Гиды
Kill switch блокирует весь интернет-трафик в тот момент, когда VPN-туннель рвётся, — чтобы приложения не переползли тихо на обычное подключение. Без него даже двухсекундный обрыв показывает миру ваш настоящий IP-адрес. Но даже при поднятом туннеле мимо него могут утекать DNS-запросы, WebRTC в браузере и IPv6-трафик. У каждой утечки есть простой тест и простое лечение.
Когда VPN-соединение рвётся, операционная система тихо пускает трафик через обычный интерфейс. Приложения продолжают работать, и ничто вас не предупреждает. Kill switch превращает «открыто при сбое» в «закрыто при сбое»: нет туннеля — нет трафика.
DNS-запросы могут уходить на резолвер провайдера мимо туннеля, WebRTC — выдавать сайтам ваши адреса, а IPv6 — обходить туннель, рассчитанный только на IPv4. И всё это — пока значок VPN говорит «подключено».
Верить экранам настроек не обязательно. Тест утечек показывает, какие адреса и резолверы сайты видят на самом деле, а намеренный обрыв туннеля — держит ли kill switch.
Соединение падает в открытое состояние. VPN добавляет маршруты, которые заворачивают трафик в виртуальный сетевой интерфейс. Когда процесс туннеля умирает или отваливается по таймауту, эти маршруты исчезают, а маршрут по умолчанию через Wi-Fi или Ethernet остаётся — и система продолжает доставлять пакеты, теперь напрямую через провайдера. Приложения пересоздают сокеты за секунды и шлют трафик с вашего настоящего IP — без единого диалога с ошибкой.
Обрывы — рутина. Переход с Wi-Fi на мобильные данные, ноутбук, проснувшийся из сна, капризная гостиничная сеть, перезапуск VPN-сервера — всё это рвёт туннель на мгновение. Во что это мгновение обойдётся, зависит от того, разрешено ли чему-нибудь покидать устройство, пока туннель лежит.
Kill switch — это набор правил файрвола, а не магия. Строгая версия разрешает только два вида исходящего трафика: пакеты, входящие в интерфейс туннеля, и собственные зашифрованные пакеты VPN-клиента к серверу. Если туннель упал, трафику приложений просто некуда деваться, пока он не вернётся.
Это меняет режим отказа, а не предотвращает отказы. С kill switch обрыв превращается в паузу соединения, которую вы замечаете; без него — в трафик с вашего настоящего адреса, которого вы не замечаете. Сети несовершенны, и туннель всё равно будет рваться — «закрыто при сбое» делает эти моменты безвредными.
Разница — в том, что происходит, когда умирает само приложение. Kill switch внутри приложения — это код VPN-клиента, который следит за туннелем и блокирует трафик при обрыве. Он работает, только пока клиент запущен: если клиент упал или его убил оптимизатор батареи, защита умирает вместе с ним — ровно в тот момент, когда исчезает туннель.
Kill switch системного уровня прописывает правила в файрвол самой операционной системы, который проверяет каждый исходящий пакет независимо от того, какие приложения запущены. В Android это встроено: постоянный VPN плюс блокировка соединений без VPN заставляют саму ОС отказывать трафику вне туннеля — даже до старта приложения после перезагрузки. Грубый способ отличить одно от другого: принудительно убейте VPN-приложение во время сёрфинга — если страницы всё ещё грузятся, переключатель живёт в приложении.
Утечка DNS означает, что ваши запросы имён уходят на резолвер, выданный локальной сетью, — обычно провайдерский, — хотя сам трафик едет по туннелю. Сайты видят VPN-адрес, но резолвер получает имя каждого сайта, который вы открываете, а это, по сути, журнал сёрфинга. Классический виновник — Windows: с несколькими активными интерфейсами она может опрашивать все параллельно и брать тот ответ, что пришёл первым.
Лечение из двух частей, и хороший клиент делает обе: направить систему на резолвер внутри туннеля и заблокировать DNS на всех остальных интерфейсах, чтобы шальному запросу было некуда идти. Потом проверить: прогоните тест утечек и посмотрите на список резолверов — если хоть один принадлежит вашему провайдеру, запросы утекают.
WebRTC — браузерная технология видеозвонков, и вызвать её может любой сайт парой строк JavaScript. Чтобы устанавливать прямые соединения, она собирает все адреса, по которым можно дотянуться до вашей машины: локальные и, спросив STUN-сервер, публичный. Страница может прочитать этих кандидатов без вашего участия.
С туннелем на всё устройство STUN-запрос едет внутри туннеля и обнаруживает адрес VPN. Опасны частичные схемы: прокси только для браузера или split tunneling, оставивший браузер снаружи, — там UDP-пакеты WebRTC выходят напрямую и раскрывают ваш настоящий IP.
Проверяйте, а не рассуждайте: наш бесплатный тест на /webrtc-leak-test/ показывает, какие адреса ваш браузер раскрывает прямо сейчас. Если среди них настоящий — переходите на туннель для всего устройства или отключите WebRTC в настройках браузера.
Многие VPN-конфигурации возят только IPv4. Если провайдер выдаёт ещё и IPv6 — а большинство мобильных сетей выдаёт, — система сохраняет рабочий IPv6-маршрут вне туннеля, а современные системы предпочитают IPv6, когда сайт поддерживает оба. Результат — выборочная засветка: сайты без IPv6 видят адрес VPN, сайты с ним — ваш настоящий, а тест только по IPv4 рапортует, что всё в порядке.
Чистых решений два. Лучшее — VPN, который правильно обращается с IPv6: туннелирует его вместе с IPv4 или ставит блокирующий маршрут, чтобы IPv6-пакеты отбрасывались, а не шли напрямую. Грубый запасной вариант — отключить IPv6 на устройстве или роутере. В любом случае проверьте: тест утечек не должен показывать ни одного IPv6-адреса, который не принадлежит VPN.
Гоняйте проверки в тех условиях, где реально живёте, — домашний Wi-Fi, телефон на мобильных данных, сеть кафе, — потому что утечки зависят от настройки DNS и наличия IPv6 в каждой конкретной сети. Вся процедура занимает минут пять:
Туннель на роутере защищает все устройства сети разом — включая телевизоры, приставки и умные колонки, на которые приложение не поставить. Компромиссы реальны: скорость упирается в процессор роутера, весь дом выходит через одну страну, а отладка усложняется. Этот гид разбирает схемы и помогает решить.
В дороге VPN шифрует трафик в Wi-Fi отелей и аэропортов, оставляет ваши аккаунты выглядящими так, будто они подключаются из привычной страны, и дотягивается до сервисов, которые за границей ведут себя иначе. Панацеей он не является: стриминговые платформы распознают адреса серверов, а местные правила различаются по странам. Главное правило одно — настроить и проверить всё до отъезда.
VPN (виртуальная частная сеть) строит зашифрованный туннель между вашим устройством и удалённым сервером, и в интернет ваш трафик выходит уже с этого сервера. Провайдер перестаёт видеть, какие сайты вы открываете, а сайты видят IP-адрес сервера вместо вашего. Это инструмент приватности, а не шапка-невидимка.
