Посібник

Що таке VPN і як він працює?

VPN (віртуальна приватна мережа) створює зашифрований тунель від вашого пристрою до сервера в іншому місці й пропускає через нього весь ваш інтернет-трафік. У цьому посібнику зі схемами й без жаргону пояснюється, як це працює, від чого VPN справді захищає, від чого ні, і як вибрати та налаштувати хороший VPN.

Що таке VPN?

VPN означає virtual private network, віртуальна приватна мережа. Перші VPN створювали компанії, щоб працівники могли підключатися до внутрішньої мережі з дому чи в дорозі, наче сидять в офісі. Приватна мережа віртуальна, бо їй не потрібні власні кабелі: вона працює поверх звичайного публічного інтернету під захистом шифрування.

Сьогодні більшість знає VPN як застосунки: ви встановлюєте застосунок, натискаєте «Підключити», і відтоді все, що ваш пристрій надсилає в інтернет, спершу йде зашифрованим з'єднанням до сервера VPN-провайдера. Цей сервер передає ваш трафік сайтам і застосункам, якими ви користуєтеся, і повертає вам їхні відповіді тим самим тунелем.

Простий образ: без VPN ваш інтернет-трафік подорожує як листівка. Будь-хто, через чиї руки вона проходить, наприклад мережа Wi-Fi і ваш інтернет-провайдер, може прочитати адресу, а часто й текст. З VPN листівка лежить у запечатаному конверті, адресованому VPN-серверу. Лише там її дістають і надсилають далі.

Як працює VPN, крок за кроком

За кнопкою «Підключити» в будь-якого VPN відбувається те саме, хоч би хто був провайдером:

1. Застосунок зв'язується з VPN-сервером Ваш пристрій відкриває з'єднання з вибраним сервером, наприклад у Німеччині.
2. Обидві сторони підтверджують, хто вони Сервер доводить сертифікатом або ключем, що це справді сервер вашого провайдера, а не самозванець; ви входите за допомогою свого акаунта або власного ключа.
3. Вони домовляються про секретні ключі За допомогою обміну ключами (пояснено нижче) обидві сторони обчислюють однакові секретні ключі, жодного разу не надсилаючи їх через інтернет.
4. З'являється віртуальний мережевий адаптер Застосунок додає в систему віртуальний мережевий адаптер і спрямовує в нього весь інтернет-трафік замість того, щоб надсилати його просто на роутер.
5. Кожен пакет пакується й шифрується Будь-які дані, які надсилають ваші застосунки, шифруються й вкладаються в новий пакет, адресований VPN-серверу. Це називається інкапсуляцією.
6. Сервер розпаковує його й передає далі VPN-сервер розшифровує пакет, ставить свою адресу замість вашої і надсилає його сайту. Відповідь повертається тим самим шляхом.

Вашу справжню IP-адресу бачить лише VPN-сервер. Для сайту запит надходить від VPN-сервера, тому сайт вважає, що ви в країні сервера. Ось чому VPN змінює місце, де, на думку сайтів, ви перебуваєте.

Шифрування простими словами

Шифрування перетворює читабельні дані на щось схоже на випадковий шум; повернути їх назад може лише той, хто має правильний ключ. VPN використовує для цього чотири складники.

Замкнути дані: симетричне шифрування

Коли тунель встановлено, усі дані шифруються ключем, який знають обидві сторони. Сучасні VPN використовують AES-256-GCM або ChaCha20-Poly1305. 256-бітний ключ може мати 2²⁵⁶ різних значень, це число з 78 цифр: перебрати їх усі не під силу жодному наявному комп'ютеру. Обидва методи також виявляють підробку, тому пакет, змінений дорогою, відкидається.

Домовитися про ключ, не надсилаючи його: обмін ключами

Сам ключ ніколи не повинен передаватися через інтернет, тому сторони домовляються про нього за допомогою обміну ключами Діффі — Геллмана, сьогодні зазвичай у варіанті на еліптичних кривих, наприклад X25519. Ідею найпростіше зрозуміти на прикладі фарб:

Переконатися, що ви говорите з потрібним сервером: автентифікація

Обмін ключами сам по собі не каже, хто на іншому кінці. Тому сервер ще й підтверджує свою особу сертифікатом (OpenVPN, IKEv2) або відкритим ключем, який застосунок уже знає (WireGuard). Без цього кроку зловмисник у мережі міг би видати себе за VPN-сервер.

