Два VPN одновременно: схемы, настройка и устранение конфликтов

Что значит «два VPN одновременно»

Под фразой «два VPN одновременно» обычно понимают две разные вещи: либо последовательное соединение через два VPN-сервера (так называемый двойной VPN или VPN-цепочка), либо одновременную работу двух независимых VPN-клиентов на одном устройстве, каждый из которых обслуживает свой набор трафика. В первом случае трафик проходит через два сервера, шифруясь дважды, во втором — два туннеля сосуществуют параллельно, но не пересекаются по маршрутам.

Важно понимать разницу: двойной VPN в классическом смысле — это когда ваш трафик идёт от вас к первому серверу, затем ко второму, и только потом в интернет. При этом второй сервер видит IP первого, а не ваш реальный адрес. Такая схема повышает приватность, но заметно снижает скорость. Параллельные VPN-подключения, напротив, используются для доступа к разным ресурсам: например, один туннель — для рабочей сети, другой — для выхода в интернет через другую страну. Здесь конфликты возникают из-за маршрутизации, а не из-за шифрования.

В статье мы рассмотрим обе схемы, их преимущества, ограничения и способы настройки на примере Windows 11 и Linux-серверов.

Зачем нужны два VPN: сценарии использования

Есть несколько типичных ситуаций, когда пользователю может понадобиться два VPN одновременно.

Доступ к корпоративной сети и приватный интернет. Сотрудник подключается к рабочему VPN для доступа к внутренним ресурсам (базы данных, файловые серверы, RDP), но при этом хочет, чтобы остальной трафик (браузер, мессенджеры) шёл через другой VPN для защиты от слежки. В этом случае рабочий туннель настраивается на split-tunnel (только нужные подсети), а второй VPN забирает весь остальной трафик.

Обход блокировок и защита от провайдера. В некоторых странах провайдеры блокируют VPN-протоколы. Использование цепочки из двух VPN-серверов (например, первый — в соседней стране, второй — в нужной) позволяет замаскировать VPN-трафик под обычный HTTPS и обойти DPI. Это популярная практика в Китае, где применяют VPN через прокси или каскадные туннели.

Повышенная анонимность. Журналисты, активисты и пользователи, которым нужна максимальная приватность, используют двойной VPN, чтобы разделить точку входа и точку выхода. Даже если провайдер или первый сервер логирует подключения, он не знает, куда уходит трафик дальше, а второй сервер не знает ваш реальный IP.

Доступ к ресурсам в разных странах. Например, вам нужен IP Германии для одного сервиса и IP США для другого. Вместо постоянного переключения можно поднять два VPN-туннеля и маршрутизировать трафик к нужным сайтам через соответствующий туннель с помощью правил маршрутизации.

Важно понимать, что каждый сценарий требует своей схемы настройки, и универсального решения нет.

Схемы двойного VPN: цепочка, прокси, VPN внутри VPN

Существует несколько архитектур двойного VPN, различающихся по сложности, безопасности и производительности.

VPN между серверами. Клиент подключается к первому серверу, на котором настроен туннель ко второму. Весь трафик от клиента уходит на второй сервер через первый. Промежуточные серверы могут быть видны в трассировке маршрута, и каждый из них имеет доступ к расшифрованному трафику (если туннель между серверами не шифруется). Это самый распространённый способ, используемый VPN-провайдерами для «двойного VPN».

VPN через прокси. Клиент подключается к VPN-серверу, а тот, в свою очередь, использует прокси-сервер для выхода в интернет. Прокси не виден в трассировке, но может видеть трафик, если не использует шифрование. Такой подход часто применяется для маскировки VPN-трафика под обычный HTTP/HTTPS.

VPN внутри VPN. Самый параноидальный вариант: на клиенте поднимаются два VPN-туннеля, один внутри другого. Трафик шифруется дважды, и промежуточные серверы не видят открытых данных. Однако это самый медленный способ из-за двойной инкапсуляции и уменьшения MTU. Настройка требует аккуратной работы с маршрутами на клиенте.

