Что такое VPN-туннель и как он работает?

«Туннель» — одно из тех слов, которые VPN-индустрия использует постоянно и почти никогда не объясняет. Метафора, однако, удачная: стоит один раз понять её — и всё остальное в работе VPN встаёт на своё место.

Коротко: VPN-туннель — это зашифрованное соединение между вашим устройством и VPN-сервером. Ваши данные оборачиваются во внешний слой и шифруются, так что сеть, которой вы пользуетесь, может их передавать, не имея возможности прочитать или увидеть конечный пункт назначения. «Туннель» — это и есть защищённый проход через открытую в остальном сеть.

Главное

• VPN-туннель = инкапсуляция (обёртывание данных) + шифрование (их запутывание).
• Туннель скрывает ваш трафик от локальной сети и интернет-провайдера, а ваш IP-адрес — от посещаемых сайтов.
• Туннель не скрывает ваши действия на сайте, на который вы залогинились, и не делает вас анонимным.
• «Туннель» создаётся и защищается VPN-протоколом; современный стандарт по умолчанию — WireGuard.

Что такое VPN-туннель

Представьте открытый интернет как оживлённую общественную дорогу. В обычных условиях ваши данные едут по ней на виду у всех — любой, кто стоит вдоль пути (Wi-Fi, которым вы пользуетесь, ваш интернет-провайдер), видит внешнюю сторону каждой «посылки»: куда она направляется и приблизительно что собой представляет.

VPN-туннель — это крытый, запертый проход вдоль той же дороги, ведущий от вашего устройства до VPN-сервера. Ваши данные идут через этот проход, а не по открытой дороге. Наблюдатели видят, что что-то движется между вами и VPN-сервером, но не знают, что именно и куда оно направится дальше. На другом конце VPN-сервер распаковывает ваши данные и отправляет их к настоящему адресату.

Физически дорога не меняется. Туннель создаётся программно — конкретнее, двумя техниками, работающими вместе.

Как работает VPN-туннель

1. Инкапсуляция (обёртывание). Обычные интернет-данные разбиваются на пакеты. VPN берёт каждый пакет и помещает его внутрь другого пакета — как кладёт письмо в ещё один конверт. На внешнем конверте указан только адрес VPN-сервера. Тот, кто читает внешний конверт, видит лишь пакет, идущий к VPN, и ничего не знает об исходном письме внутри.

2. Шифрование (замок). Инкапсуляция сама по себе просто скрывает адресацию. Шифрование запутывает содержимое так, что даже вскрыв внешний конверт, внутренний прочитать невозможно без ключа. Ключами владеют только ваше устройство и VPN-сервер — они договариваются о них в ходе короткой процедуры, называемой рукопожатием, при установлении туннеля.

В совокупности: данные оборачиваются так, что внешний мир не видит их настоящего назначения, и шифруются так, что их содержимое нельзя прочитать. Вот это сочетание и есть туннель.

Пока туннель активен, весь трафик приложений, направленный через него, получает такую защиту. Когда туннель обрывается, трафик её лишается — именно поэтому важно понимать, что происходит в этот момент; об этом рассказывает статья о VPN kill switch на iPhone.

Что туннель скрывает — а что нет

Здесь важна честность, потому что «туннель» может звучать как плащ-невидимка. Это не так.

VPN-туннель скрывает:

• Ваш трафик от локальной сети — Wi-Fi в кафе или гостинице не может прочитать, что вы делаете.
• Ваш трафик от интернет-провайдера — он видит зашифрованные данные, идущие к VPN-серверу, а не сайты, которые вы посещаете.
• Ваш IP-адрес от сайтов, к которым вы подключаетесь, — они видят адрес VPN-сервера, а не ваш.

