VPN заблокирован? 12 способов, которыми сети блокируют VPN, и что проходит через каждый из них

Почему мой VPN заблокирован?

Ваш VPN заблокирован, потому что что-то между вами и сервером распознало соединение. Это «что-то» может смотреть на пять разных вещей, и средство зависит от того, на какую именно. Большинство руководств перечисляют одни и те же шесть приёмов (сменить сервер, сменить порт, попробовать другой протокол, включить обфускацию, использовать прокси, использовать Tor), не уточняя, против какой блокировки каждый из них на самом деле действует. Так люди и тратят час на смену портов против фильтра, который на порты вообще не смотрел.

Вот определение, из которого исходит эта страница. Блокировка VPN представляет собой любое правило, которое не даёт VPN-туннелю установиться или передавать трафик, и большинство таких правил опираются на одну из пяти вещей: порт, рукопожатие, характер трафика, адрес сервера или адрес, который видит сайт. 12 способов ниже охватывают эти пять, плюс три, которые находятся за их пределами: белые списки, отключения и удаление из магазинов приложений. В каждой строке указан задокументированный случай.

Дальше идут две таблицы. Первая сортирует 12 способов по тому, что через них проходит. Вторая разбирает самый сложный случай на сегодня, Россию в конце сентября 2026 года, где фильтры менялись дважды за один месяц. После этого описано, что Le VPN изменил в собственной сети в ответ. Датированная хроника самих сентябрьских сбоев есть в нашем материале о сентябрьской волне блокировок VPN в России в 2026 году; эта страница посвящена механике и её не повторяет.

Как сети блокируют VPN и что проходит через каждую блокировку?

Двенадцать строк, пять видов ответа. Средство, с которого начинает большинство руководств, смена порта, срабатывает ровно в одной строке. Обфускация срабатывает в пяти, в тех, где оценивается, как выглядит трафик. Другой адрес сервера срабатывает в трёх, и все три смотрят на то, куда идёт трафик. Одно никогда не заменяет другое: маскировка ничего не даёт против списка адресов, а новый адрес ничего не даёт против сигнатуры рукопожатия. Две строки, белые списки и отключения, сильнее любого VPN, который когда-либо был создан.

О строке 4 стоит помнить, когда провайдер называет свой сервис «необнаруживаемым». Когда исследователи из Мичиганского университета и Университета штата Аризона запустили свою систему на маршрутизаторе, через который шло 20% трафика провайдера, она выявила 34 из 41 конфигурации, которые провайдеры продавали как обфусцированные. Обфускация представляет собой инженерную задачу, а не галочку в настройках, и наше руководство по обфускации VPN объясняет основные подходы.

Как обойти блокировку VPN в сети Wi-Fi, в школе или на работе?

Управляемые сети блокируют VPN одним из первых двух способов из таблицы. Простые конфигурации открывают только веб-порты (строка 1). Корпоративные межсетевые экраны распознают приложения и могут заблокировать все туннели разом (строка 2).

Против фильтра портов VPN на TCP 443 обычно подключается, потому что правило, которое смотрит только на порты, не может отличить его от веб-страницы. Конфигурации OpenVPN в Le VPN работают на TCP 443, TCP 80 и UDP 53. Против контроля приложений обфускация иногда проходит, но начинать стоит не с этого вопроса. В школьной или рабочей сети администратор решил, что VPN там не разрешены, и обход этого правила может нарушить условия, которые вы подписали. Попросите исключение или переключитесь на мобильный интернет для личной задачи.

С Wi-Fi в гостиницах и кафе всё иначе: блокировка там обычно является побочным эффектом небрежной настройки, а не политикой. Если WireGuard не подключается, сеть, скорее всего, отбрасывает UDP. Попробуйте протокол, работающий поверх TCP 443.

Почему сайты всё равно обнаруживают мой VPN и может ли VPN обойти блокировку по IP?

Когда VPN подключается, а сайт всё равно вам отказывает, блокирует сам сайт (строка 9). Он видит адрес VPN-сервера и проверяет его. Коммерческие IP-базы продают именно такую проверку. База Anonymous IP от MaxMind помечает адреса, которые она связывает с анонимными VPN-провайдерами, а адреса дата-центров помечает как принадлежащие хостинг-провайдеру, и так ловит VPN-серверы, которые не может назвать. Сайт, блокирующий оба флага, отсекает большинство VPN-серверов, ни разу не заглянув в ваш трафик.