Выбор схемы зависит от ваших задач: если нужна максимальная скорость — лучше VPN между серверами; если максимальная приватность — VPN внутри VPN. Но в большинстве случаев для обычного пользователя достаточно встроенной функции двойного VPN у провайдера (например, NordVPN) или ручной настройки цепочки на собственном сервере.

Почему два VPN конфликтуют: маршруты и метрики

Когда на одном устройстве одновременно работают два VPN-клиента, они часто начинают конфликтовать. Причина почти всегда одна: оба клиента пытаются стать шлюзом по умолчанию, то есть добавить в таблицу маршрутов запись 0.0.0.0/0, которая отправляет весь трафик в туннель. Windows и другие ОС выбирают маршрут по метрике — числу, показывающему «стоимость» маршрута. Чем меньше метрика, тем выше приоритет.

Когда поднимается первый VPN, он добавляет маршрут по умолчанию с низкой метрикой, перебивая физический адаптер. Когда поднимается второй, он тоже добавляет свой маршрут по умолчанию и тоже старается получить низкую метрику. В итоге в таблице оказываются два конкурирующих маршрута, и система выбирает между ними непредсказуемо: либо весь трафик уходит в последний поднятый туннель, либо начинаются «скачки» при каждом обновлении DHCP или переподключении.

Отдельная проблема — DNS. Каждый VPN-клиент прописывает свои DNS-серверы, и Windows опрашивает их в порядке метрик интерфейсов, а не в порядке подключения. Это приводит к ситуации, когда пинг по IP работает, а по имени — нет.

Чтобы избежать конфликтов, нужно либо развести туннели по разным подсетям (split-tunnel), либо вручную задать метрики интерфейсов, чтобы один туннель имел приоритет для всего трафика, а второй — только для своих подсетей.

Настройка двух VPN на Windows 11: метрики и приоритеты

Если вам нужно одновременно использовать два VPN-клиента на Windows 11, например WireGuard для рабочей сети и OpenVPN для интернета, следуйте этому плану.

Шаг 1. Просмотр текущих маршрутов. Откройте командную строку и выполните route print -4. Найдите строки с 0.0.0.0 в колонке Network Destination — если их несколько, конфликт налицо. Более наглядно через PowerShell: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Format-Table InterfaceAlias, NextHop, RouteMetric, ifMetric -AutoSize.

Шаг 2. Настройка метрик интерфейсов. Отключите автоматическое определение метрик и задайте их вручную. Например, для WireGuard туннеля метрику 5, для OpenVPN — 15, для Ethernet — 25. Команды:

Set-NetIPInterface -InterfaceAlias "WireGuard Tunnel" -InterfaceMetric 5
Set-NetIPInterface -InterfaceAlias "OpenVPN TAP-Windows Adapter V9" -InterfaceMetric 15
Set-NetIPInterface -InterfaceAlias "Ethernet" -InterfaceMetric 25

Логика: чем ниже метрика, тем выше приоритет. Физический адаптер оставляйте с самой высокой метрикой, чтобы при падении обоих VPN интернет откатился на обычное подключение.

Шаг 3. Проверка. Выполните Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric | Select-Object InterfaceAlias, InterfaceMetric и убедитесь, что метрики расставлены верно.

Шаг 4. Настройка split-tunnel. Если один из туннелей должен обслуживать только определённые подсети, настройте его соответствующим образом (см. следующий раздел). Это снимет конкуренцию за default gateway.

Шаг 5. Диагностика. Если проблемы остались, проверьте DNS: Get-DnsClientServerAddress -AddressFamily IPv4. Также используйте tracert -d 8.8.8.8, чтобы увидеть, через какой интерфейс реально уходит трафик.

Split-tunnel: как развести трафик между VPN

Split-tunnel — это режим, при котором VPN-клиент маршрутизирует через туннель только определённые подсети, а остальной трафик отправляет напрямую через обычный интернет. Это идеальное решение для одновременной работы двух VPN без конфликтов.