VPN-туннель не скрывает:

• Ваши действия на сайте, на который вы залогинились. Если вы входите в аккаунт, этот сервис знает, что это вы, — туннель тут не поможет.
• Вашу личность в абсолютном смысле. Туннель улучшает вашу приватность, но не делает вас анонимным — и любой провайдер, обещающий полную невидимость в сети, преувеличивает. Приватность — многоуровневая вещь, а не абсолютная; подробнее об этом подходе — в статье о том, что на самом деле означает политика отсутствия логов.
• То, что находится за пределами сетевого уровня: отпечаток браузера или данные, которые вы добровольно раскрываете.

Если вы ещё не решили, оправданы ли эти компромиссы в вашем случае, статья о том, нужен ли вам VPN, поможет разобраться.

Что строит туннель: протоколы

VPN-туннель создаётся и защищается протоколом — согласованными правилами того, как происходят инкапсуляция, шифрование и рукопожатие. Протокол определяет скорость туннеля, быстроту переподключения и современность криптографии.

Актуальный стандарт, о котором стоит знать, — WireGuard: лёгкий и быстрый протокол с небольшой кодовой базой, что важно: меньше кода — меньше мест для ошибок и быстрее переподключение на телефоне, который постоянно переключается между сетями. Более старые протоколы — OpenVPN и IKEv2 — по-прежнему существуют и имеют свои применения. Мы сравниваем их в нашем сравнении протоколов.

Несколько слов о раздельном туннелировании

Поскольку этот термин часто ищут вместе с «VPN-туннелем», стоит сказать о нём несколько слов. Раздельное туннелирование означает, что часть приложений направляется через туннель, а остальные используют обычное соединение. Это удобно, когда, скажем, нужно защитить браузер, но позволить банковскому приложению или локальному устройству обходить VPN. На ряде платформ это реальная функция, хотя iOS обрабатывает маршрутизацию на уровне приложений строже, чем настольные системы, — поэтому не стоит рассчитывать на полноценный переключатель раздельного туннелирования в стиле десктопа на iPhone.

Законно ли использовать VPN-туннель и безопасно ли это?

В большинстве стран использование VPN — а значит, и VPN-туннеля — совершенно законно и является именно тем инструментом, который банки и компании применяют для защиты соединений. В нескольких странах VPN ограничены; общую картину мы рассматриваем в нашем руководстве о законности VPN. Что касается безопасности, сам туннель и есть защищённая часть. Переменная здесь — насколько можно доверять провайдеру на другом конце в отношении трафика, который он может видеть; это вопрос политики логирования, а не самого туннелирования.

Часто задаваемые вопросы

В чём разница между VPN и туннелем? Туннель — это зашифрованный канал; VPN — это весь сервис, который его создаёт и поддерживает. «VPN-туннель» конкретно обозначает защищённое соединение между вашим устройством и VPN-сервером.

Что делает VPN-туннелирование? Оно оборачивает ваши данные так, что внешняя сеть не видит их настоящего назначения, и шифрует их так, что содержимое нельзя прочитать, — защищая ваш трафик в пути и скрывая ваш IP от посещаемых сайтов.

Законно ли использовать VPN-туннель? В большинстве стран — да. Небольшое число стран ограничивает или запрещает VPN; то, что вы делаете внутри туннеля, по-прежнему регулируется законом.

Что такое раздельное туннелирование? Направление только части приложений через VPN, пока остальные используют обычное соединение — удобно, когда нужна избирательная защита. Поддержка варьируется в зависимости от платформы, и iOS строже, чем настольные системы.

Итог

VPN-туннель — это просто две идеи, работающие вместе: оберните данные так, чтобы их назначение было скрыто, и зашифруйте их так, чтобы содержимое нельзя было прочитать. Это даёт реальную защиту от сети, которой вы пользуетесь, и от интернет-провайдера, а также скрывает ваш IP от сайтов — не делая вас анонимным. Туннель строит протокол, и WireGuard — современный стандарт по умолчанию.

Snap VPN работает на WireGuard, не требует аккаунта или электронной почты и не ведёт журналы трафика. Доступен в App Store.