Двойной VPN: как настроить подключение с двумя ключами и раздельными точками входа и выхода

Что такое двойной VPN и зачем он нужен

Двойной VPN — это схема, при которой ваш интернет-трафик проходит через два VPN-сервера последовательно, прежде чем попасть в открытый интернет. В отличие от обычного VPN, где трафик шифруется один раз и выходит через один сервер, здесь добавляется второй уровень шифрования и второй IP-адрес. Это не означает, что используется более сложный алгоритм шифрования (например, AES-512 вместо AES-256), просто данные обрабатываются дважды: сначала шифруются для первого сервера, затем расшифровываются на нём, снова шифруются для второго сервера и так далее.

Основная цель двойного VPN — повысить приватность и затруднить отслеживание. Когда вы подключаетесь к первому серверу, он видит ваш реальный IP-адрес, но не видит, какие сайты вы посещаете (трафик зашифрован). Второй сервер видит только IP первого сервера и уже расшифрованный трафик, но не знает ваш реальный адрес. Таким образом, ни один из серверов не обладает полной картиной: первый знает, кто вы, но не знает, что вы делаете; второй знает, что вы делаете, но не знает, кто вы. Это снижает риск атак корреляции трафика, когда злоумышленник сопоставляет входящие и исходящие соединения.

Двойной VPN часто называют VPN-цепочкой, каскадным VPN или мультиузловым VPN, если серверов больше двух. Такие схемы используются журналистами, активистами, а также обычными пользователями, которые хотят максимально защитить свои данные от слежки со стороны провайдера или государственных органов. Однако важно понимать, что двойной VPN не делает вас полностью анонимным — он лишь усложняет задачу тем, кто пытается вас отследить.

Модель угроз: от чего защищает разделение IP-адресов

Чтобы понять ценность двойного VPN, нужно рассмотреть модель угроз. Провайдеры и государственные органы часто хранят так называемые Netflow-данные — записи о том, какой IP-адрес подключался к какому IP-адресу в определённое время. Эти данные не содержат содержимого трафика, но позволяют установить факт соединения. Если вы используете обычный VPN, ваш провайдер видит, что вы подключились к IP-адресу VPN-сервера. Если этот сервер принадлежит известному VPN-провайдеру, то по косвенным признакам (например, по времени и объёму трафика) можно предположить, что вы используете VPN.

При использовании двойного VPN с раздельными точками входа и выхода ситуация меняется. Вы подключаетесь к первому серверу (точка входа), а выходите в интернет через второй сервер (точка выхода). Для наблюдателя, который следит за вашим подключением, вы просто соединяетесь с IP-адресом первого сервера. Второй сервер, через который вы выходите в интернет, не связан с первым в глазах наблюдателя, если только он не контролирует оба сервера. Таким образом, даже если провайдер записывает все ваши подключения, он не сможет связать ваш реальный IP с конечным IP-адресом, с которого вы заходите на сайты.

Однако стоит помнить, что если вы используете один и тот же VPN-провайдер для обоих серверов, он может видеть всю цепочку. Поэтому для максимальной приватности рекомендуется использовать серверы разных провайдеров или собственные серверы, которые вы контролируете. Также важно учитывать, что двойной VPN не защищает от анализа трафика на основе временных закономерностей: если вы постоянно выходите в интернет в одно и то же время и с одинаковой интенсивностью, злоумышленник может сопоставить ваши сессии.

Типовые схемы двойного VPN: от цепочек до VPN внутри VPN

Существует несколько способов организовать двойное VPN-соединение. Самый распространённый — VPN между серверами: клиент подключается к первому серверу, на котором настроен туннель ко второму серверу. Весь трафик от клиента уходит на первый сервер, затем по туннелю передаётся на второй, и только оттуда попадает в интернет. Промежуточных серверов может быть несколько. Туннель между серверами может использовать другой протокол, например IPsec, или вообще не шифроваться (GRE, IPIP). В этом случае промежуточные серверы видны в трассировке маршрута, и они имеют доступ к расшифрованному трафику клиента, если туннель не шифруется.