OpenVPN. В конфигурационном файле клиента уберите директиву redirect-gateway def1 (которая захватывает весь трафик) и добавьте конкретные маршруты, например:

route 10.20.0.0 255.255.0.0
route 192.168.50.0 255.255.255.0

После этого туннель будет использоваться только для доступа к указанным сетям.

WireGuard. В секции [Peer] параметр AllowedIPs определяет, какие подсети направляются через туннель. Если указать 0.0.0.0/0, это full-tunnel (весь трафик). Для split-tunnel укажите только нужные сети:

[Peer]
PublicKey = <ключ_сервера>
Endpoint = 203.0.113.10:51820
AllowedIPs = 10.66.0.0/24, 172.16.0.0/16

Постоянные маршруты. Если нужно, чтобы маршруты сохранялись после перезагрузки, добавьте их с ключом -p в командной строке:

route -p add 10.20.0.0 mask 255.255.0.0 192.168.99.1 metric 5 if 12

где if 12 — индекс интерфейса из route print.

Практический сценарий. WireGuard для рабочей сети (split-tunnel), OpenVPN для интернета (full-tunnel). В конфиге WireGuard укажите только рабочие подсети, в OpenVPN оставьте redirect-gateway def1. После поднятия обоих туннелей проверьте таблицу маршрутов: у WireGuard должны быть только явные подсети, у OpenVPN — единственный маршрут 0.0.0.0/0. Затем задайте метрики интерфейсов, чтобы закрепить приоритет.

Двойной VPN на собственном сервере: разделение IP входа и выхода

Если вы арендуете VPS и хотите настроить двойной VPN с раздельными IP-адресами входа и выхода, есть простой способ — использовать один сервер с двумя IP-адресами. Это позволяет получить максимальную скорость и минимальные задержки, так как трафик терминируется на одном сервере.

Модель угроз. Провайдеры и спецслужбы могут хранить Netflow-данные о подключениях. Если вы подключаетесь к VPN-серверу с IP 1.1.1.1, а выходите в интернет с того же IP, то факт вашего подключения легко связать с вашим реальным адресом. Разделив IP входа и выхода, вы создаёте видимость двух несвязанных подключений.

Настройка. На VDS закажите дополнительный IP-адрес. Первый IP (изначальный) будет точкой выхода, второй — точкой входа. Настройте IKEv2/IPsec сервер (например, StrongSwan) на втором IP, а для выхода используйте первый IP. Для проверки используйте curl ifconfig.co — он покажет IP, с которого сделан запрос.

Пример. IP 203.0.113.10 — точка выхода, IP 203.0.113.20 — точка входа. Клиент подключается к 203.0.113.20, а весь его трафик уходит в интернет с 203.0.113.10. Для провайдера это выглядит как два разных пользователя.

Сертификаты. Для IKEv2 можно использовать Let's Encrypt, чтобы клиентам не нужно было устанавливать корневые сертификаты. Выпустите сертификат на домен, указывающий на IP входа, и настройте StrongSwan. Подробная инструкция есть в статье на Хабре, но суть в копировании сертификатов в /etc/ipsec.d и настройке ipsec.conf.

Этот способ подходит для пользователей, которые хотят максимальной приватности без потери скорости, но требует базовых навыков администрирования Linux.

Альтернативные способы: виртуальные машины и расширения браузера

Если настройка маршрутов кажется сложной, есть более простые, но менее гибкие способы использовать два VPN одновременно.

Виртуальная машина. Запустите одну VPN в основной ОС, а вторую — внутри виртуальной машины (например, VirtualBox с Linux). Трафик от виртуальной машины будет проходить через VPN основной ОС, а затем через VPN внутри ВМ. Это создаёт цепочку из двух туннелей, но скорость снижается из-за эмуляции. Плюс — изоляция и простота настройки, минус — производительность.

