VPN-словарь: термины и функции простыми словами

VPN - это зашифрованный туннель между вашим устройством и сервером, которым управляет кто-то другой. Всё, что вы отправляете, идёт через этот туннель, поэтому ваш интернет-провайдер и сети, которыми вы пользуетесь, больше не могут это прочитать или увидеть, какие сайты вы посещаете. Для остального интернета ваш трафик выглядит так, будто он идёт с IP-адреса VPN-сервера, а не с вашего.

VPN используют по трём основным причинам: приватность (сокрытие активности от провайдера или публичного Wi-Fi), доступ (выход на сайты, заблокированные в вашей стране или регионе) и безопасность (защита данных в недоверенных сетях). VPN - это не анонимность: провайдер, управляющий сервером, всё ещё видит ваш трафик, поэтому важно, кому вы доверяете, и поэтому некоторые люди поднимают свой собственный.

Шифрование перемешивает ваши данные так, что прочитать их может только предполагаемый получатель. Современные VPN используют шифры вроде AES-256 или ChaCha20, оба на практике считаются невзламываемыми при нынешних вычислительных мощностях. Именно это не даёт никому между вами и сервером - вашему провайдеру, хакеру в том же Wi-Fi - прочитать ваш трафик.

Сильное шифрование - это обязательный минимум: его предлагает каждый серьёзный провайдер. Реально значимые различия лежат в другом - в используемом протоколе, в том, ведёт ли провайдер логи, и в том, где он базируется.

IP-адрес - это число, которое идентифицирует ваше устройство в интернете, немного похоже на обратный адрес на конверте. Оно раскрывает ваше примерное местоположение и привязывает активность к аккаунту у вашего провайдера. Когда вы подключаетесь к VPN, сайты видят IP сервера вместо вашего, и именно так VPN меняет ваше видимое местоположение.

Связанные термины, которые встретятся ниже: выделенный IP - тот, который используете только вы, а статический IP - тот, который никогда не меняется.

DNS - это адресная книга интернета: она превращает имя вроде example.com в числовой IP-адрес, к которому фактически подключается ваше устройство. Каждый открываемый вами сайт вызывает DNS-запрос, поэтому тот, кто отвечает на эти запросы, видит всю вашу историю посещений по именам.

Хороший VPN использует собственный DNS внутри туннеля, чтобы ваш провайдер никогда не видел этих запросов. Когда это не срабатывает, это называется утечкой DNS - один из самых частых способов, которыми VPN незаметно вас раскрывает.

"Туннель" - это зашифрованное соединение, которое VPN выстраивает между вашим устройством и своим сервером. Ваш реальный трафик движется внутри него, обёрнутый так, что посторонние видят лишь сам факт соединения, а не то, что внутри него. Как этот туннель строится и маскируется, определяется используемым протоколом.

Kill switch отрубает вам интернет в тот же миг, когда VPN-соединение обрывается, чтобы ваш реальный IP и трафик никогда не раскрылись в этот момент. Без него короткое переподключение - обычное дело при смене Wi-Fi или пробуждении ноутбука - может выдать вашу личность на секунды или минуты, а вы этого и не заметите.

Это самая важная функция безопасности для всех, кто использует VPN ради приватности. Ищите постоянно активный или системный kill switch, а не тот, что работает только внутри приложения.

Раздельное туннелирование позволяет выбрать, какие приложения или сайты идут через VPN, а какие используют ваше обычное соединение. Вы можете пустить браузер через VPN, а банковское приложение, локальный принтер или стриминговый сервис, который нужен вам только дома, оставить снаружи.

Это удобно для скорости и для сервисов, которые блокируют VPN-адреса или работают на них некорректно, но помните: всё, что вы исключаете, остаётся незащищённым.

Double VPN (также называемый MultiHop) направляет ваш трафик через два сервера вместо одного, шифруя его дважды и дважды меняя ваш IP. Даже если один сервер был бы скомпрометирован, он не увидел бы одновременно и кто вы, и что вы делаете.

Это добавляет реальную приватность для пользователей из группы высокого риска ценой заметной потери скорости. Большинству людей в повседневности это не нужно. Ту же идею можно собрать самому, соединив в цепочку самостоятельно поднятый сервер с Tor.

