Подключение к двум VPN одновременно: схемы, настройка и риски

Что такое двойной VPN и зачем он нужен

Двойной VPN — это конфигурация, при которой ваш интернет-трафик проходит через два VPN-сервера последовательно, прежде чем попасть в открытый интернет. В отличие от обычного VPN, где шифруется один туннель, здесь создаются два уровня защиты: трафик шифруется, расшифровывается на первом сервере, затем снова шифруется и передаётся на второй сервер, который уже отправляет запросы в сеть. Такой подход позволяет скрыть ваш реальный IP-адрес дважды: первый сервер видит ваш настоящий адрес, но второй сервер видит только адрес первого, а конечный сайт видит адрес второго.

Основная цель двойного VPN — повысить приватность и затруднить отслеживание. Например, если ваш интернет-провайдер или государственные органы анализируют метаданные подключений, они увидят лишь факт соединения с первым VPN-сервером, но не смогут связать это с вашей активностью на втором. Это особенно актуально в странах с жёстким интернет-контролем, где провайдеры обязаны хранить логи подключений. Разделение точки входа и точки выхода на уровне IP-адресов делает корреляцию трафика значительно сложнее.

Важно понимать, что двойной VPN не удваивает криптографическую стойкость шифрования. Вместо этого добавляется второй уровень шифрования, что создаёт дополнительный барьер для анализа трафика. Однако это не делает соединение абсолютно анонимным: промежуточные серверы могут видеть расшифрованный трафик, если они скомпрометированы или управляются недобросовестным провайдером.

Основные схемы подключения к двум VPN

Существует несколько способов организовать подключение к двум VPN-серверам одновременно. Каждый из них имеет свои особенности, преимущества и ограничения.

VPN между серверами — самый распространённый вариант. Клиент подключается только к первому серверу, а между первым и вторым сервером уже настроен туннель. Промежуточных серверов может быть несколько. Трафик от клиента идёт на первый сервер, затем по туннелю на второй, и только потом в интернет. При этом туннель между серверами может использовать другой протокол, например IPsec или даже GRE без шифрования. Важный нюанс: все промежуточные серверы видны в трассировке маршрута, и клиент не может проверить, как именно они соединены, поэтому приходится доверять провайдеру.

VPN внутри VPN — более параноидальный способ. Здесь оба туннеля поднимаются на стороне клиента, причём один внутри другого. Это требует сложной настройки маршрутов и запуска VPN-клиентов в правильном порядке. Промежуточные серверы не видны в трассировке, и ни один из них не имеет доступа к открытому трафику клиента. Однако производительность страдает: накладные расходы на инкапсуляцию суммируются, и максимальный размер пакета (MTU) уменьшается с каждым уровнем.

VPN через прокси — гибридный вариант, когда трафик сначала идёт через VPN, а затем через прокси-сервер. Это часто используется для маскировки VPN-трафика под другой протокол, например в Китае. Прокси не виден в трассировке, но такой подход менее стабилен, так как прокси-серверы могут пропускать часть запросов.

Как настроить двойной VPN на одном сервере

Самый простой способ получить эффект двойного VPN — использовать один сервер с двумя IP-адресами. Это позволяет разделить точку входа и точку выхода без необходимости настраивать цепочку из нескольких серверов. Такой подход даёт максимальную скорость и минимальные задержки, так как трафик терминируется на одном физическом сервере.

Для этого нужно заказать VPS с дополнительным IP-адресом. Обычно провайдеры хостинга позволяют добавить IP-адрес через панель управления. После этого настраивается VPN-сервер, например на базе IKEv2/IPsec. Один IP-адрес будет использоваться как точка входа (адрес, к которому подключаются клиенты), а второй — как точка выхода (адрес, с которого трафик уходит в интернет).

Настройка включает несколько шагов:

1. Заказать VPS и дополнительный IP-адрес.
2. Назначить PTR-запись для каждого IP (это необязательно, но удобно для идентификации).
3. Установить VPN-сервер, например StrongSwan для IKEv2.
4. Настроить маршрутизацию так, чтобы входящие подключения принимались на одном IP, а исходящий трафик шёл через другой.

Проверить, какой IP используется для выхода, можно с помощью команды curl ifconfig.co — она покажет внешний адрес, с которого выполняется запрос. Для проверки точки входа можно использовать SSH-туннель с SOCKS-прокси: ssh -D 9999 root@good.citizen.vpn, а затем curl -x socks5h://127.0.0.1:9999 ifconfig.co.

Настройка VPN-цепочки с несколькими серверами

Если вы хотите использовать два разных VPN-сервера от разных провайдеров, можно настроить цепочку вручную. Существует несколько методов, каждый из которых подходит для разных сценариев.

