Как установить двойной VPN: схемы, настройка и подводные камни

Что такое двойной VPN и зачем он нужен

Двойной VPN — это технология, при которой ваш интернет-трафик проходит последовательно через два VPN-сервера, прежде чем попасть в открытый интернет. В отличие от обычного VPN, где шифруется одно соединение, здесь создаётся цепочка из двух туннелей. Это обеспечивает двойное шифрование и маскировку IP-адреса дважды: сначала ваш реальный адрес скрывается за адресом первого сервера, а затем — за адресом второго.

Основная цель двойного VPN — повысить уровень приватности и безопасности. Если один сервер скомпрометирован или его логи анализируются, второй сервер не видит ваш реальный IP, а видит только адрес первого. Это усложняет отслеживание вашей активности и связывание входящего и исходящего трафика. Особенно это актуально в странах с жёстким интернет-контролем, где провайдеры и государственные органы могут анализировать метаданные подключений.

Важно понимать, что двойной VPN не означает использование двух разных VPN-сервисов одновременно. Чаще всего это цепочка серверов одного провайдера или самостоятельно настроенная связка. Некоторые сервисы называют это «мультиузловым VPN» или «VPN-цепочкой», и количество узлов может быть больше двух — три, четыре и более. Однако с каждым дополнительным узлом растёт задержка и падает скорость, поэтому на практике чаще используют именно два сервера.

Основные схемы двойного VPN: от простого к сложному

Существует несколько архитектурных схем, которые объединяют под термином «двойной VPN». Понимание различий поможет выбрать подходящий способ настройки.

VPN между серверами — самая распространённая схема. Клиент подключается к первому серверу, а тот уже имеет туннель ко второму. Весь трафик от клиента уходит через второй сервер. Промежуточные серверы могут быть соединены по любому протоколу — IPsec, GRE, IPIP, и даже без шифрования. В этой схеме промежуточные узлы видны в трассировке маршрута, и клиент не может проверить, как именно они соединены. Каждый промежуточный сервер имеет доступ к расшифрованному трафику, что снижает уровень доверия.

VPN через прокси — здесь клиент подключается к VPN-серверу, а тот использует прокси-сервер для выхода в интернет. Прокси не виден в трассировке, но трафик между VPN-сервером и прокси может быть не зашифрован. Этот способ часто применяется для маскировки VPN-трафика под обычный HTTP, например, в Китае.

VPN внутри VPN — самый «параноидальный» вариант. Клиент поднимает два VPN-туннеля одновременно, один внутри другого. Трафик шифруется дважды на стороне клиента, и промежуточные серверы не видят открытых данных. Однако это требует сложной настройки маршрутов и запуска VPN-клиентов в правильном порядке. Скорость падает значительно, так как накладные расходы на инкапсуляцию суммируются.

Раздельные точки входа и выхода на одном сервере — это упрощённый вариант, когда на одном VPS настроены два IP-адреса: один для подключения клиентов, другой для выхода в интернет. Технически это не двойной VPN, но даёт похожий эффект разделения адресов. Такой способ проще в настройке и быстрее, так как трафик терминируется на одном сервере.

Преимущества и недостатки двойного VPN

Преимущества:

• Повышенная конфиденциальность: второй сервер не видит ваш реальный IP, что затрудняет связывание входящего и исходящего трафика.
• Двойное шифрование: данные шифруются дважды, что делает перехват и расшифровку практически невозможными.
• Снижение риска корреляционных атак: даже если провайдер или злоумышленник анализирует трафик на одном сервере, он не сможет сопоставить его с вашим реальным адресом.
• Гео-маскировка: можно скрыть свой цифровой отпечаток за несколькими геолокациями, если использовать серверы в разных странах.

Недостатки:

• Снижение скорости: трафик проходит через два сервера и дважды шифруется, что увеличивает задержку и уменьшает пропускную способность. На практике скорость может упасть в два-три раза.
• Сложность настройки: особенно для схемы «VPN внутри VPN» или при использовании разных провайдеров.
• Стоимость: если вы используете платные VPN-сервисы, двойное подключение обычно стоит дороже, так как требует подписки на нескольких провайдеров или специального тарифа.
• Доверие к провайдеру: в схеме «VPN между серверами» промежуточные серверы имеют доступ к расшифрованному трафику, поэтому вы должны доверять провайдеру, что он не логирует данные.

Для большинства пользователей двойной VPN избыточен. Он оправдан для журналистов, активистов, людей, работающих с чувствительными данными, или тех, кто живёт в странах с тотальной слежкой. Если вам просто нужно скрыть IP от сайтов, достаточно обычного VPN.

Способы установки двойного VPN: готовые решения и самостоятельная настройка

Существует несколько способов организовать двойное VPN-соединение. Выбор зависит от ваших технических навыков, бюджета и требований к безопасности.