Второй вариант — VPN через прокси. Здесь клиент подключается к VPN-серверу, а тот перенаправляет трафик через прокси-сервер. Это часто используется для маскировки VPN-трафика под обычный HTTP, например, в странах с жёсткой цензурой. Прокси-сервер не виден в трассировке, но он видит расшифрованный трафик.

Третий вариант — VPN внутри VPN. Это самый параноидальный и медленный способ: на клиенте поднимаются два VPN-туннеля, один внутри другого. Например, вы сначала подключаетесь к первому VPN-серверу, а затем внутри этого туннеля устанавливаете второе VPN-соединение ко второму серверу. В этом случае промежуточные серверы не видят ваш реальный IP и не имеют доступа к расшифрованному трафику, потому что данные зашифрованы дважды. Однако это сильно снижает скорость и увеличивает задержки, так как каждый пакет обрабатывается дважды.

Наконец, существует схема с раздельными IP-адресами на одном сервере. Это самый простой и быстрый способ, который мы подробно рассмотрим далее. Суть в том, что на одном виртуальном сервере настраиваются два IP-адреса: один для входящих подключений (точка входа), другой для исходящего трафика (точка выхода). Клиент подключается к первому адресу, а весь трафик выходит через второй. Это даёт эффект двойного VPN без необходимости настраивать цепочку серверов.

Настройка сервера с двумя IP-адресами: подготовка и проверка

Для реализации схемы с раздельными точками входа и выхода на одном сервере вам понадобится виртуальный сервер (VPS) с двумя IP-адресами. Многие хостинг-провайдеры позволяют добавить дополнительный IP-адрес к уже существующему серверу. Например, в Vdsina.ru это можно сделать из панели управления, и дополнительные IPv4-адреса выдаются даже на самых дешёвых тарифах.

После покупки дополнительного IP-адреса его нужно настроить на сервере. Обычно провайдер предоставляет инструкцию, но в общем случае вам нужно добавить адрес к сетевому интерфейсу. Также рекомендуется назначить PTR-запись (обратное DNS) для каждого IP-адреса. Это необязательно, но может быть полезно для идентификации. Например, вы можете назначить первому адресу имя good.citizen.vpn (точка входа), а второму — super.cool.guy.vpn (точка выхода).

Перед настройкой VPN-сервера важно проверить, какой IP-адрес используется в качестве внешнего. По умолчанию сервер использует основной IP-адрес для исходящих соединений. Чтобы проверить, выполните команду curl ifconfig.co — она покажет IP-адрес, с которого был сделан запрос. Если вы видите основной адрес, значит, он будет точкой выхода. Новый адрес будет точкой входа.

Чтобы убедиться, что второй IP-адрес работает как точка входа, можно использовать SSH с функцией SOCKS-прокси. На клиенте выполните команду ssh -D 9999 root@good.citizen.vpn, затем в другом окне curl -x socks5h://127.0.0.1:9999 ifconfig.co. Если в ответ вы получите IP-адрес точки выхода, значит, всё настроено правильно.

Настройка IKEv2/IPsec с сертификатом Let's Encrypt

Для VPN-сервера с раздельными IP-адресами удобно использовать протокол IKEv2/IPsec. Он поддерживается большинством операционных систем из коробки (Windows, macOS, iOS, Android) и не требует установки стороннего ПО. В отличие от OpenVPN, IKEv2 обычно работает быстрее и стабильнее.

Для аутентификации сервера можно использовать самоподписанные сертификаты, но тогда клиенту придётся устанавливать корневой сертификат, что неудобно. Лучше использовать доверенный сертификат от Let's Encrypt. Для этого вам нужно направить реальный домен на IP-адрес точки входа. Например, если ваш домен good.citizen.vpn, настройте A-запись на IP-адрес точки входа.

Установите необходимые пакеты: apt install certbot strongswan libstrongswan-extra-plugins. Затем выпустите сертификат: certbot certonly --standalone --agree-tos -d good.citizen.vpn. После выпуска сертификата скопируйте файлы в папки strongSwan: cert.pem в /etc/ipsec.d/certs/, privkey.pem в /etc/ipsec.d/private/, chain.pem в /etc/ipsec.d/cacerts/.