Обфускация маскирует VPN-трафик так, чтобы он не выглядел как VPN. Сети, блокирующие VPN - государственные файрволы, некоторые школы и рабочие места - используют глубокую инспекцию пакетов, чтобы засечь характерную сигнатуру VPN-рукопожатия. Обфускация убирает или прячет эту сигнатуру, так что соединение сливается с обычным зашифрованным трафиком.

Именно эта функция решает, будет ли VPN вообще работать в странах с жёсткой цензурой. Если поднимать самому, самые сильные варианты - это VLESS + Reality и AmneziaWG.

Tor over VPN отправляет ваш трафик в сеть анонимизации Tor уже после того, как он покинул VPN-сервер. VPN скрывает использование Tor от вашего провайдера, а Tor скрывает пункт назначения от VPN. Это сильная комбинация ради анонимности, но медленная и избыточная для повседневного сёрфинга.

Некоторые VPN включают встроенный блокировщик, который останавливает рекламу, трекеры и известные вредоносные домены на уровне DNS, ещё до того, как они загрузятся. Это ускоряет загрузку страниц и снижает слежку без отдельного браузерного расширения. Это функция для удобства, а не основной инструмент приватности - специализированный блокировщик обычно тщательнее.

Выделенный IP - это VPN-адрес, который используете только вы, а не тот, что делится между сотнями других пользователей. Он снижает шанс попасть под блокировку или получать постоянные CAPTCHA (потому что никто другой не "спалил" этот IP) и полезен для удалённого доступа к рабочей сети или сервису из белого списка.

Компромисс: IP, привязанный только к вам, чуть менее приватен, чем растворение в общей толпе.

Статический IP остаётся одним и тем же при каждом подключении, но при этом может делиться между небольшой группой пользователей. Это золотая середина между полностью выделенным IP и обычными сменяющимися общими адресами - удобно, когда сервис ожидает, что ваш адрес не будет меняться.

Smart DNS перенаправляет только ту небольшую часть вашего соединения, которая выдаёт ваш регион, чтобы вы могли смотреть привязанные к региону стриминговые библиотеки без полноценного VPN-шифрования. Это быстрее, чем VPN, и работает на устройствах, которые не могут запускать VPN-приложения, вроде некоторых умных телевизоров и приставок - но при этом не шифрует ваш трафик и не скрывает ваш IP, так что это про доступ, а не про приватность.

WireGuard - это современный VPN-протокол, созданный ради скорости и простоты. Его крохотная кодовая база делает его быстрым, экономным к батарее и лёгким для аудита, поэтому большинство провайдеров теперь его предлагают (иногда под брендированным названием вроде NordLynx). Компромисс в том, что чистый WireGuard легко распознаётся и блокируется цензорами.

OpenVPN - это давно устоявшийся, проверенный в боях протокол, который больше десяти лет питал большинство VPN. Он медленнее WireGuard, но чрезвычайно зрелый и гибкий, а его способность работать через TCP-порт 443 помогает ему проскальзывать сквозь строгие файрволы. Всё ещё надёжный вариант по умолчанию там, где важнее всего стабильность.

IKEv2 - это быстрый и стабильный протокол, особенно хороший на мобильных устройствах: он переподключается почти мгновенно при переключении между Wi-Fi и мобильными данными, поэтому часто идёт по умолчанию в телефонных VPN-приложениях. Он хорошо поддерживается нативно в iOS и Windows, хотя менее гибок, чем WireGuard или OpenVPN, для обхода блокировок.

VLESS - это легковесный прокси-протокол, а Reality - техника, которая заставляет его трафик выдавать себя за настоящий HTTPS-сайт, вплоть до того, что на лету заимствует TLS-сертификат подлинного сайта. Для инспекционных инструментов цензора это выглядит так, будто вы просто заходите на крупный сайт, что делает его одним из самых сложных для блокировки.

Это выбор для тех, кто поднимает всё сам и ставит обход цензуры на первое место, а не то, что предлагают массовые приложения.

Shadowsocks - это легковесный зашифрованный прокси, с самого начала спроектированный так, чтобы его было трудно обнаружить цензорам. Он превращает ваш трафик в поток случайно выглядящих байтов без явной сигнатуры, поэтому давно стал излюбленным средством обхода государственных файрволов. Outline от Jigsaw делает запуск собственного сервера особенно простым.

