VPN для кафе и аэропорта: как защитить данные без иллюзий

Почему публичный Wi-Fi — это опасно на самом деле

Вы сидите в кофейне, открываете ноутбук, подключаетесь к сети «Coffee_Free». Через минуту вводите пароль от почты. В этот момент парень за соседним столиком запускает сниффер — программу, которая видит весь трафик в этой Wi-Fi-сети. Если сайт не использует HTTPS, ваш пароль у него в блокноте через 10 секунд.

Публичный Wi-Fi опасен не потому, что там сидят хакеры в капюшонах. Опасность в том, что точка доступа часто не шифрует данные между вашим устройством и роутером. Любой, кто подключён к той же сети, может перехватывать пакеты. Особенно легко это сделать через поддельную точку доступа — Evil Twin. Вы подключаетесь к «McDonald's Free», а на самом деле к ноутбуку злоумышленника. Внешне разницы нет.

HTTPS спасает: он шифрует содержимое страницы, но не скрывает сам факт посещения сайта. Злоумышленник видит, что вы зашли на сайт банка, даже если не читает пароль. А ещё остаются незащищённые сайты, приложения, которые передают данные по HTTP. Плюс DNS-запросы часто уходят в открытом виде — видно, какие домены вы открываете.

Поэтому полагаться только на HTTPS нельзя. Нужен дополнительный слой шифрования — тот самый VPN.

Что такое VPN и как он работает

VPN — это программа, которая создаёт зашифрованный канал между вашим устройством и сервером VPN. Весь трафик идёт внутри этого канала. Для постороннего глаза он выглядит как поток случайных байтов.

Без VPN маршрут выглядит так: вы → Wi-Fi-роутер → интернет-провайдер → сайт. Провайдер видит каждый адрес, который вы открываете. В кафе роутер тоже видит всё. С VPN маршрут меняется: вы → VPN-сервер → сайт. Провайдер видит только одно соединение — с VPN-сервером. Что вы делаете дальше, для него закрыто.

Представьте стеклянный коридор. Без VPN вы идёте по нему, и все видят, куда вы заходите. VPN — это непрозрачный туннель внутри коридора. Окружающие видят, что вы вошли в туннель, но не знают, в какую дверь вы вышли.

Важно: VPN шифрует трафик от устройства до сервера. Дальше, от сервера до сайта, трафик идёт как обычно. Если сайт использует HTTPS, он остаётся зашифрованным. Если нет — VPN-сервер видит содержимое, но не ваш провайдер и не сосед по кафе.

Закройте своё соединение за одну минуту Шифруем трафик на любом Wi-Fi — в кафе, в отеле, в аэропорту. 3 дня за 10 ₽. Тарифы от 200 ₽/мес · СБП и карта · ключ сразу после оплаты Взять 3 дня за 10 ₽

От чего VPN защищает, а от чего — нет

VPN закрывает перехват трафика в публичной сети. Это главное. Но он не панацея. Вот таблица, чтобы не путать реальную защиту с маркетингом.

Угроза	VPN защищает?	Комментарий
Перехват трафика в Wi-Fi	Да	Шифрование AES-256 не даёт читать пакеты
Подмена точки доступа (Evil Twin)	Частично	Если VPN включён до ввода паролей, трафик зашифрован
Фишинговая страница	Нет	VPN не проверяет, настоящий ли сайт
Кража куки через XSS	Нет	VPN шифрует канал, но не код сайта
DNS-утечки	Да, если настроен	Нужна защита от DNS-утечек в приложении

Пример: вы подключились к Wi-Fi в отеле, включили VPN и зашли в интернет-банк. Трафик зашифрован, сосед по сети ничего не перехватит. Но если вы кликнете по ссылке из письма «подтвердите пароль» и попадёте на поддельный сайт, VPN не спасёт. Он не анализирует контент, он только шифрует передачу.

Ещё один пробел: первые секунды после подключения к Wi-Fi. Пока VPN не включился, ваш девайс может отправить данные в открытом виде — обновления, push-уведомления, фоновая синхронизация. Поэтому безопасный сценарий: сначала включить VPN, потом подключаться к публичной сети. На смартфонах это можно автоматизировать через правило «Всегда включённый VPN».

Какие протоколы VPN считаются безопасными

Протокол определяет, как VPN шифрует трафик. От него зависят скорость, стабильность и сложность взлома. Сейчас безопасными считаются три протокола.