Чтобы автоматизировать обновление сертификатов, создайте скрипт в /etc/letsencrypt/renewal-hooks/deploy/, который будет копировать новые файлы и перезагружать strongSwan. Это важно, так как сертификаты Let's Encrypt действуют всего 90 дней.

Далее настройте конфигурацию strongSwan в файле /etc/ipsec.conf. В секции conn %default укажите параметры шифрования, таймауты и keyexchange=ikev2. В секции conn ikev2-mschapv2 задайте rightauth=eap-mschapv2 для Windows и Android, а для Apple-устройств — отдельную секцию ikev2-mschapv2-apple с leftid=good.citizen.vpn. Важно указать leftsubnet=0.0.0.0/0, чтобы клиент получал маршрут для всего трафика.

Логины и пароли пользователей задаются в файле /etc/ipsec.secrets. Например: username : EAP "password". Также укажите путь к приватному ключу: : RSA privkey.pem.

Подключение с двумя ключами на Windows 11 и Android

После настройки сервера можно подключаться с различных устройств. На Windows 11 откройте «Параметры» → «Сеть и Интернет» → «VPN» и нажмите «Добавить VPN». Заполните поля: поставщик услуг VPN — «Windows (встроенный)», имя подключения — любое, адрес сервера — IP-адрес точки входа (или домен), тип VPN — «L2TP/IPsec с общим ключом», общий ключ — укажите ключ, который вы настроили на сервере (например, vpn), тип данных для входа — «Имя пользователя и пароль», введите логин и пароль. Сохраните подключение и нажмите «Подключиться».

На Android процесс аналогичен: перейдите в «Настройки» → «VPN» → «Добавить VPN». Укажите название, тип — L2TP/IPSec PSK, адрес сервера — IP-адрес точки входа, общий ключ IPSec — тот же ключ, имя пользователя и пароль. Сохраните и подключитесь, нажав на переключатель.

Важно отметить, что в новых версиях Android (например, Android 13) поддержка L2TP может отсутствовать. В этом случае используйте IKEv2/IPsec, который поддерживается нативно. Для IKEv2 вам не нужно указывать общий ключ, достаточно логина и пароля, если сервер настроен с сертификатом Let's Encrypt. На Windows 11 также можно настроить IKEv2, выбрав тип VPN «IKEv2» и указав сервер.

Если вы используете L2TP, убедитесь, что на сервере открыты порты 500 (ISAKMP) и 4500 (IPsec NAT-T). Также может потребоваться настроить файрвол для разрешения протокола ESP (IP protocol 50).

Альтернативные способы создания VPN-цепочек

Если вы не хотите настраивать собственный сервер, можно использовать готовые решения. Многие VPN-провайдеры предлагают встроенную функцию двойного VPN. Например, вы подключаетесь к серверу в одной стране, а трафик автоматически перенаправляется через сервер в другой стране. Это удобно, но обычно такие услуги привязаны к конкретным серверам, и вы не можете выбирать их произвольно.

Другой способ — использовать VPN-клиент, который поддерживает каскадное подключение. Некоторые провайдеры позволяют настроить цепочку из нескольких серверов прямо в приложении. Обычно это доступно в платных тарифах.

Также можно создать двойное VPN с помощью маршрутизатора и VPN-клиента на устройстве. Настройте VPN на маршрутизаторе, чтобы весь домашний трафик шёл через первый сервер, а затем на конкретном устройстве (например, ноутбуке) включите второй VPN-клиент. Таким образом, трафик с этого устройства будет проходить через два сервера.

Ещё один вариант — использовать виртуальную машину. Установите VirtualBox, создайте виртуальную машину с операционной системой, настройте на ней VPN-клиент. Затем на основной системе включите VPN, а внутри виртуальной машины — второй VPN. Это даст двойное шифрование, но потребует мощного компьютера.

Наконец, можно комбинировать VPN с прокси-расширением для браузера. Например, включите VPN на уровне системы, а в браузере используйте прокси-расширение от другого провайдера. Однако это не совсем двойной VPN, так как расширение обычно работает как прокси, а не как VPN.