1. Встроенная функция в VPN-сервисе. Некоторые провайдеры (например, NordVPN, Surfshark) предлагают функцию MultiHop или Double VPN. Вы просто выбираете две страны в приложении, и трафик автоматически проходит через два сервера. Это самый простой способ, не требующий технических знаний. Однако вы ограничены серверами провайдера и не можете комбинировать его с другими сервисами.

2. Настройка на маршрутизаторе + VPN-клиент на устройстве. Вы устанавливаете VPN на роутер, а затем подключаетесь к другому VPN-сервису на своём компьютере или смартфоне. Трафик сначала идёт через VPN на роутере, затем через VPN на устройстве. Этот способ позволяет комбинировать разных провайдеров, но требует, чтобы роутер поддерживал VPN-клиенты.

3. Виртуальная машина. Устанавливаете VirtualBox, создаёте виртуальную ОС, подключаетесь к VPN на основной системе, а затем к другому VPN внутри виртуальной машины. Это даёт полный контроль и изоляцию, но требует мощного компьютера и базовых знаний.

4. Самостоятельная настройка на VPS. Арендуете два сервера (или один с двумя IP), настраиваете VPN-серверы вручную. Это самый гибкий и безопасный способ, но требует опыта в администрировании Linux. Подходит для тех, кто хочет полного контроля и не доверяет коммерческим VPN.

Пошаговая настройка двойного VPN на VPS: пример с IKEv2

Рассмотрим пример настройки двойного VPN с использованием одного VPS и двух IP-адресов. Этот способ описан в статье на Хабре и позволяет разделить точку входа и выхода без сложной цепочки серверов.

Шаг 1. Аренда VPS и покупка дополнительного IP. Вам понадобится сервер с двумя IPv4-адресами. Один будет точкой входа (для подключения клиентов), второй — точкой выхода (для выхода в интернет). Важно, чтобы провайдер позволял назначать несколько IP на один сервер.

Шаг 2. Настройка PTR-записей. Для удобства можно назначить PTR-записи (обратные DNS) на каждый IP. Например, для точки входа — good.citizen.vpn, для точки выхода — super.cool.guy.vpn. Это необязательно, но упрощает идентификацию.

Шаг 3. Установка StrongSwan и Certbot. Обновите систему и установите пакеты: apt update && apt upgrade, затем apt install certbot strongswan libstrongswan-extra-plugins.

Шаг 4. Выпуск сертификата Let's Encrypt. Для IKEv2 нужен доверенный сертификат. Выпустите его для домена, который указывает на IP точки входа: certbot certonly --standalone --agree-tos -d good.citizen.vpn. Скопируйте сертификаты в папки StrongSwan: /etc/ipsec.d/certs/, /etc/ipsec.d/private/, /etc/ipsec.d/cacerts/.

Шаг 5. Настройка StrongSwan. Отредактируйте /etc/ipsec.conf, указав параметры шифрования, диапазон внутренних IP для клиентов и DNS. В секции conn укажите leftid=good.citizen.vpn и leftsubnet=0.0.0.0/0.

Шаг 6. Создание пользователей. В файле /etc/ipsec.secrets добавьте логины и пароли для клиентов, а также укажите путь к приватному ключу.

Шаг 7. Проверка. Подключитесь к серверу через VPN-клиент, используя адрес точки входа. Затем проверьте внешний IP через curl ifconfig.co — он должен соответствовать адресу точки выхода.

Этот метод даёт эффект двойного VPN, но трафик не шифруется дважды. Он лишь разделяет адреса входа и выхода, что уже повышает приватность.

Настройка VPN-цепочки с разными провайдерами: WireGuard и OpenVPN

Если вы хотите использовать два разных VPN-сервиса, можно настроить цепочку вручную. Например, на Linux-системе можно поднять два туннеля: один через WireGuard, другой через OpenVPN. Сложность в том, чтобы правильно настроить маршрутизацию.

Проблема параллельных VPN. Когда вы поднимаете два VPN-соединения одновременно, они могут конфликтовать за маршрут по умолчанию. Если оба туннеля пытаются стать шлюзом по умолчанию, трафик может уходить через первый подключённый туннель, игнорируя второй. Чтобы этого избежать, нужно явно указать, какие подсети должны идти через каждый туннель.

Решение с AllowedIPs в WireGuard. В конфигурации WireGuard можно задать параметр AllowedIPs, который определяет, какие IP-адреса маршрутизируются через туннель. Например, для рабочего VPN укажите AllowedIPs = 10.0.0.0/8, 192.168.0.0/16, а для личного — AllowedIPs = 0.0.0.0/0. Тогда весь трафик, кроме рабочих подсетей, пойдёт через личный VPN.

Маршрут до второго VPN-сервера. Важно добавить статический маршрут до адреса второго VPN-сервера через локальный шлюз, чтобы трафик к нему не уходил через первый туннель. Например: route add -host x.x.x.x gw 192.168.1.1 metric 0 dev eth0.

