Чи працює VPN на 5G? Що 5G шифрує, що ні, і що кажуть цифри
Наберіть "чи працює VPN з 5G" у пошуковику, і більшість відповідей змарнує ваш час, бо чесна відповідь вкладається в одне речення: так, VPN працює на 5G, як на будь-якому інтернет-з'єднанні, оскільки тунель не знає і не зважає, яке радіо несло його пакети. Питання, варті сторінки, лежать нижче: що 5G вже шифрує без жодного VPN, що він лишає відкритим і чи коштує тунелювання тієї швидкості, за яку ви купили 5G тариф. На них є точні відповіді зі специфікацій, і це рідко ті відповіді, що їх дає VPN маркетинг.
Що 5G вже шифрує і що насправді додає VPN?
Дизайн безпеки 5G, записаний у 3GPP TS 33.501, виправив ганебні місця 4G і 2G. Він також закінчується рівно на краю мережі оператора. Таблиця розкладає кожен шар: що захищає стандарт, що досі бачить ваш оператор і що змінюється, коли увімкнено VPN.
| Шар | Що захищає сам 5G | Що досі бачить оператор | Що змінює VPN |
|---|---|---|---|
| Радіоканал (телефон до базової станції) | Шифрується на рівні PDCP сучасними алгоритмами (TS 33.501): перехоплення вмісту в ефірі переможене | Усе, бо шифрування завершується на власному обладнанні оператора | Нічого нового в ефірі; тунель їде всередині вже зашифрованих радіокадрів |
| Захист ваших даних від підробки | Повношвидкісна цілісність підтримується з Release 16, але активація це політика оператора на сесію; до Rel-16 телефони мусили підтримувати її лише до 64 кбіт/с | н/д | Тунель приносить власний захист цілісності незалежно від політики оператора |
| Ваша ідентичність в ефірі | Постійний ідентифікатор абонента (SUPI) ніколи не передається відкрито; він іде як зашифрований SUCI, який може відкрити лише домашня мережа | Оператор точно знає, хто ви; це він видав SIM | Нічого; VPN не торкається ідентичності на рівні SIM |
| Пониження до 4G/3G/2G | Не захищено. Атаки на пониження, продемонстровані дослідниками у 2023 і знову зі Sni5Gect у 2025, скидають телефони на застарілі мережі, де повертаються перехоплення IMSI та слабкі чи нульові шифри | Після пониження фальшива базова станція отримує IMSI | Справжня прогалина, яку закриває VPN: вміст тунелю лишається зашифрованим навіть у ворожій застарілій мережі |
| DNS запити | Специфікаціями 5G взагалі не покрито | Кожен домен, який ви шукаєте, на резолвері оператора | DNS переїжджає всередину тунелю до резолверів VPN провайдера; оператор не бачить нічого з цього |
| IP призначення та імена хостів (SNI) | Не захищено; 5G шифрує радіоділянку, а потім віддає звичайні IP пакети в опорну мережу | Кожен сервер, до якого ви підключаєтеся, з іменами хостів через SNI | Оператор бачить одну кінцеву точку: VPN сервер |
| Вміст застосунків (HTTPS) | Не той рівень; TLS захищає вміст з кінця в кінець у будь-якій мережі | Лише метадані: хто, коли, скільки | Жодної додаткової секретності вмісту поверх TLS; він ховає саме метадані |
| Класифікація трафіку та тротлінг | Нічого; оператори класифікують потоки і формують їх. Проєкт Wehe у тестах 2018 року заміряв Netflix на 1,77 Мбіт/с в американського оператора, тоді як інший трафік ішов майже вчетверо швидше | Тип потоку, через SNI, IP та DPI | Правила за класами не можуть зачепити тунельований трафік, хоча оператор усе ще може сповільнити весь VPN трафік чи депріоритизувати за обсягом |
| Роумінгові стики та законне перехоплення | Слабко щодо першого (ENISA попереджала, що вади ери SS7 та Diameter зберігаються на стиках); друге закладене в опорну мережу за дизайном | Ризик запитів розташування та перехоплення SMS на стиках; повні метадані всередині країни | Вміст даних, що перетинає стики, лишається зашифрованим; відстеження розташування на рівні сигналізації та SIM ідентичність не зачеплені |
Прочитайте середню колонку таблиці згори донизу, і її підсумує одне речення: 5G розв'язав радіоперехоплення і лишив усе за базовою станцією рівно таким же видимим, як на 4G. Звідси чисте визначення, якого потребує ця тема: на 5G VPN це не захист від радіоперехоплення, який стандарт уже дає; це вибір того, хто бачить метадані вашого трафіку, з перенесенням цієї видимості від мобільного оператора до VPN провайдера.
Чи сповільнює VPN 5G?