Постійно нові ключі: пряма секретність

Хороші VPN регулярно змінюють ключі; WireGuard, наприклад, створює нові кожні дві хвилини. Навіть якщо ключ колись викрадуть, він відкриє лише кілька хвилин трафіку, а не все, що ви надіслали раніше. Це називається досконалою прямою секретністю (perfect forward secrecy). Деякі провайдери також почали додавати постквантовий обмін ключами (наприклад, ML-KEM), щоб трафік, записаний сьогодні, не можна було розшифрувати на квантових комп'ютерах у майбутньому.

Порівняння протоколів VPN

Протокол VPN — це набір правил для побудови тунелю: як узгоджуються ключі, як пакуються пакети і як вони передаються. Більшість застосунків дають змогу вибрати протокол; «Автоматично» зазвичай вибирає один із перших трьох.

• WireGuard — найновіший із них, з 2020 року він входить до Linux. Його код займає лише близько 4000 рядків, досить мало, щоб експерти могли ретельно його перевірити, і він використовує фіксований набір сучасної криптографії замість довгого списку варіантів. Багато провайдерів будують на ньому власні протоколи.
• OpenVPN існує з 2001 року, має відкритий код і працює майже всюди. Він повільніший за WireGuard, але через TCP проходить крізь файрволи, які пропускають лише веб-трафік.
• IKEv2/IPsec вбудований у Windows, macOS, iOS і Android. Його функція MOBIKE зберігає тунель, коли телефон змінює мережу. Фіксовані порти (UDP 500 і 4500) дають змогу легко його заблокувати.
• PPTP з'явився в 1990-х, і його шифрування зламано багато років тому. Деякі роутери досі його пропонують: уникайте його.

Що VPN приховує і від кого

Чи захищає вас VPN, залежить від того, від кого ви хочете захиститися. У таблиці показано, що може побачити кожен учасник на шляху.

А як щодо HTTPS?

Майже всі сайти використовують HTTPS (замок в адресному рядку), який шифрує сторінки між вашим браузером і сайтом. Тож без VPN ваша мережа не може прочитати, що ви вводите або яку сторінку сайту відкриваєте. Але вона й далі бачить назви сайтів, до яких ви підключаєтеся, за DNS-запитами та за ім'ям, яке браузер надсилає під час підключення, а також бачить вашу IP-адресу. VPN приховує і це, а заразом захищає застосунки, які погано шифрують свій трафік.

Чого VPN не робить

• Він не робить вас анонімним. Якщо ви входите в акаунт, сайт знає, що це ви, з VPN чи без. Cookie та відбитки браузера (розпізнавання браузера за налаштуваннями, розміром екрана, шрифтами й багатьом іншим) працюють і через VPN.
• Він не захищає від шкідливих програм і фішингу. Підроблений сайт банку чи заражений файл дійде до вас через тунель так само. Деякі VPN-застосунки блокують відомі небезпечні сайти, але це доповнення, а не те, що робить VPN.
• Він переносить довіру, а не скасовує її. VPN-провайдер тепер стоїть там, де раніше був ваш інтернет-провайдер. Провайдер, який записує або продає ваші дані, гірший, ніж відсутність VPN.
• Він не приховує, що ви користуєтеся VPN. Ваша мережа бачить, що ви підключаєтеся до VPN-сервера, а багато сайтів упізнають адреси VPN-серверів і блокують їх або вимагають додаткових перевірок.
• Він не захищає решту шляху. Після VPN-сервера ваш трафік іде звичайним інтернетом до сайту; без HTTPS його там можна прочитати.
• Він не може сам запобігти будь-якому витоку. Якщо застосунок погано налаштований, DNS-запити, трафік IPv6 або WebRTC у браузері можуть розкрити вашу справжню адресу (див. як перевірити витоки).

Види VPN

Словом «VPN» називають кілька різних речей. Вони використовують одну технологію для різних завдань.