Расширения браузера. Некоторые VPN-провайдеры предлагают расширения для браузера, которые работают независимо от системного VPN. Например, можно включить системный VPN для всего трафика, а в браузере использовать расширение с другим VPN для отдельных сайтов. Однако расширения обычно проксируют только трафик браузера, и они менее надёжны, чем полноценные клиенты.

Встроенные функции провайдеров. Многие коммерческие VPN-сервисы (NordVPN, Surfshark и др.) предлагают функцию «Double VPN» или «MultiHop» — это цепочка из двух серверов, настраиваемая в один клик. Это самый простой способ для новичков, но вы зависите от политики провайдера и не контролируете серверы.

Прокси-утилиты. Программы вроде ProxyCap или Proxifier позволяют перенаправлять трафик отдельных приложений через прокси или VPN. Они могут помочь, если нужно, чтобы одно приложение шло через один VPN, а другое — через другой. Но они менее стабильны и могут пропускать запросы.

Выбор метода зависит от ваших технических навыков и требований к безопасности.

Преимущества и недостатки двойного VPN

Использование двух VPN одновременно даёт ряд преимуществ, но и создаёт определённые проблемы.

Преимущества:

• Повышенная безопасность: трафик шифруется дважды (или больше), что затрудняет перехват и анализ.
• Анонимность: второй сервер не видит ваш реальный IP, а первый не знает, куда вы направляетесь.
• Защита от корреляционных атак: сложнее связать входящий и исходящий трафик.
• Доступ к ресурсам в разных странах без переключения.
• Обход блокировок VPN-протоколов (например, в Китае).

Недостатки:

• Снижение скорости: двойное шифрование и дополнительные прыжки увеличивают задержку и уменьшают пропускную способность. Например, при 100 Мбит/с соединении четырёхэтапная цепочка может снизить скорость до 25 Мбит/с.
• Сложность настройки: требуется понимание маршрутизации, метрик и конфигурации клиентов.
• Дополнительные расходы: если вы используете платные VPN-сервисы или арендуете несколько серверов.
• Возможные конфликты: два VPN-клиента могут мешать друг другу, если не настроить их правильно.

Важно взвесить, нужна ли вам такая степень защиты, или достаточно одного VPN. Для большинства пользователей один надёжный VPN с включённым kill-switch и строгой политикой отсутствия логов — это разумный компромисс.

Диагностика и устранение типичных проблем

Даже после правильной настройки могут возникать проблемы. Вот порядок действий для их диагностики.

1. Проверьте маршрут по умолчанию. Выполните Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object (RouteMetric+ifMetric) -Descending. Если маршрутов больше одного, определите, какой из них активен. Если активен не тот, что нужно, измените метрики.

2. Проверьте DNS. Get-DnsClientServerAddress -AddressFamily IPv4 — убедитесь, что DNS-серверы соответствуют ожидаемым. Если DNS уходит не туда, настройте приоритет интерфейсов или вручную укажите DNS в свойствах адаптера.

3. Проверьте реальный путь трафика. tracert -d 8.8.8.8 — если первый прыжок идёт не через ожидаемый туннель, проблема в метриках или маршрутах.

4. Проверьте доступность конкретного узла. Test-NetConnection -ComputerName 10.20.0.1 -Port 3389 — поможет понять, работает ли туннель до нужного ресурса.

5. Перезапустите клиенты. Иногда после аварийного разрыва VPN-клиенты оставляют «мусорные» маршруты. Отключите оба VPN, выполните route delete 0.0.0.0, затем поднимите туннели заново в правильном порядке.

6. Проверьте статистику WireGuard. Если используется WireGuard, посмотрите latest handshake и transfer. Пустой handshake или нулевой трафик указывают на проблему самого туннеля, а не маршрутизации.

Если проблема возникает после сна ноутбука, убедитесь, что метрики заданы вручную, а не автоматически — Windows может пересчитать их при пробуждении.

Вопросы и ответы