Порядок запуска. Сначала поднимите первый VPN, затем добавьте маршрут до второго сервера, и только потом поднимайте второй VPN. Это гарантирует, что второй туннель установится через локальный интернет, а не через первый.

Инструменты для управления. Можно использовать скрипты или systemd-юниты для автоматизации запуска. Например, systemctl start wg-quick@profile1 и systemctl start openvpn@profile2. Убедитесь, что маршруты прописаны в скриптах после поднятия интерфейсов.

Как проверить, что двойной VPN работает корректно

После настройки важно убедиться, что трафик действительно проходит через оба сервера. Вот несколько методов проверки.

1. Проверка внешнего IP. Используйте сервисы типа ifconfig.co или 2ip.ru. Если вы настроили цепочку, внешний IP должен соответствовать адресу последнего сервера. Например, если вы подключаетесь к серверу в Германии, а выходите через сервер в Нидерландах, IP должен быть нидерландским.

2. Трассировка маршрута. Выполните traceroute до какого-либо сайта. Если в цепочке есть промежуточные VPN-серверы, они могут появиться в трассировке (если не скрыты). Однако в схеме «VPN внутри VPN» они не видны.

3. Проверка утечек DNS. Утечка DNS может раскрыть ваш реальный IP, даже если VPN работает. Используйте сервисы типа dnsleaktest.com, чтобы убедиться, что DNS-запросы идут через VPN-серверы.

4. Проверка WebRTC. В браузере WebRTC может раскрыть ваш реальный IP. Отключите WebRTC или используйте расширения для блокировки.

5. Сравнение скорости. Замерьте скорость до и после настройки двойного VPN. Если скорость упала более чем на 50%, возможно, стоит выбрать серверы ближе друг к другу или использовать более быстрый протокол.

Если какая-то проверка показывает ваш реальный IP, значит, конфигурация неверна. Проверьте маршруты и убедитесь, что весь трафик идёт через туннели.

Типичные ошибки при настройке двойного VPN и как их избежать

1. Конфликт маршрутов. Самая частая ошибка — оба VPN пытаются установить маршрут по умолчанию. Решение: используйте AllowedIPs в WireGuard или политику маршрутизации в OpenVPN, чтобы разделить трафик.

2. Неправильный порядок запуска. Если второй VPN поднимается до добавления маршрута к его серверу, он может установиться через первый туннель, создавая петлю. Всегда добавляйте маршрут до второго сервера перед его запуском.

3. Проблемы с MTU. Двойная инкапсуляция уменьшает MTU, что может вызывать фрагментацию пакетов и потерю скорости. Настройте MTU вручную (например, 1400 для WireGuard) или включите fragmentation=yes в StrongSwan.

4. Утечки DNS. Если DNS-запросы не идут через VPN, ваш реальный IP может быть раскрыт. Настройте DNS на стороне VPN-сервера и убедитесь, что клиент использует его.

5. Несовместимость протоколов. Некоторые VPN-клиенты не поддерживают одновременную работу с разными протоколами. Используйте универсальные инструменты, например, strongswan для IKEv2 и openvpn для OpenVPN.

6. Игнорирование файрвола. Если на сервере включён файрвол, он может блокировать трафик между туннелями. Настройте правила для разрешения трафика на внутренних интерфейсах.

Избегая этих ошибок, вы сможете настроить стабильное двойное VPN-соединение.

Стоит ли использовать двойной VPN: практические рекомендации

Двойной VPN — это мощный инструмент, но он не всегда оправдан. Прежде чем тратить время и деньги на настройку, оцените свои потребности.

Когда двойной VPN полезен:

• Вы живёте в стране с жёсткой цензурой и слежкой (например, Китай, Иран).
• Вы работаете с конфиденциальными данными и опасаетесь перехвата.
• Вам нужно скрыть факт использования VPN от провайдера.
• Вы хотите максимально затруднить связывание вашей активности в интернете.

Когда достаточно обычного VPN:

• Вы хотите обойти гео-блокировки (например, смотреть Netflix).
• Вам нужно скрыть IP от сайтов.
• Вы используете VPN для торрентов или онлайн-игр.

Рекомендации:

• Если вы новичок, начните с готового решения от VPN-провайдера (MultiHop). Это проще и надёжнее.
• Если вы продвинутый пользователь, настройте цепочку на VPS. Это даст больше контроля и гибкости.
• Всегда используйте платные VPN-сервисы. Бесплатные часто продают ваши данные или имеют уязвимости.
• Помните, что двойной VPN не делает вас анонимным на 100%. Ваш провайдер всё равно видит, что вы подключаетесь к VPN-серверу, а сайты могут отслеживать вас через cookies и другие методы.

В конечном счёте, выбор зависит от вашей модели угроз. Если вы не уверены, что вам нужен двойной VPN, скорее всего, он вам не нужен.

Вопросы и ответы