• Особисті VPN — це застосунки, на які ви підписуєтеся. Вони захищають ваш трафік у мережах, яким ви не довіряєте, і змінюють ваше видиме розташування.
• VPN віддаленого доступу підключають працівників до мережі роботодавця, щоб вони мали доступ до внутрішніх файлів та інструментів. Часто через тунель іде лише робочий трафік.
• VPN «мережа — мережа» з'єднують цілі мережі, наприклад два офіси, через роутери, які постійно тримають тунель відкритим.
• Mesh-VPN з'єднують ваші власні пристрої напряму між собою, де б вони не були, щоб ви могли з телефона підключитися до домашнього комп'ютера.
• Власні VPN працюють на сервері чи роутері, яким ви керуєте. Довіряти провайдеру не треба, але IP-адреса сервера веде до вас.
• Браузерні «VPN»-розширення зазвичай охоплюють лише браузер і технічно є проксі. Інші застосунки вони не захищають.

Функції, які варто знати

Kill switch

Якщо VPN-з'єднання на мить обірветься, пристрій зазвичай продовжить працювати через звичайне з'єднання, з вашою справжньою IP-адресою. Kill switch блокує весь інтернет-трафік, доки тунель не відновиться.

Роздільне тунелювання

Роздільне тунелювання (split tunneling) дає змогу вибрати, які застосунки чи адреси використовують VPN. Браузер може йти через тунель, а банківський застосунок, гра чи принтер у домашній мережі користуються звичайним з'єднанням.

Інші функції

• Захист від витоків DNS: застосунок надсилає кожен DNS-запит (запитання, які перетворюють імена на кшталт wikipedia.org на IP-адреси) через тунель на власні DNS-сервери провайдера.
• Політика відсутності журналів: обіцянка не записувати, що ви робите. Вона варта рівно стільки, скільки її докази: незалежні аудити, судові справи, у яких провайдеру не було чого передати, і сервери, що працюють лише в оперативній пам'яті, щоб після перезавантаження нічого не лишалося.
• Multi-hop (подвійний VPN): трафік проходить через два VPN-сервери, щоб жоден із них не знав водночас, хто ви і куди ви йдете. Це повільніше, і обидва сервери зазвичай належать одній компанії.
• Маскування (стелс-режим): робить VPN-трафік схожим на звичайний веб-трафік, для мереж, які блокують VPN.
• Виділена IP-адреса: адреса, якою користуєтеся лише ви, щоб сайти перестали вимагати перевірок, які вони показують спільним VPN-адресам. Натомість її легше пов'язати з вами.
• Переадресація портів: дає змогу іншим підключатися до вашого пристрою через VPN, наприклад до ігрового сервера, який ви тримаєте.

VPN, проксі чи Tor?

Усі три пропускають ваш трафік через чужий сервер, щоб сайти бачили іншу IP-адресу. Вони різняться тим, що охоплюють і наскільки захищають.

OnlineProxy.eu — це веб-проксі, а не VPN: він відкриває сайти для вас просто у вкладці браузера через наш сервер у ЄС, без встановлення будь-чого. Цього часто досить, щоб відкрити сайт, заблокований у школі, на роботі чи у вашій країні. Інші застосунки він не захищає, і за законом ми ведемо журнали (див. Конфіденційність). Якщо вам потрібна анонімність, використовуйте Tor Browser.

Чи сповільнює VPN інтернет?

Зазвичай трохи. Наскільки, вирішують чотири речі:

• Відстань. Ваші дані роблять гак через VPN-сервер. Сервер у сусідній країні додає кілька мілісекунд; сервер на іншому континенті може додати до кожного запиту десяту частку секунди й більше.
• Навантаження на сервер. Перевантажені сервери, часто безкоштовні, ділять свою пропускну здатність між багатьма користувачами.
• Протокол. WireGuard та IKEv2 швидші за OpenVPN, особливо на телефонах.
• Шифрування. До кожного пакета додається кілька десятків байтів, і його треба зашифрувати; на сучасних пристроях це майже нічого не коштує.

Іноді VPN навіть прискорює роботу: якщо ваш провайдер навмисно сповільнює деякі сервіси, усередині тунелю він не може їх розпізнати. Для найкращої швидкості вибирайте сервер ближче до себе й використовуйте WireGuard.

Безкоштовний чи платний VPN?

Утримувати VPN-сервери коштує грошей, тож безкоштовні VPN мусять якось заробляти. Деякі роблять це чесно, як обмежений безкоштовний тариф платного сервісу, з лімітом трафіку, меншою кількістю серверів або меншою швидкістю. Інші показують рекламу, збирають і продають дані про те, що роблять користувачі, або в них знаходили код стеження. Дослідження 283 VPN-застосунків для Android (CSIRO, 2016) показало, що 18 відсотків узагалі не шифрували трафік, а 38 відсотків мали ознаки шкідливих програм.