Протокол	Скорость	Особенности
WireGuard	Высокая	Современный, код меньше 4000 строк, легко аудировать
OpenVPN	Средняя	Проверенный, совместимый, но тяжелее и медленнее
IKEv2/IPsec	Высокая	Хорош для мобильных, быстро переподключается при смене сети

WireGuard — новичок, но уже стандарт де-факто. Маленький объём кода означает меньше шансов на ошибку. OpenVPN работает с 2001 года, его изучили вдоль и поперёк, но он требователен к ресурсам. IKEv2/IPsec отлично держит соединение, когда вы переключаетесь с Wi-Fi на мобильный интернет.

Все три используют шифрование AES-256. Это тот же стандарт, который применяют правительственные структуры США. Взломать его перебором за разумное время невозможно.

Избегайте устаревших протоколов PPTP и L2TP без IPsec. PPTP взламывается за минуты, а L2TP часто настроен неправильно. Если в приложении VPN только эти варианты — сервис устарел.

Безопасный VPN: 8 критериев выбора

Вот чек-лист, по которому мы проверяем любой VPN-сервис. Если хотя бы один пункт не выполняется — ищите другой.

• Политика нулевых логов. Сервис не хранит историю посещений, IP-адреса, время подключения. Лучше, если это подтверждено независимым аудитом — отчёт должен быть публичным.
• Kill Switch. При обрыве VPN интернет блокируется. Иначе ваше устройство продолжит работу в открытую.
• Защита от DNS-утечек. DNS-запросы идут через VPN-сервер, а не через провайдера.
• Юрисдикция вне альянсов 5/9/14 глаз. Страна регистрации не должна входить в разведывательные альянсы, которые обязывают делиться данными.
• Современные протоколы. WireGuard, OpenVPN или IKEv2/IPsec. Никакого PPTP.
• Официальные приложения. Скачивать только из Google Play, App Store или с сайта разработчика. Сторонние APK часто содержат трояны.
• Прозрачная ценовая модель. Бесплатный сыр — в следующем разделе. Платный сервис за 3–5 долларов в месяц — норма.
• Поддержка нескольких устройств. Один аккаунт должен покрывать телефон, ноутбук и, возможно, роутер.

Пример: вы нашли VPN за 2 доллара в месяц, но без kill switch и с юрисдикцией в стране «14 глаз». Это небезопасный выбор, даже если сервис обещает «военную защиту». Kill switch критичен в публичном Wi-Fi: если соединение оборвётся, вы не заметите, а трафик пойдёт в открытую.

Бесплатные VPN: в чём скрытая цена

Бесплатный VPN — это не подарок, а бизнес-модель. Серверы, разработка, поддержка стоят денег. Кто-то за это платит — обычно вы своими данными.

Типичная схема: вы ставите бесплатный VPN, он собирает историю посещений, геолокацию, иногда даже список установленных приложений. Потом эти данные продаются рекламным сетям. Вы замечаете странную рекламу — это не совпадение.

• Продажа данных. Бесплатные VPN часто передают сведения о трафике третьим лицам. В политике конфиденциальности это написано мелким шрифтом.
• Инъекции рекламы. Сервис вставляет свои баннеры в посещаемые страницы. Иногда это вредоносная реклама с переходом на фишинг.
• Слабое шифрование. Некоторые бесплатные VPN используют протокол PPTP или вообще подделывают шифрование. Вы думаете, что защищены, а на деле трафик читается.
• Ограничение скорости и трафика. 500 МБ в месяц хватит на пару часов видео. После этого соединение либо рвётся, либо работает на скорости dial-up.

Исключения бывают: Proton VPN и Windscribe дают бесплатный тариф без продажи данных, но с ограничениями. Однако даже там скорость ниже, чем на платных тарифах. Если вам нужен VPN для банковских операций в кафе, лучше заплатить 200–300 рублей в месяц за проверенный сервис, чем рисковать паролями ради экономии.

Как проверить VPN на утечки IP и DNS

Вы купили VPN, включили, но не уверены, что он работает. Проверка занимает три минуты.

1. Подключитесь к VPN и выберите сервер, например, в Нидерландах.
2. Откройте сайт ipleak.net. Он покажет ваш IP-адрес. Если адрес совпадает с адресом сервера, а не с вашим домашним — утечки IP нет.
3. Прокрутите страницу вниз до блока DNS. Там должны быть адреса DNS-серверов VPN, а не вашего провайдера. Если видите «Ростелеком», «МТС» или другого провайдера — утечка DNS.
4. Перейдите на dnsleaktest.com и нажмите «Extended test». Результат покажет, через какие DNS-серверы идут запросы. Опять же, это должны быть серверы VPN.
5. Откройте browserleaks.com/webrtc. WebRTC может раскрыть ваш реальный IP, даже если VPN работает. Если браузер показывает локальный IP или IP провайдера — отключите WebRTC или используйте расширение.