Поэтому обфускация не помогает с сайтами. Stealth WireGuard маскирует путь между вашим устройством и сервером; сайт всё равно видит адрес сервера, тот же, что использует обычный WireGuard. Для обычного сайта может помочь сервер, адрес которого сайт не пометил, и результат может меняться от недели к неделе. Стриминговые сервисы устанавливают собственные правила: на странице справки Netflix сказано, что VPN может вызвать ошибку прокси и что VPN не поддерживаются для прямых трансляций и тарифов с рекламой. Подписка на сервис нужна всегда.

Блокировка по IP работает так же. VPN меняет адрес, который видит сайт, поэтому блокировка, привязанная к вашему домашнему адресу, не действует, пока вы подключены. Но блокировка аккаунта следует за аккаунтом, а сайты, которые отказывают всем хостинговым адресам, откажут вам, какой бы сервер вы ни выбрали. Некоторые сайты также проверяют признаки, которые VPN не меняет, например страну аккаунта, банковской карты или номера телефона, так что одного VPN для прохождения такой проверки может оказаться недостаточно.

Как Россия блокирует VPN в 2026 году?

Россия использует восемь из двенадцати строк одновременно: строку 3 и строки с 6 по 12. Фильтрующее оборудование, известное как ТСПУ, стоит внутри сетей российских провайдеров и получает правила централизованно от регулятора. Три вывода определяют всё остальное.

Решают первые пакеты. Исследователи из Падерборнского университета измеряли фильтрацию трафика QUIC в России из трёх российских городов в марте и апреле 2026 года. Как только первый пакет потока вызывает блокировку, фильтр отбрасывает всё на той же паре адресов и портов в течение 420 секунд, и каждый новый пакет запускает таймер заново. Фильтруется только трафик, уходящий из России. Приложение, которое продолжает повторять попытки на том же соединении, само поддерживает свою блокировку, поэтому отключение и смена сервера дают лучший результат, чем непрерывные нажатия на кнопку переподключения. В статье измерялся QUIC. В наших собственных записях заблокированных сессий на основе WireGuard первая порция трафика проходила, а каждая следующая попытка пропадала; сколько длится такая блокировка, мы пока не замеряли.

Адреса получают баллы. Разработчик VPN рассказал «Медузе» в августе, что регулятор оценивает серверы примерно по 50 критериям, блокирует их при сумме выше 25 баллов и придаёт большой вес объёму трафика. Загруженный сервер набирает баллы быстрее.

На мобильных сетях решает список. В режиме белого списка волонтёрское сканирование, опубликованное в апреле, насчитало 63 126 доступных адресов у одного крупного оператора. Даже к ним UDP на портах 443, 53 и 51820 не получал ответа. «Коммерсантъ» привёл данные Vigo, согласно которым в июле 2026 года только 30,5% мобильных сессий в Центральном федеральном округе проходили без ограничений, а в приграничных Брянской, Курской и Белгородской областях 12%.

Из четырёх видов туннелей в таблице два ещё работали на фиксированной линии в конце сентября: Stealth WireGuard с нашими текущими приманками и прокси, замаскированные под HTTPS, на чистых адресах, причём второй вид только с перебоями. На мобильных сетях наши внутренние тесты подтвердили, что Stealth WireGuard подключается. В самом режиме белого списка не работает ничего. Строка о DNS важнее, чем кажется. Обе сентябрьские волны начались с приложений, которые не могли загрузить списки серверов, а приложение, которое ищет свои серверы через публичный резолвер, получает вместо этого ответ национального резолвера.

Ничто из этого не делает соединение невидимым. Сеть всё равно видит, что вы подключены к серверу за рубежом. Ни один российский закон не наказывает само использование VPN, но правила продолжают меняться; наша таблица российских законов о VPN отслеживает, кого связывает каждая норма.

Что Le VPN изменил в сентябре 2026 года?

Когда пришли сентябрьские волны, наши приложения уже получали свои пакеты-приманки с наших серверов. Во время волн мы проверили нашу текущую конфигурацию изнутри России, и внутренние тесты подтвердили, что Stealth WireGuard подключается и передаёт трафик как через мобильный, так и через фиксированный интернет. Тесты показали и то, что решает исход: перенос сервера на новый порт ничего не изменил, а форма пакета-приманки на результат повлияла. Вот что мы используем теперь.