Тут чесній відповіді потрібні два числа, які майже ніколи не з'являються на одній сторінці: що 5G реально видає і що можуть нести VPN протоколи. Польового бенчмарку "VPN через 5G" у публічній літературі не існує, тож коректний метод це порівняти виміряні медіани операторів з виміряними стелями протоколів.
| Доказ | Показник | Джерело |
|---|---|---|
| Медіанне завантаження 5G у США, найшвидший оператор | 299,36 Мбіт/с (H1 2025), 309,41 Мбіт/с (H2 2025), T-Mobile | Ookla Speedtest Intelligence |
| Медіанне завантаження 5G у США, інші оператори | Verizon близько 215 Мбіт/с, AT&T 158,56 Мбіт/с (H1 2025) | Та сама звітність Ookla |
| Найшвидші мобільні медіани світу | ОАЕ 546,14 Мбіт/с, Катар 517,44 Мбіт/с; США 14-ті зі 165,57 Мбіт/с (мобільний зв'язок усіх технологій) | Ookla Global Index, червень 2025 |
| Найшвидші оператори 5G глобально | KT і SK Telecom понад 460 Мбіт/с завантаження в 5G, за підсумком GSA даних Opensignal | GSA, лис 2025 |
| WireGuard проти OpenVPN, той самий гігабітний стенд | WireGuard наситив канал 1 Гбіт/с; OpenVPN досяг приблизно його чверті | Бенчмарк проєкту WireGuard |
| Академічне підтвердження | WireGuard лідирував у тестах пропускної здатності на швидкому залізі; OpenVPN упирався в одне ядро процесора | IFIP Networking 2020 |
Складіть дві половини таблиці разом, і висновок напишеться сам: медіана 5G найшвидших операторів сидить вище 460 Мбіт/с, медіана мобільного зв'язку всіх технологій найшвидшої країни близько 546 Мбіт/с, американські медіани йдуть від 160 до 310 Мбіт/с, а стеля WireGuard на звичайному залізі сидить біля повного гігабіта, втричі вище найкращої американської медіани. Із сучасним протоколом тунель просто не є вузьким місцем; очікуйте накладних витрат у кілька відсотків. Єдиний протокол, що може помітно обрізати швидке 5G з'єднання, це OpenVPN, чий одноядерний дизайн упирається в кілька сотень Мбіт/с на типовому залізі, нижче того, що тепер видає добра 5G сота. Два чесні застереження: далекий чи перевантажений VPN сервер додає затримку, яку не виправить жоден протокол, і це лабораторні стелі проти польових медіан, а не спільний польовий тест, бо такого не опубліковано.
Які проблеми ери 5G VPN справді розв'язує?
Три, і вони конкретніші за маркетингову версію. Вразливість до пониження: ваш телефон каже 5G, але дослідники раз у раз демонструють тихе скидання на 4G і навіть 2G, де досі працюють IMSI перехоплювачі та нульові шифри; шифруванню тунелю байдуже, яке покоління мережі під ним. Тротлінг за класом трафіку: вимірювання Wehe 2018 року задокументували, як оператори сповільнюють відеопотоки за класом трафіку, а класифікатор не може сортувати те, чого не може прочитати, хоча ніщо не заважає оператору депріоритизувати весь тунельований трафік. І CGNAT: більшість мобільних операторів за замовчуванням ставлять користувачів 5G за carrier-grade NAT, зі спільними публічними IPv4 адресами і зламаними вхідними з'єднаннями, пробросом портів та деякими peer-to-peer сценаріями; VPN з'єднання з виділеним чи прокинутим виходом повертає вхідну досяжність і стабільну адресу. Щодо самих протоколів, Le VPN пропонує WireGuard поряд з OpenVPN та IKEv2, і на 5G перший варто обирати зі швидкісних причин, описаних вище.
Чого VPN не виправляє на 5G?
Чотири речі, сказані без ухилянь. Ваша SIM ідентичність: оператор її видав і завжди знає абонента, з тунелем чи без. Розташування за вежами: радіоприсутність вашого телефону локалізує вас для мережі незалежно від будь-якого трафіку. Відстеження на рівні сигналізації через роумінгові стики, що працює нижче IP рівня, який займає VPN. І метадані самого тунелю: оператор бачить, що ви підключаєтеся до VPN кінцевої точки, коли і скільки, навіть не бачачи нічого всередині; що станеться з цим спостереженням далі, залежить від законів там, де ви є, правової клаптикової ковдри, яка різниться так само різко, як показують британська ера перевірок віку і південнокорейський режим блокувань.
Що зміниться далі
Три справи, варті дати в календарі. Standalone ядра 5G далі поширюються, що переносить роумінг зі застарілого стеку Diameter і поступово закриває слабкості стиків, на які вказувала ENISA. Повношвидкісна цілісність користувацьких даних, виправлення Release 16 для 64-кбітного конфузу, досі залежить від того, чи ввімкнуть її оператори, а публічної документації про те, хто ввімкнув, бракує. А література про атаки пониження щороку накопичується, і робота Sni5Gect 2025 року показала ін'єкцію без фальшивої базової станції, тож єдина прогалина 5G, яку VPN закриває впритул, найближчим часом не закриється. Ми оновимо медіани швидкості, коли вийде наступний цикл Ookla.
Про автора
Редактор блогу Le VPN
Алан Саммерс уже багато років пише та редагує статті для блогу Le VPN, висвітлюючи теми онлайн-конфіденційності, кібербезпеки та найкращих способів використання VPN. Він уважно стежить за новинами, що впливають на свободу в інтернеті, та перетворює їх на практичні поради для читачів Le VPN.
Статті автора Alan Summers →