Что делать, если нашли утечку? Включите в приложении VPN опцию «Защита от DNS-утечек» или «Только DNS через VPN». Если такой настройки нет, смените сервис. Утечка DNS сводит на нет весь смысл VPN: злоумышленник видит, какие сайты вы открываете, даже не читая трафик.

Закройте своё соединение за одну минуту Шифруем трафик на любом Wi-Fi — в кафе, в отеле, в аэропорту. 3 дня за 10 ₽. Тарифы от 200 ₽/мес · СБП и карта · ключ сразу после оплаты Взять 3 дня за 10 ₽

Настройка VPN на смартфоне и ноутбуке

Настройка безопасного VPN на устройствах занимает пять минут. Главное — включить kill switch и запретить подключение без VPN.

Android: установите приложение VPN из Google Play. В настройках найдите «Always-on VPN» и включите. Это заставит систему блокировать интернет, если VPN не активен. Также включите kill switch в самом приложении, если он есть отдельно.

iOS: в приложении VPN включите «Connect On Demand» или «On-Demand Rules». Тогда iPhone автоматически подключается к VPN при входе в любую Wi-Fi-сеть. Kill switch в iOS реализован через функцию «Блокировать трафик без VPN» — она есть в некоторых приложениях.

Windows: в приложении VPN включите kill switch. Обычно он называется «Блокировать интернет при обрыве VPN». Дополнительно отключите IPv6 в сетевых настройках, потому что некоторые VPN не шифруют IPv6-трафик, и он утекает мимо туннеля.

Общее правило: не подключайтесь к публичному Wi-Fi, пока не проверите, что VPN активен и kill switch работает. Проверить просто: включите VPN, затем вручную отключите его в приложении. Интернет должен пропасть. Если нет — kill switch не сработал.

Законно ли использовать VPN в России

Использовать VPN для личных нужд в России не запрещено. Закон ограничивает рекламу VPN-сервисов и обязывает их блокировать доступ к запрещённым сайтам, если они работают на территории РФ. Но ходить в интернет через VPN, чтобы защитить трафик в кафе, — это законно.

Проблемы возникают у сервисов, которые отказываются исполнять требования Роскомнадзора. Роскомнадзор блокирует их на уровне провайдеров. Поэтому некоторые зарубежные VPN могут перестать работать без дополнительных настроек. Если ваш сервис перестал подключаться, попробуйте сменить протокол на WireGuard или использовать функцию обфускации трафика, если она есть. WireGuard часто не блокируется, потому что его сложнее отличить от обычного HTTPS-трафика.

Ещё один момент: в 2024 году вступили в силу поправки, которые ужесточают требования к VPN-сервисам. Но они касаются в основном тех, кто предоставляет доступ к запрещённым ресурсам. Для пользователя, который хочет просто не отдать пароль в аэропорту, рисков нет. Главное — не использовать VPN для обхода блокировок, а только для шифрования трафика в небезопасных сетях.

VPN не освобождает от ответственности за противоправные действия. Если вы используете его для запрещённых законом вещей, наказание не отменяется. Для повседневной защиты данных в публичных сетях претензий нет.

Короткий чек-лист безопасности перед подключением к Wi-Fi

Перед тем как подключиться к публичному Wi-Fi, пробегитесь по этому списку. Он займёт 30 секунд и спасёт от 90% угроз. Главное — не расслабляться, даже если вокруг всё выглядит обычно. Злоумышленники не носят табличек.

1. Включите VPN и убедитесь, что kill switch активен.
2. Проверьте, что вы подключились к официальной сети заведения, а не к точке с похожим именем. Спросите название у сотрудника.
3. Отключите автоматическое подключение к открытым Wi-Fi в настройках телефона.
4. Убедитесь, что на сайтах, где вводите пароли, есть значок замка и адрес начинается с https://.
5. Не вводите данные карты и пароли на сайтах, пока не проверили VPN на утечки IP и DNS.
6. Включите двухфакторную аутентификацию для почты, соцсетей и банка. Даже если пароль украдут, без второго фактора не войти.
7. Обновите операционную систему и приложения до подключения — закрытые уязвимости не дадут атаковать устройство.

Этот чек-лист не гарантирует 100% безопасность, но отсекает самые распространённые атаки. Например, поддельная точка доступа не сможет перехватить трафик, потому что он уже зашифрован VPN. А если вы ошиблись сетью, kill switch не даст данным утечь в открытую.

Закройте своё соединение за одну минуту Шифруем трафик на любом Wi-Fi — в кафе, в отеле, в аэропорту. 3 дня за 10 ₽. Тарифы от 200 ₽/мес · СБП и карта · ключ сразу после оплаты Взять 3 дня за 10 ₽