AmneziaWG - это обфусцированная версия WireGuard. Она сохраняет скорость WireGuard, но меняет выдающие себя сигнатуры пакетов и подмешивает мусорный трафик, так что глубокая инспекция пакетов больше не может опознать её как VPN. Это сильная золотая середина: производительность почти на уровне WireGuard с реальной устойчивостью к блокировкам.

Политика без логов (или нулевых логов) - это обещание провайдера не записывать то, что вы делаете во время подключения: посещаемые сайты, ваш реальный IP, временные метки. Это самое важное заявление о приватности, которое делает VPN, потому что провайдеру, не хранящему никаких записей, нечего выдавать по запросу.

Обещание стоит ровно столько, сколько стоят его доказательства. Ищите политику, подкреплённую независимым аудитом, серверами только в RAM и дружественной к приватности юрисдикцией. Самостоятельный хостинг полностью переворачивает вопрос: вы единственный, кто мог бы вести логи.

VPN подчиняется законам страны, в которой он базируется, а они могут заставить его собирать или передавать данные. "5/9/14 Eyes" - это альянсы стран, обменивающихся разведданными слежки; провайдеры со штаб-квартирой за их пределами (например, в Швейцарии или Панаме) часто считаются более безопасным выбором для приватности.

Юрисдикция важнее всего в паре с настоящей политикой без логов - нечего требовать, если ничего не хранится.

Серверы только в RAM хранят всё в энергозависимой памяти, а не на жёстких дисках. Каждая перезагрузка полностью стирает их, поэтому нет долговременных данных, которые можно изъять или которые могут утечь. Это сильное архитектурное подкрепление заявления о работе без логов, которое теперь предлагают несколько крупных провайдеров.

Независимый аудит - это когда сторонняя компания по безопасности проверяет приложения, инфраструктуру или заявление VPN о работе без логов и публикует свои выводы. Это ближайшее, что есть, к доказательству того, что провайдер делает то, что говорит. Предпочитайте VPN, которые проходили аудит недавно и неоднократно, а не всего один раз.

Утечка DNS происходит, когда ваше устройство отправляет свои DNS-запросы мимо VPN-туннеля - обычно вашему провайдеру - хотя остальной трафик защищён. В результате ваш провайдер по-прежнему видит каждый посещённый вами сайт по имени, незаметно сводя на нет большую часть смысла VPN.

Многие VPN защищают только более старый трафик IPv4. Если у вашего соединения также есть более новый IPv6, а VPN его игнорирует, ваш реальный IPv6-адрес может утечь прямо мимо туннеля. Хорошие VPN либо тоже направляют IPv6 через туннель, либо отключают его на время подключения.

WebRTC - это браузерная функция для видеозвонков, которая может раскрыть ваш реальный IP-адрес сайтам, даже при включённом VPN. Это утечка на уровне браузера, а не вина VPN, но она всё равно подрывает вашу приватность. Заблокировать её можно настройкой браузера или расширением, а подтвердить - тестом на утечки.

DPI - это техника, которую сети и государственные файрволы используют, чтобы заглянуть внутрь трафика и определить, что это такое - в том числе является ли это VPN - а не просто куда он идёт. Это технология, стоящая за большинством современных блокировок VPN. Противодействие ей - обфускация: превращение VPN-трафика во что-то обыденное.

Обход геоблокировок означает использование VPN для выхода на контент, ограниченный определёнными странами, например на стриминговую библиотеку, доступную где-то ещё. Стриминговые сервисы активно блокируют известные VPN-адреса, поэтому это превращается в игру в кошки-мышки - вот почему провайдеры рекламируют, насколько надёжно они разблокируют конкретные платформы.

Поддержка P2P означает, что провайдер разрешает пиринговый обмен файлами на своих серверах, часто на отдельных "оптимизированных для P2P" локациях. Для этого важнее всего kill switch и настоящая политика без логов, поскольку иначе ваш IP виден каждому пиру в рое.

Это то, сколько устройств вы можете использовать по одной подписке одновременно - ваш телефон, ноутбук, телевизор, устройства партнёра. Числа варьируются от нескольких до неограниченного количества. Когда вы поднимаете VPN сами, практический предел - это просто ёмкость вашего сервера, а устройства вы добавляете, раздавая новые ключи.

