быть видны в трассировке маршрута. Минус: все промежуточные серверы имеют доступ к расшифрованному трафику клиента.

VPN через прокси — трафик сначала шифруется в VPN-туннель, а затем направляется через прокси-сервер. Такой подход часто используется для маскировки VPN-трафика под обычный HTTP/HTTPS. Прокси не виден в трассировке, но также имеет доступ к данным.

VPN внутри VPN (каскад) — самый безопасный, но и самый медленный вариант. Клиент поднимает два туннеля последовательно: сначала подключается к первому VPN, затем внутри него — ко второму. Промежуточные серверы не имеют доступа к открытому трафику, но накладные расходы на шифрование суммируются, а MTU (максимальный размер пакета) уменьшается.

Выбор схемы зависит от модели угроз: если вы опасаетесь только провайдера, достаточно VPN между серверами; если нужна защита от всех промежуточных узлов — выбирайте каскад.

Настройка двойного VPN на одном сервере с двумя IP

Самый простой способ получить раздельные точки входа и выхода — использовать один виртуальный сервер (VDS) с двумя IP-адресами. Один IP становится точкой подключения, второй — точкой выхода в интернет. Это даёт максимальную скорость и минимальные задержки, так как трафик терминируется на одном физическом узле.

Пошаговая настройка на примере Ubuntu 18.04 и протокола IKEv2:

1. Закажите VDS и приобретите дополнительный IP-адрес.
2. Настройте PTR-запись для каждого IP (например, good.citizen.vpn для входа и super.cool.guy.vpn для выхода).
3. Установите strongSwan и certbot: apt install strongswan libstrongswan-extra-plugins certbot.
4. Выпустите доверенный сертификат Let's Encrypt для домена точки входа: certbot certonly --standalone -d good.citizen.vpn.
5. Скопируйте сертификаты в каталоги strongSwan и настройте автоматическое обновление через хуки certbot.
6. Настройте /etc/ipsec.conf для IKEv2 с EAP-MSCHAPv2 аутентификацией, указав leftid = good.citizen.vpn и leftsubnet = 0.0.0.0/0.
7. Убедитесь, что исходящий трафик идёт через второй IP (точку выхода).

После настройки клиенты подключаются к домену точки входа, а в интернет выходят с IP точки выхода. Провайдер клиента видит только подключение к good.citizen.vpn, но не знает, с какого IP уходит трафик.

Общий доступ к VPN-подключению в Windows и Linux

Если у вас нет возможности настроить сервер с двумя IP, можно использовать функцию общего доступа к VPN-подключению (VPN sharing). Это позволяет направить трафик других устройств через уже установленное VPN-соединение на вашем компьютере.

Windows 10/11:

1. Подключитесь к VPN, используя протокол OpenVPN (только он создаёт отдельный виртуальный адаптер).
2. Включите мобильный хот-спот: Настройки → Сеть и Интернет → Мобильный хот-спот.
3. Откройте сетевые подключения (ncpa.cpl), найдите адаптер TAP-ProtonVPN (или аналогичный).
4. В свойствах адаптера на вкладке «Доступ» разрешите другим пользователям сети использовать подключение к интернету и выберите адаптер мобильного хот-спота.
5. Подключите другие устройства к хот-споту — их трафик пойдёт через VPN.

Linux (GNOME, KDE):

1. Подключитесь к VPN.
2. Активируйте точку доступа WiFi через настройки сети. В GNOME: Настройки → Wi-Fi → ⋮ → Включить точку доступа Wi-Fi.
3. В отличие от Windows, Linux не создаёт виртуальный адаптер, поэтому для хот-спота нужен отдельный физический или виртуальный WiFi-адаптер.
4. Устройства, подключённые к точке доступа, автоматически используют VPN-туннель основного компьютера.

Этот метод удобен для защиты игровых консолей, Smart TV и других устройств, не поддерживающих установку VPN-клиентов.

Маршрутизация только нужного трафика через VPN

Полное туннелирование всего трафика через VPN не всегда удобно: некоторые сервисы (например, онлайн-банкинг или стриминговые платформы) могут блокировать подключения из других стран, а игры могут страдать от повышенного пинга. Решение — маршрутизировать через VPN только трафик к определённым IP-адресам или подсетям.

WireGuard: В конфигурационном файле параметр AllowedIPs определяет, какие адреса направляются в туннель. Значение 0.0.0.0/0 означает весь трафик. Чтобы пускать через VPN только нужные сервисы, замените его на список подсетей, например:

AllowedIPs = 74.125.0.0/16, 172.217.0.0/16, 142.250.0.0/15

Эти подсети принадлежат Google/YouTube. Все остальные запросы пойдут напрямую.

VLESS/VMess (NekoRay): В приложениях, поддерживающих прокси-цепочки, можно задать список IP-адресов или доменов для маршрутизации. Это удобно, если нужно разграничить трафик по доменам (например, *.googlevideo.com).

Роутер (MikroTik): На уровне роутера можно добавить нужные подсети в Address List и настроить policy routing, чтобы трафик к этим адресам шёл через VPN-интерфейс. Это позволяет защитить все устройства в локальной сети без настройки каждого из них.

Как получить список IP-адресов для маршрутизации

Чтобы настроить выборочную маршрутизацию, необходимо знать IP-адреса или подсети, используемые целевым сервисом. Вот три практических способа.