Метод 1: VPN на маршрутизаторе + VPN-клиент на устройстве. Настройте VPN-подключение на вашем домашнем маршрутизаторе, чтобы весь трафик из локальной сети шёл через первый VPN-сервер. Затем на отдельном устройстве (например, ноутбуке) запустите второй VPN-клиент. В результате трафик с этого устройства будет проходить через два VPN-сервера последовательно. Этот способ относительно прост, но требует, чтобы маршрутизатор поддерживал VPN-клиенты.

Метод 2: Виртуальная машина. Установите VirtualBox или другую программу для виртуализации. Внутри виртуальной машины настройте VPN-клиент, а на основной ОС — другой VPN-клиент. Сначала запустите VPN на основной системе, затем внутри виртуальной машины. Трафик из виртуальной машины будет проходить через оба туннеля. Этот метод позволяет создавать цепочки из трёх и более VPN, но требует мощного компьютера, так как виртуализация и шифрование нагружают процессор.

Метод 3: Использование встроенных функций VPN-провайдера. Некоторые VPN-сервисы предлагают функцию двойного VPN или мультиузловых подключений прямо в своём клиенте. Обычно это позволяет выбрать два или более серверов, и трафик автоматически направляется через них. Такой способ самый простой, но часто привязан к конкретным серверам и может быть дороже обычной подписки.

Выбор протоколов для двойного VPN

При настройке двойного VPN важно правильно выбрать протоколы. Разные протоколы имеют разные характеристики скорости, безопасности и совместимости.

IKEv2/IPsec — современный протокол, поддерживаемый большинством операционных систем из коробки (Windows, macOS, iOS, Android). Он быстрее OpenVPN и хорошо работает на мобильных устройствах. Для настройки сервера можно использовать StrongSwan. Один из плюсов — возможность использовать доверенные сертификаты Let's Encrypt, что упрощает настройку клиентов (не нужно устанавливать корневые сертификаты).

OpenVPN — классический протокол, который поддерживается практически везде, но требует установки стороннего ПО. Он более гибкий в настройке, но может быть медленнее из-за использования TLS и дополнительных настроек.

WireGuard — новый протокол, который набирает популярность благодаря высокой скорости и простоте настройки. Однако он пока не так широко поддерживается встроенными средствами ОС, и для его использования часто требуется установка дополнительных драйверов.

При создании цепочки можно комбинировать протоколы: например, клиент подключается к первому серверу по IKEv2, а между серверами используется WireGuard. Это позволяет повысить безопасность, так как разные протоколы имеют разные уязвимости. Однако важно учитывать, что каждый дополнительный уровень шифрования увеличивает задержку и снижает скорость.

Преимущества и недостатки двойного VPN

Двойной VPN даёт ряд преимуществ, но также имеет существенные недостатки, которые нужно учитывать перед настройкой.

Преимущества:

• Повышенная конфиденциальность: второй сервер не видит ваш реальный IP-адрес, а видит только IP первого сервера.
• Двойное шифрование: трафик шифруется дважды, что затрудняет его анализ.
• Снижение риска корреляционных атак: сложнее связать входящий и исходящий трафик.
• Возможность скрыть геолокацию за несколькими странами (при использовании серверов в разных странах).

Недостатки:

• Снижение скорости: трафик проходит через два сервера, каждый из которых выполняет шифрование и дешифрование. На практике скорость может упасть в два раза и более. Например, при тарифе 100 Мбит/с и цепочке из четырёх серверов скорость может снизиться до 25 Мбит/с.
• Увеличение задержки: каждый дополнительный сервер добавляет время на передачу данных.
• Более высокая стоимость: если вы используете платные VPN-сервисы, двойное подключение обычно стоит дороже.
• Сложность настройки: особенно если вы создаёте цепочку вручную, требуется техническая экспертиза.

Также стоит помнить, что двойной VPN не гарантирует полную анонимность. Если первый сервер ведёт логи, он может связать ваш реальный IP с активностью. Поэтому важно выбирать провайдеров с политикой отсутствия логов.

Практические примеры настройки на Windows и Android

Рассмотрим, как подключиться к VPN-серверу с использованием протокола L2TP/IPsec, который часто используется для создания простых VPN-подключений. Этот пример полезен, если вы хотите настроить двойной VPN с помощью двух разных серверов.

Настройка на Windows 11:

1. Откройте Параметры → Сеть и Интернет → VPN.
2. Нажмите «Добавить VPN».
3. Заполните поля: Поставщик услуг VPN — Windows (встроенное), Имя подключения — любое, Имя или адрес сервера — IP-адрес первого VPN-сервера, Тип VPN — L2TP/IPsec с общим ключом, Общий ключ — введите ключ (например, vpn), Тип данных для входа — Имя пользователя и пароль.
4. Сохраните подключение и нажмите «Подключиться».