Двухфакторная аутентификация означает, что аккаунт спрашивает две разные вещи, прежде чем кого-то впустить: то, что вы знаете, обычно пароль, и то, чем вы владеете, - телефон или небольшой ключ. Одного утёкшего или подобранного пароля тогда мало, и поэтому 2FA останавливает подавляющее большинство автоматических угонов аккаунтов.

Вторые факторы неравноценны. Код из приложения-генератора сильнее SMS-кода, а аппаратный ключ или passkey сильнее обоих, потому что их нельзя отдать поддельному сайту. После утечек вроде той, где вскрылись 24 миллиарда паролей, пароль разумнее считать общеизвестным, а настоящим замком - второй фактор.

TOTP - это одноразовый пароль, привязанный ко времени: те самые шесть цифр, которые приложение показывает и меняет каждые тридцать секунд. Приложение и сервис делят один секрет, заданный один раз при сканировании QR-кода, и оба считают из него и текущего времени одно и то же число. Сеть при этом не нужна, поэтому код работает в режиме полёта и не зависит от номера телефона.

Слабое место в том, что код вы вводите руками, а значит убедительная копия страницы входа может его попросить и за секунды передать дальше. Именно эту щель закрывает аппаратный ключ.

SMS-код - это одноразовое число, присланное на ваш номер телефона. Это самый распространённый второй фактор и самый слабый, потому что защищает он номер, а не вас. При перевыпуске SIM человек обращается к вашему оператору, называет имя и личные данные, сообщает о потере телефона и просит номер на новую карту; с этого момента коды приходят ему.

Любая утечка персональных данных облегчает этот разговор, поэтому с SMS-кода стоит уходить, как только доступно приложение-генератор. И всё же он лучше, чем полное отсутствие второго фактора.

Passkey заменяет пароль парой криптографических ключей. Закрытая половина остаётся на телефоне, компьютере или в менеджере паролей и разблокируется отпечатком или лицом, открытая хранится у сервиса. Вход означает, что устройство доказывает владение закрытой половиной, поэтому вводить нечего и в чужой базе не лежит секрет, который может утечь.

Устройство само сверяет настоящий адрес сайта перед ответом, поэтому на похожем домене passkey просто не срабатывает, и фишинг перестаёт работать. Практический вопрос один - переносимость: убедитесь, что доберётесь до своих passkey со второго устройства, прежде чем на них полагаться.

Аппаратный ключ - небольшое физическое устройство, обычно на брелоке, которое подтверждает вход через USB или NFC. Он работает по тем же стандартам, что и passkey, и важное свойство у них одинаковое: ключ проверяет, какой сайт его спрашивает, и на поддельной странице молчит, как бы убедительно она ни выглядела.

Совет от всех, кто ими пользуется: заводите два ключа, а не один, и запасной держите там, где лежат документы. Потерянный единственный ключ без зарегистрированной замены - самая частая причина, по которой люди сами себе закрывают доступ.

Резервные коды - короткий список одноразовых строк, который сервис выдаёт при включении двухфакторной защиты. Каждая срабатывает один раз и существует на случай, когда телефон потерян, стёрт или заменён. Это официальная дорога обратно в собственный аккаунт.

Храните их офлайн: распечатанными или переписанными, вместе с документами. Если они лежат только внутри того же менеджера паролей, где хранится пароль, одно потерянное устройство или забытый мастер-пароль уносит обе половины сразу.

Менеджер паролей придумывает и запоминает разный длинный пароль для каждого сайта, поэтому одна утечка остаётся одной утечкой, а не открывает заодно почту и банк. Современные менеджеры хранят и коды TOTP, и passkey, а подставляют их только на том сайте, которому они принадлежат, что незаметно защищает от фишинга.

Про один размен стоит знать: пароль и второй фактор в одном хранилище защищены одним мастер-паролем. Для самых важных аккаунтов держите их в разных местах.

Фишинг - это попытка добиться, чтобы вы сами отдали доступ, обычно через копию страницы входа, на которую попадают из сообщения, рекламы или поисковой выдачи. Современные фишинговые страницы сразу передают введённое настоящему сервису, поэтому и пароль, и даже одноразовый код успевают использовать за считанные секунды.

Поэтому единственный фактор, который надёжно этому сопротивляется, - тот, который вы не вводите: аппаратный ключ или passkey сами сверяют адрес сайта и постороннему не отвечают.