Влияние на скорость и производительность

Главный недостаток двойного VPN — снижение скорости интернета. Каждый дополнительный сервер добавляет задержку и требует дополнительных ресурсов для шифрования и расшифровки. Если у вас тариф 100 Мбит/с, цепочка из четырёх серверов может снизить скорость до 25 Мбит/с. Это связано с тем, что каждый пакет обрабатывается несколько раз, а также с расстоянием между серверами.

Чтобы минимизировать потери скорости, выбирайте серверы, расположенные географически близко друг к другу. Например, если вы находитесь в Европе, используйте серверы в Нидерландах и Германии. Также важно, чтобы серверы имели достаточную пропускную способность и не были перегружены.

Кроме того, на скорость влияет протокол VPN. IKEv2 обычно быстрее OpenVPN, так как использует более эффективные алгоритмы шифрования и поддерживает аппаратное ускорение. Если вы используете VPN внутри VPN, скорость упадёт ещё сильнее, так как каждый туннель добавляет свои накладные расходы.

Если вам нужна максимальная скорость, рассмотрите схему с раздельными IP-адресами на одном сервере. В этом случае трафик не проходит через два разных сервера, а обрабатывается на одном, что значительно быстрее. Однако такая схема не даёт такой же степени изоляции, как цепочка из разных серверов.

Безопасность и ограничения двойного VPN

Двойной VPN повышает безопасность, но не является панацеей. Во-первых, если вы используете серверы одного провайдера, он может видеть всю цепочку и связывать ваш реальный IP с конечным. Поэтому для максимальной приватности лучше использовать серверы разных провайдеров или собственные серверы.

Во-вторых, двойной VPN не защищает от вредоносного ПО, фишинга или утечек DNS. Убедитесь, что ваш VPN-клиент имеет функцию Kill Switch, которая блокирует интернет-трафик при обрыве VPN-соединения, чтобы предотвратить утечку реального IP. Также проверяйте, что DNS-запросы направляются через VPN-туннель.

В-третьих, двойной VPN может быть медленным и нестабильным. Если один из серверов выйдет из строя, соединение может разорваться. Некоторые VPN-клиенты поддерживают автоматическое переключение на другой сервер, но это не всегда работает.

Наконец, стоит помнить, что использование VPN может быть ограничено законодательством в некоторых странах. В России, например, VPN-сервисы, которые не подключены к реестру Роскомнадзора, могут блокироваться. Поэтому при выборе VPN-провайдера учитывайте местные законы.

Несмотря на эти ограничения, двойной VPN остаётся мощным инструментом для защиты приватности, особенно для тех, кто работает с чувствительными данными или живёт в странах с жёсткой интернет-цензурой.

Практические рекомендации и частые ошибки

При настройке двойного VPN важно избегать типичных ошибок. Во-первых, не забывайте про MTU (Maximum Transmission Unit). При использовании нескольких туннелей MTU уменьшается, что может привести к фрагментации пакетов и снижению скорости. Настройте MTU на клиенте или сервере, чтобы избежать проблем.

Во-вторых, проверяйте, что все серверы используют одинаковые протоколы и параметры шифрования. Если один сервер использует IKEv2, а другой — OpenVPN, это может вызвать конфликты. Лучше использовать один протокол для всей цепочки.

В-третьих, не забывайте обновлять сертификаты и программное обеспечение. Сертификаты Let's Encrypt действуют 90 дней, поэтому автоматизация обновления критически важна. Также регулярно обновляйте strongSwan и другие компоненты для защиты от уязвимостей.

Если вы используете готовый VPN-сервис с функцией двойного VPN, внимательно читайте условия. Некоторые провайдеры ограничивают выбор серверов или добавляют дополнительную плату за эту функцию. Также проверяйте политику конфиденциальности: если провайдер ведёт логи, двойной VPN может быть бесполезен.

Наконец, тестируйте своё соединение на утечки. Используйте сайты вроде ipleak.net, чтобы убедиться, что ваш реальный IP и DNS не видны. Если обнаружите утечку, настройте маршрутизацию или включите Kill Switch.

Вопросы и ответы