Якщо вам потрібен безкоштовний VPN, вибирайте безкоштовний тариф відомого платного провайдера, а не невідомий безкоштовний застосунок.

Як вибрати VPN

• Доведена політика відсутності журналів, підтверджена незалежними аудитами.
• Сучасні протоколи: WireGuard, OpenVPN або IKEv2, і жодного PPTP.
• Kill switch і захист від витоків DNS, увімкнені за замовчуванням.
• Застосунки з відкритим кодом або принаймні застосунки, що пройшли аудит безпеки.
• Сервери там, де вони потрібні: поруч із вами для швидкості та в країнах, контент яких вам потрібен.
• Відома компанія та країна: хто ним керує, за законами якої країни і як він відповідає на запити влади.
• Чесні обіцянки. Остерігайтеся «повної анонімності» чи захисту «військового рівня».
• Чесні умови: строк повернення грошей і зручні вам способи оплати.

Як налаштувати VPN і перевірити його

1. Завантажте застосунок провайдера з його власного сайту або з офіційного магазину застосунків вашого пристрою.
2. Увійдіть в акаунт, увімкніть kill switch і, якщо є вибір, виберіть WireGuard.
3. Виберіть сервер: найближчий для швидкості або потрібну вам країну.
4. Натисніть «Підключити» й дочекайтеся, поки застосунок повідомить, що з'єднання встановлено.
5. Перевірте свою IP-адресу на сайті на кшталт «яка в мене IP»: тепер він має показувати адресу й країну VPN-сервера.
6. Проведіть тест на витік DNS і тест на витік WebRTC: жоден із них не повинен показувати вашого інтернет-провайдера чи справжню адресу.

У телефонах, комп'ютерах і багатьох роутерах підтримка VPN теж вбудована: можна ввести дані сервера, які дає провайдер, наприклад файл конфігурації WireGuard, не встановлюючи його застосунок. VPN на роутері захищає всі пристрої вдома, зокрема телевізори та ігрові приставки, на яких не запустити VPN-застосунок.

Чи законно користуватися VPN?

У більшості країн, зокрема в усьому ЄС, Великій Британії та США, користуватися VPN законно, і компанії покладаються на VPN щодня. Деякі країни забороняють VPN або дозволяють лише схвалені державою, наприклад Китай, Росія, Іран, Білорусь, Туркменістан і Північна Корея, а інші карають за використання VPN для скоєння злочину. Усе, що ви робите через VPN, і далі має бути законним там, де ви перебуваєте, а правила сайтів, якими ви користуєтеся, продовжують діяти: стримінгові сервіси, наприклад, можуть відмовляти в доступі з VPN-серверів.

Поширені міфи

Словник термінів

IP-адреса

Номер, який позначає ваше підключення в інтернеті й видається вашим провайдером. За ним сайти вгадують вашу країну та місто.

Тунель

Зашифроване з'єднання, всередині якого йдуть інші з'єднання.

Інкапсуляція

Вкладення одного пакета даних в інший, щоб він міг пройти через тунель.

DNS

Телефонна книга інтернету, яка перетворює імена на кшталт wikipedia.org на IP-адреси. DNS-запити часто видають, які сайти ви відвідуєте.

Протокол

Правила, за якими два комп'ютери спілкуються між собою; для VPN — те, як будується тунель.

Kill switch

Функція, яка блокує доступ до інтернету, поки VPN-з'єднання не працює.

Роздільне тунелювання

Пропускання через VPN лише деяких застосунків або адрес.

Витік

Трафік, який іде в обхід тунелю й розкриває вашу справжню IP-адресу або ваші DNS-запити.

Без журналів

Обіцянка провайдера не записувати, що роблять його користувачі.

Веб-проксі

Сайт, який відкриває для вас інші сайти у вкладці браузера, без встановлення будь-чого.

Tor

Безкоштовна мережа, яка пропускає ваш трафік через три вузли, що їх підтримують волонтери, з багатошаровим шифруванням, щоб зробити вас анонімним.

Оновлено: 13 листопада 2026 р.