Два VPN-туннеля: что это, зачем нужно и как настроить

Что такое двойной VPN-туннель и как он работает

Двойной VPN-туннель (или MultiHop) — это технология, при которой ваш интернет-трафик проходит через два VPN-сервера последовательно, прежде чем попасть в открытый интернет. Каждый сервер добавляет свой уровень шифрования, и в итоге данные оказываются защищены двойным шифрованием.

Схема работы выглядит так: ваше устройство → первый VPN-сервер → второй VPN-сервер → целевой сайт. Первый сервер шифрует данные и меняет ваш IP-адрес, второй сервер получает уже зашифрованный трафик и не видит ваш реальный IP, а только адрес первого сервера. Это создает дополнительный уровень анонимности, так как ни один из серверов не знает одновременно и ваш реальный IP, и конечный пункт назначения.

Важно понимать, что двойной VPN — это не просто два последовательных подключения к одному и тому же серверу. Это именно цепочка из двух разных серверов, обычно расположенных в разных странах. Такая конфигурация позволяет скрыть факт использования VPN от интернет-провайдера и от сайтов, которые вы посещаете, а также защитить данные даже в том случае, если один из серверов окажется скомпрометирован.

Двойной VPN против VPN поверх VPN: ключевые отличия

Часто путают два понятия: двойной VPN и VPN поверх VPN. Хотя оба подразумевают использование двух VPN-серверов, между ними есть принципиальная разница.

Двойной VPN — это функция, встроенная в один VPN-сервис. Например, Surfshark MultiHop автоматически связывает два сервера в пару, и весь трафик идет через них внутри единой инфраструктуры. Это обеспечивает более эффективную маршрутизацию и меньшее падение скорости, так как серверы оптимизированы для совместной работы.

VPN поверх VPN — это когда вы запускаете два разных VPN-приложения одновременно, например, NordVPN поверх ExpressVPN. В этом случае создается туннель внутри туннеля, что может привести к конфликтам маршрутизации, утечкам данных и даже к аварийному отключению обоих VPN. VPN-сервисы не предназначены для совместной работы, и при запуске двух клиентов одновременно они могут создавать конфликтующие записи в таблице маршрутизации, что нарушает передачу трафика.

Кроме того, VPN поверх VPN часто приводит к значительному снижению скорости, так как каждый уровень шифрования и маршрутизации добавляет задержку. В худшем случае оба VPN могут вообще перестать работать, активируя функцию Kill Switch, которая блокирует интернет-соединение при сбое VPN.

Поэтому, если вам нужна двойная защита, лучше использовать встроенную функцию MultiHop, а не пытаться комбинировать два разных сервиса.

Когда двойной VPN действительно необходим

Двойной VPN — это не универсальное решение для всех. В большинстве повседневных сценариев, таких как просмотр веб-страниц, использование социальных сетей или онлайн-банкинг, достаточно одного VPN-сервера. Двойное шифрование может быть излишним и только замедлит соединение.

Однако есть ситуации, когда двойной VPN становится оправданным:

• Повышенные требования к анонимности: если вы хотите максимально скрыть свою активность в интернете от провайдера, рекламных сетей и правительственных структур, двойной VPN создает дополнительный барьер.
• Работа с конфиденциальными данными: журналисты, активисты, юристы и врачи, которые передают чувствительную информацию, могут использовать двойной VPN для защиты своих источников и данных.
• Обход жесткой цензуры: в странах с тотальной интернет-цензурой двойной VPN может помочь обойти блокировки, так как трафик проходит через несколько серверов, и его сложнее обнаружить.
• Защита от отслеживания: если вы хотите избежать профилирования со стороны рекламных сетей и аналитических систем, двойной VPN затрудняет сбор данных о вас.

Важно понимать, что двойной VPN не является панацеей. Он не защищает от вредоносных программ, фишинга или социальной инженерии. Это лишь инструмент для повышения конфиденциальности и безопасности на уровне сети.

Когда от двойного VPN лучше отказаться

Несмотря на преимущества, двойной VPN имеет и существенные недостатки, из-за которых в некоторых случаях его использование нецелесообразно.

