VPN не подключается или заблокирован? Почему так и что помогает

Вчера VPN работал. Сегодня висит на «Подключение…» или подключается, но ничего не грузится. Меняете сервер, переустанавливаете, пробуете другое приложение — то же самое.

Чаще всего с телефоном и настройками всё в порядке. Просто сеть научилась распознавать VPN-трафик и обрывать его. Так сейчас происходит во многих странах: в России, Беларуси, Казахстане, Узбекистане, Туркменистане, Иране, Китае, Турции, ОАЭ, Египте, Пакистане, Мьянме и других — постоянно или во время выборов, протестов и крупных событий.

Как сеть распознаёт VPN

Провайдеры используют DPI — глубокий анализ трафика. Читать ваши данные DPI не нужно: достаточно формы соединения — какой порт, как выглядят первые пакеты, какого они размера и с какими паузами идут.

У популярных VPN-протоколов форма очень узнаваемая:

• OpenVPN начинает каждое соединение характерным «рукопожатием» — DPI видит его по первым же пакетам.
• WireGuard быстрый и современный, но его служебные сообщения имеют фиксированные типы и размеры и идут по UDP. Это один из самых простых для распознавания протоколов.
• IPsec / L2TP / IKEv2 работают на известных портах с известными заголовками, их часто блокируют целиком.
• Shadowsocks и похожие прокси создавались, чтобы прятаться, но часть сетей уже ловит их по статистике трафика или «прощупывая» сервер.

Распознав протокол, сеть может заблокировать его сразу, обрывать соединение через несколько секунд или замедлять до полной непригодности. Поэтому VPN бывает «Подключён», а сайты не открываются.

Типичные признаки

• Бесконечное «Подключение…» или «Handshake…»
• Подключается и через 5–30 секунд отваливается
• «Подключено», но сайты не открываются
• Работает на Wi-Fi и не работает на мобильном интернете (или наоборот)
• Работает ночью и перестаёт днём или во время важных событий

Если смена сервера не помогает, а смена сети помогает — сеть распознаёт протокол.

Отдельный случай: «белые списки» и отключения мобильного интернета

В некоторых регионах мобильный интернет переводят в режим «белых списков»: работают только одобренные сайты и сервисы, всё остальное отрезано. Иногда мобильный интернет отключают целиком. Это не распознавание VPN, а ограничение всего, что не в списке, — в таком режиме не работает почти ни один VPN, и мы не будем обещать обратного.

Что делать: подключиться к Wi-Fi или домашнему интернету — там такие ограничения обычно не действуют. Когда мобильная сеть вернётся в обычный режим, VPN снова заработает.

Что на самом деле помогает

1. Смена сервера в том же приложении помогает редко. Если распознан протокол, распознан каждый сервер с ним.
2. Помогает другой протокол — но только если он не похож на VPN.
3. Трафик должен выглядеть как то, что сеть не может заблокировать. Обычный HTTPS не заблокирует ни один провайдер — иначе сломаются банки, магазины и все обычные сайты.

Как это устроено в Oxyn

Oxyn не использует OpenVPN или WireGuard. У нас свой протокол на основе Noise — той же криптографической основы, что у WhatsApp и самого WireGuard.

• Работает по TCP-порту 443 — тому же, что у любого HTTPS-сайта.
• Снаружи соединение выглядит как обычный HTTPS, а не как VPN.
• Нет фиксированного VPN-рукопожатия, которое DPI мог бы узнать.

Кроме того:

• Свои приложения для Windows, Linux и Android. iPhone, iPad, Mac и Apple TV работают через клиент Happ с вашей ссылкой из личного кабинета.
• Защита от утечек: запросы DNS и IPv6 не уходят мимо туннеля.
• Российские банки и госуслуги идут мимо VPN, чтобы они не блокировали вход из-за иностранного адреса.
• Не храним журналы активности в VPN.

Неблокируемых инструментов не бывает, и мы не будем утверждать обратное. Но Oxyn сделан именно для сетей, где обычные VPN уже не работают.

Проверьте в своей сети — бесплатно

Единственная настоящая проверка — ваше собственное подключение. Oxyn даёт 15 дней и 30 ГБ бесплатно — нужен только email, карта не нужна.

Вопросы и ответы