1. Приманки, которые мы можем менять со своей стороны. Stealth WireGuard теперь отправляет пакеты-приманки перед рукопожатием, и их форма задаётся настройкой, которую приложения получают с наших серверов. Когда сеть научится распознавать одну форму, мы меняем её на стороне сервера, не дожидаясь проверки в магазине приложений.
2. Никаких форм WireGuard в канале. Сообщения рукопожатия несут дополнительные случайные байты и маскированные заголовки, поэтому фиксированные сообщения WireGuard размером 148 и 92 байта, по которым обычный WireGuard легко распознать, никогда не появляются.
3. Второй интерфейс на каждом сервере. С 28 сентября новое поколение работает рядом с первым на каждом сервере сети, с теми же ключами. Новейшие приложения подключаются к нему без новой настройки, остальные перейдут на него в следующих версиях, а приложения, оставшиеся на первом поколении, продолжают подключаться. Переключение всех сразу отрезало бы всех, кто не успел обновиться.
4. Менять помеченное, сохранять чистое. Каждый адрес сервера теперь проверяется по публичным чёрным спискам, среди них Spamhaus, Barracuda, DroneBL и AbuseIPDB. Адрес, попавший в список, из которого хостинговая компания не станет его убирать, заменяется, а локация сохраняет своё название. Только за последнюю неделю сентября несколько локаций переехали на новые адреса: одни потому, что старый адрес был помечен, другие потому, что старый сервер выводился из эксплуатации. Чистый адрес с долгой историей стоит сохранить, поэтому мы не меняем адреса ради самой смены.
5. Переезды, которых клиенты не замечают. Когда локация переезжает на новый адрес, мы обновляем список серверов, который загружают приложения, и DNS-имя локации, поэтому клиентам ничего не нужно менять. В Великобритании названия локаций указывают на пул серверов, и ответ меняется каждую минуту. Каждый адрес в пуле перепроверяется ежечасно, а адрес, не прошедший проверку, выпадает из пула сам.

Приманки, которые задаёт сервер, есть в приложениях для iPhone, iPad и Apple TV начиная с версии 3.2.1 (24 сентября). Приложение для Mac использует новый интерфейс начиная с версии 3.4.0 (28 сентября, прямая загрузка; версия для Mac App Store выйдет после проверки Apple), а приложения для iPhone, iPad, Apple TV и Apple Vision Pro перейдут на него в следующих версиях. Если Stealth WireGuard перестал работать там, где раньше работал, первым шагом стоит обновить приложение, а затем выбрать другой сервер.

Чего это не делает: это не помогает против мобильного белого списка или отключения, строк 10 и 11. Против них не помогает ничего. Цель скромнее, и она честная. Везде, где сеть ещё пропускает трафик за пределы страны, сервер Le VPN должен быть из неё доступен, а выбирать можно из серверов в более чем 100 локациях.

Что изменится дальше?

• Российское правило для хостинга. Закон «Антифрод 2.0», подписанный 26 июня 2026 года, запрещает российским хостинг-провайдерам обслуживать сервисы, которые дают доступ к заблокированным ресурсам, включая VPN-сервисы («Хакер», Право.ру), а проект третьего пакета, опубликованный 30 сентября, предусматривает для нарушителей запрет на российский хостинг на год. От того, как это правило будут применять, зависят строки 7 и 8.
• Плата за мобильный трафик в России. 23 сентября Би-би-си сообщила, как пересказала «Медуза», что правительство снова обсуждает плату за международный трафик свыше 50 ГБ в месяц в сетях 5G; источник в одном из операторов сказал, что дата начала и цена пока неизвестны, а в более ранней версии плана она составляла около 150 рублей за ГБ (Meduza). VPN не избавляет от платы, которая взимается со всего трафика, уходящего из страны.
• Фильтр на основе машинного обучения. План цифровизации Роскомнадзора, о котором стало известно в январе 2026 года, предусматривает 2,27 миллиарда рублей на фильтр трафика на основе машинного обучения, который, по ожиданиям экспертов, будет направлен против VPN («Хакер»). Независимых свидетельств его использования пока нет; июньскому поведению в строке 6 нейросеть не нужна.
• Приманки. Приманку, которая работает у одного оператора сегодня, могут научиться распознавать уже в следующем месяце. Когда это произойдёт, мы изменим её со своей стороны, а следующая версия для Vision Pro принесёт обновление и на гарнитуру.

Чтобы проверить, откуда, судя по всему, идёт ваш трафик после подключения, воспользуйтесь нашей проверкой IP-адреса.