• Скорость соединения: прохождение трафика через два сервера увеличивает задержку и снижает пропускную способность. Это особенно заметно при потоковом видео, онлайн-играх и видеозвонках. Если для вас важна скорость, лучше использовать обычный VPN.
• Совместимость: не все сайты и сервисы корректно работают при подключении через двойной VPN. Некоторые могут блокировать трафик, который выглядит подозрительным из-за множественных переходов.
• Сложность настройки: хотя современные VPN-клиенты делают двойное подключение простым, в некоторых случаях требуется ручная настройка, которая может быть сложной для неопытных пользователей.
• Избыточность: для большинства повседневных задач, таких как проверка почты, чтение новостей или покупки в интернет-магазинах, одного уровня шифрования AES-256 или ChaCha20 более чем достаточно. Двойное шифрование не добавляет значительной защиты, но заметно снижает скорость.

Таким образом, двойной VPN — это инструмент для особых случаев, а не для ежедневного использования. Прежде чем включать его, оцените, действительно ли вам нужна такая степень защиты, и готовы ли вы пожертвовать скоростью.

Как настроить двойной VPN в Surfshark MultiHop

Surfshark — один из популярных VPN-сервисов, который предлагает функцию MultiHop для создания двойного VPN-туннеля. Настройка занимает всего несколько шагов.

1. Установите приложение Surfshark на ваше устройство и войдите в свою учетную запись.
2. На главном экране приложения найдите раздел MultiHop (обычно он расположен под строкой поиска).
3. Выберите одну из предложенных пар серверов или создайте свою собственную, используя функцию Dynamic MultiHop.
4. Нажмите кнопку подключения, и Surfshark автоматически установит двойное VPN-соединение.

Dynamic MultiHop позволяет выбирать любые серверы из сети Surfshark и связывать их в пары. Это дает возможность адаптировать конфигурацию под ваши конкретные потребности. Например, вы можете выбрать сервер в одной стране для первого хопа и сервер в другой стране для второго.

Важно отметить, что Surfshark использует технологию Nexus, которая объединяет все серверы в единую сеть. Это обеспечивает более стабильное и быстрое соединение по сравнению с традиционными двойными VPN-конфигурациями.

Настройка двух VPN-туннелей на уровне сети: Site-to-Site IPsec

Двойной VPN-туннель может использоваться не только для защиты отдельного устройства, но и для соединения двух офисов или сетей. В этом случае говорят о Site-to-Site VPN, когда два маршрутизатора создают защищенный туннель между собой.

Например, на маршрутизаторах TP-Link (таких как TL-ER6120 и TL-R600VPN) можно настроить IPsec VPN-туннель. Процесс включает несколько этапов:

1. Убедитесь, что оба маршрутизатора имеют доступ в интернет и знают WAN-IP-адреса друг друга.
2. Настройте параметры IKE (Internet Key Exchange): алгоритмы аутентификации (например, MD5), шифрования (например, 3DES) и группу Диффи-Хеллмана (например, DH2). Эти параметры должны совпадать на обоих устройствах.
3. Создайте политику IPsec, указав локальную и удаленную подсети, а также удаленный шлюз (WAN-IP другого маршрутизатора).
4. Укажите предварительный общий ключ (Pre-shared Key) и время жизни ассоциации безопасности (SA Lifetime).
5. Активируйте туннель и проверьте его работоспособность.

Такая конфигурация позволяет объединить две локальные сети в единое защищенное пространство, что удобно для компаний с несколькими офисами. Однако настройка требует определенных технических знаний и внимательности, так как ошибки в параметрах могут привести к неработоспособности туннеля.

Два VPN-туннеля в Windows: туннель устройства и пользовательский туннель

В операционных системах Windows 10 и Windows 11 существует технология AlwaysOn VPN, которая поддерживает два типа туннелей: туннель устройства и пользовательский туннель. Эти туннели могут работать одновременно и независимо друг от друга.

Туннель устройства устанавливается до входа пользователя в систему и используется для управления устройством, например, для применения групповых политик или установки обновлений. Он поддерживает только протокол IKEv2 и требует сертификата для аутентификации. Туннель устройства не поддерживает принудительное туннелирование, поэтому его необходимо настраивать как разделенный туннель.

Пользовательский туннель подключается после входа пользователя и позволяет получить доступ к корпоративным ресурсам. Он поддерживает протоколы SSTP и IKEv2 и может использовать различные методы аутентификации.