1. Расширение IPvFoo для браузера Установите расширение IPvFoo (доступно для Chrome и Firefox). Оно показывает все IP-адреса и домены, к которым обращается текущая страница. Включите VPN для всего трафика, откройте нужный сайт (например, YouTube) и посмотрите, с каких IP загружается видео. Используйте whois-сервис (например, 2ip.ru), чтобы определить подсеть владельца (Google LLC, Discord Inc. и т.д.) и добавить её в список маршрутизации.

2. Инструменты разработчика браузера Если IPvFoo не видит некоторые соединения (например, WebRTC в Discord), откройте консоль разработчика (F12) и введите фильтр RTC connected to media server:. Зайдите в голосовой канал — в консоли появятся IP-адреса медиа-серверов. Затем через whois найдите все подсети, принадлежащие провайдеру.

3. Команда netstat В Windows выполните netstat -aon и найдите внешние IP-адреса, соответствующие PID нужного процесса (из диспетчера задач). Этот метод универсален, но требует ручного анализа.

Для популярных сервисов существуют готовые списки подсетей, например:

• Instagram/Facebook: 31.13.24.0/21, 157.240.0.0/16 и другие.
• YouTube: 74.125.0.0/16, 173.194.0.0/16, 142.250.0.0/15.
• Discord: 162.158.0.0/15, 66.22.196.0/22 и множество других.

Важно: списки могут устаревать, поэтому для критически важных сервисов лучше формировать их самостоятельно.

Ограничения и подводные камни двойного VPN

Несмотря на очевидные преимущества, двойной VPN имеет ряд ограничений, которые важно учитывать.

Производительность: Каждый дополнительный туннель увеличивает задержку (latency) и снижает пропускную способность. При каскадном подключении (VPN внутри VPN) MTU уменьшается, что может вызывать фрагментацию пакетов и потерю скорости.

Доверие к провайдерам: Если оба сервера принадлежат одному провайдеру, он теоретически может логировать соответствие между точкой входа и выхода. Для максимальной приватности используйте серверы от разных поставщиков в разных юрисдикциях.

Совместимость протоколов: Не все VPN-протоколы поддерживают общий доступ к подключению. Например, в Windows для шаринга требуется OpenVPN, так как только он создаёт отдельный виртуальный адаптер. IKEv2 и WireGuard не подходят для этой цели.

Сложность настройки: Каскадные схемы требуют ручной настройки маршрутов и последовательного запуска VPN-клиентов. Ошибка в конфигурации может привести к утечке трафика (DNS-запросы или IPv6-пакеты могут пойти напрямую).

Юридические аспекты: В некоторых странах использование VPN, особенно двойного, может быть ограничено или запрещено. Перед настройкой ознакомьтесь с местным законодательством.

Практические примеры: защита игровых консолей и Smart TV

Многие устройства, такие как Xbox, PlayStation, Nintendo Switch и Smart TV, не поддерживают установку VPN-клиентов. Для их защиты можно использовать общий доступ к VPN-подключению или VPN-роутер.

Сценарий 1: Игровая консоль через Windows

1. Настройте общий доступ к VPN на ПК с Windows, как описано выше.
2. Подключите консоль к хот-споту ПК по WiFi или через Ethernet-мост.
3. Весь трафик консоли пойдёт через VPN. Это полезно для обхода региональных блокировок в играх или доступа к магазинам других стран.

Сценарий 2: Smart TV через Linux

1. Настройте точку доступа на Linux-машине с активным VPN.
2. Подключите телевизор к этой точке доступа.
3. Теперь телевизор может использовать стриминговые сервисы, недоступные в вашем регионе.

Сценарий 3: VPN-роутер Если у вас есть роутер с поддержкой OpenVPN или WireGuard (например, на базе OpenWrt), настройте VPN-подключение на самом роутере. Все устройства в локальной сети автоматически будут защищены. Это наиболее стабильное и производительное решение, но требует покупки совместимого оборудования.

Альтернатива — использовать Android TV-приставку (например, Amazon Fire Stick) с установленным VPN-клиентом. Это дешевле, чем покупка VPN-роутера, и проще в настройке.

Проверка утечек трафика и тестирование конфигурации

После настройки двойного VPN или выборочной маршрутизации необходимо убедиться, что трафик не утекает за пределы туннеля. Основные виды утечек:

• DNS-утечки: запросы к DNS-серверам могут идти напрямую, минуя VPN.
• IPv6-утечки: если ваша сеть поддерживает IPv6, а VPN-туннель работает только по IPv4, пакеты IPv6 могут уходить напрямую.
• WebRTC-утечки: браузерные WebRTC-соединения могут раскрыть реальный IP-адрес.

Инструменты для проверки:

• ipleak.net — показывает ваш IP, DNS-серверы и WebRTC-утечки.
• dnsleaktest.com — специализированный тест DNS-утечек.
• ifconfig.co — простой сервис для проверки внешнего IP.

Как проверить двойной VPN:

1. Подключитесь к первому VPN и проверьте IP через ifconfig.co.
2. Активируйте второй туннель (или общий доступ) и снова проверьте IP. Он должен измениться на адрес точки выхода.
3. Выполните трассировку до любого сайта (tracert/traceroute). Если видны IP-адреса промежуточных серверов, это нормально для схемы «VPN между серверами». Для каскадной схемы промежуточные узлы не должны отображаться.

Если обнаружены утечки, отключите IPv6 в настройках сети, настройте использование DNS-серверов VPN (например, 8.8.8.8) и отключите WebRTC в браузере.

Вопросы и ответы