Настройка на Android:

1. Перейдите в Настройки → VPN → Новая сеть VPN.
2. Заполните поля: Название — любое, Тип — L2TP/IPSecPSK, Адрес сервера — IP-адрес первого VPN-сервера, Общий ключ IPSec — ключ, Имя пользователя и пароль.
3. Сохраните и подключитесь.

После того как первое подключение установлено, вы можете настроить второе VPN-подключение аналогичным образом, но уже поверх первого. Однако на мобильных устройствах Android 13 и новее поддержка L2TP была удалена, поэтому для второго уровня придётся использовать другой протокол, например IKEv2 или OpenVPN. На Windows можно создать несколько VPN-подключений и подключаться к ним последовательно, но это требует ручного управления.

Как проверить, что двойной VPN работает корректно

После настройки двойного VPN важно убедиться, что трафик действительно проходит через оба сервера. Существует несколько способов проверки.

Проверка IP-адреса. Самый простой способ — зайти на сайт типа ifconfig.co или 2ip.ru и посмотреть, какой IP-адрес виден. Если вы настроили цепочку, то увидите IP-адрес последнего сервера. Чтобы убедиться, что трафик идёт через оба сервера, можно временно отключить второй VPN и сравнить IP-адреса.

Трассировка маршрута. Используйте команду tracert (Windows) или traceroute (Linux/macOS) до какого-либо сайта. Если в выводе видны IP-адреса обоих VPN-серверов, значит цепочка работает. Однако при использовании VPN внутри VPN промежуточные серверы могут быть скрыты.

Проверка утечек DNS. Утечки DNS могут раскрыть ваш реальный IP-адрес, даже если VPN работает. Используйте онлайн-сервисы для проверки утечек, например dnsleaktest.com. Убедитесь, что DNS-запросы проходят через VPN-туннель.

Проверка WebRTC. В браузере может происходить утечка реального IP через WebRTC. Отключите WebRTC или используйте специальные расширения для блокировки.

Также можно использовать команду curl ifconfig.co на сервере, чтобы убедиться, что точка выхода настроена правильно. Если вы используете SSH-туннель, проверьте, что SOCKS-прокси работает и возвращает ожидаемый IP.

Ограничения и риски при использовании двойного VPN

Несмотря на преимущества, двойной VPN имеет ряд ограничений и потенциальных рисков, о которых важно знать.

Скорость и задержка. Как уже упоминалось, каждый дополнительный VPN-сервер снижает скорость и увеличивает задержку. Это может сделать использование двойного VPN неприемлемым для задач, требующих высокой скорости, таких как онлайн-игры или видеозвонки.

Совместимость. Некоторые протоколы VPN могут конфликтовать друг с другом. Например, при использовании VPN внутри VPN могут возникнуть проблемы с маршрутизацией, особенно на мобильных устройствах. Также некоторые операционные системы ограничивают количество одновременных VPN-подключений.

Доверие к провайдерам. Если вы используете VPN-сервисы разных компаний, вы должны доверять каждой из них. Если один из провайдеров ведёт логи или передаёт данные третьим лицам, ваша анонимность может быть нарушена. Поэтому выбирайте провайдеров с проверенной репутацией и политикой отсутствия логов.

Юридические аспекты. В некоторых странах использование VPN может быть ограничено или запрещено. Двойной VPN может привлечь дополнительное внимание со стороны властей. Убедитесь, что вы соблюдаете местные законы.

Технические сложности. Настройка двойного VPN вручную требует определённых знаний. Ошибки в конфигурации могут привести к утечкам трафика или полной неработоспособности соединения. Если вы не уверены в своих силах, лучше использовать готовые решения от VPN-провайдеров.

Когда стоит использовать двойной VPN, а когда нет

Двойной VPN — это мощный инструмент, но он не всегда необходим. Решение о его использовании должно основываться на вашей модели угроз.

Когда стоит использовать:

• Вы живёте в стране с жёсткой интернет-цензурой и хотите скрыть факт использования VPN.
• Вам нужна повышенная защита от корреляционных атак, например, если вы журналист или активист.
• Вы хотите разделить точку входа и выхода, чтобы затруднить отслеживание вашей активности.
• Вы используете публичные Wi-Fi сети и хотите максимально защитить свои данные.

Когда не стоит использовать:

• Вам нужна максимальная скорость для игр или стриминга.
• Вы используете VPN для обхода геоблокировок — в этом случае достаточно одного сервера.
• У вас ограниченный бюджет — двойной VPN обычно дороже.
• Вы не готовы мириться с техническими сложностями настройки.

В большинстве повседневных сценариев, таких как защита данных в общественном Wi-Fi или доступ к заблокированным сайтам, достаточно обычного VPN. Двойной VPN оправдан только тогда, когда ваша модель угроз включает наблюдение со стороны провайдера или государства.

Вопросы и ответы