Настройка туннеля устройства выполняется с помощью XML-профиля и PowerShell-скриптов. В профиле необходимо указать адрес VPN-сервера, протокол IKEv2, метод аутентификации (сертификат) и политику маршрутизации (SplitTunnel). Также можно настроить фильтры трафика, чтобы ограничить туннель только управляющим трафиком.

Использование двух туннелей одновременно позволяет разделить пользовательский и управляющий трафик, что повышает безопасность и управляемость корпоративной сети.

Безопасность и ограничения двойного VPN

Двойной VPN обеспечивает более высокий уровень безопасности по сравнению с одиночным VPN, но не является абсолютной защитой. Важно понимать его ограничения.

• Двойное шифрование: данные шифруются дважды, что делает их практически невозможными для расшифровки без ключей. Однако это не защищает от атак на конечные точки, такие как вредоносное ПО на вашем устройстве.
• Анонимность: второй сервер не видит ваш реальный IP, но видит IP первого сервера. Если первый сервер скомпрометирован, ваша анонимность может быть раскрыта.
• Утечки DNS: при неправильной настройке возможны утечки DNS-запросов, которые могут раскрыть вашу активность. Современные VPN-клиенты обычно предотвращают это, но стоит проверять.
• Kill Switch: функция аварийного отключения может быть полезна, но при использовании двух VPN-клиентов одновременно она может срабатывать ложно, блокируя интернет.

Также стоит отметить, что двойной VPN не скрывает факт использования VPN. Если ваш провайдер или сайт использует технологии обнаружения VPN, он может определить, что вы используете VPN, даже с двойным шифрованием. Для обхода цензуры может потребоваться обфускация (маскировка VPN), которая скрывает сам факт использования VPN.

Сравнение двойного VPN с другими технологиями анонимности

Помимо двойного VPN, существуют и другие технологии для повышения анонимности и безопасности в интернете. Рассмотрим их сравнение.

Onion Over VPN — это технология, которая направляет трафик через сеть Tor (луковую сеть) поверх VPN-соединения. В этом случае трафик проходит через три и более узлов, каждый из которых добавляет свой уровень шифрования. Это обеспечивает более высокую анонимность, чем двойной VPN, но значительно снижает скорость. Onion Over VPN также позволяет получить доступ к скрытым сервисам в сети Tor.

Обфускация VPN — это технология, которая маскирует VPN-трафик под обычный интернет-трафик, чтобы обойти блокировки VPN. Она не добавляет дополнительных уровней шифрования, но скрывает сам факт использования VPN. Это полезно в странах с жесткой цензурой.

Цепочка VPN — это общее понятие, которое включает в себя и двойной VPN, и VPN поверх VPN, и использование трех и более серверов. Чем больше серверов в цепочке, тем выше анонимность, но и тем ниже скорость.

Выбор конкретной технологии зависит от ваших задач. Если вам нужна максимальная анонимность и вы готовы пожертвовать скоростью, выбирайте Onion Over VPN. Если вам нужно обойти цензуру — обфускацию. Если вам нужен баланс между безопасностью и скоростью — двойной VPN.

Как выбрать VPN-сервис с поддержкой двойного туннеля

Если вы решили использовать двойной VPN, важно выбрать сервис, который предоставляет эту функцию. Вот несколько критериев, на которые стоит обратить внимание.

• Наличие функции MultiHop: не все VPN-сервисы поддерживают двойное подключение. Убедитесь, что выбранный провайдер предлагает такую возможность.
• Количество серверов и их расположение: чем больше серверов в разных странах, тем больше вариантов для создания пар. Это позволяет выбирать оптимальные маршруты.
• Скорость соединения: двойной VPN всегда снижает скорость, но некоторые сервисы оптимизируют свои серверы для минимизации потерь. Изучите отзывы и результаты тестов.
• Политика конфиденциальности: выбирайте сервисы с политикой отсутствия логов, чтобы ваши данные не хранились.
• Поддержка протоколов: убедитесь, что сервис поддерживает современные протоколы, такие как WireGuard, IKEv2 или OpenVPN.
• Цена: двойной VPN обычно доступен в более дорогих тарифах, но некоторые сервисы включают его в базовый пакет.

Также обратите внимание на наличие функции Dynamic MultiHop, которая позволяет выбирать серверы вручную, а не только использовать предустановленные пары. Это дает больше гибкости в настройке.

Вопросы и ответы