Как включить два VPN одновременно: полное руководство по настройке двойного VPN

Зачем нужны два VPN одновременно

Ситуации, когда требуется одновременно использовать два VPN-соединения, встречаются чаще, чем кажется. Самый распространённый сценарий — удалённая работа: корпоративный VPN даёт доступ к внутренним ресурсам компании, а личный VPN нужен для обхода блокировок или защиты трафика в интернете. Без правильной настройки эти два туннеля конфликтуют, и доступ либо к корпоративной сети, либо к интернету пропадает.

Другой сценарий — повышение анонимности. Двойной VPN, когда трафик проходит через два сервера в разных странах, затрудняет отслеживание: точка входа и точка выхода разнесены, и связать их сложнее. Это востребовано у журналистов, активистов и всех, кто работает с чувствительными данными.

Наконец, два VPN могут использоваться для разделения трафика: например, один туннель для torrent-клиента, другой — для обычного серфинга. Это позволяет не смешивать разные виды активности и избегать утечек.

Важно понимать: просто запустить два VPN-клиента одновременно недостаточно. Операционная система использует одну таблицу маршрутизации, и второй туннель, скорее всего, перехватит весь трафик, оставив первый без работы. Нужна специальная настройка маршрутов и DNS.

Основные схемы двойного VPN: цепочка, параллель, разделение

Существует три принципиально разные схемы организации двух VPN-соединений.

Цепочка (VPN внутри VPN) — самый простой для понимания, но и самый медленный вариант. Вы подключаетесь к первому VPN-серверу, затем внутри этого туннеля поднимаете второй VPN к другому серверу. Весь трафик проходит через два шифрованных канала последовательно. Промежуточный сервер не видит содержимого трафика, но видит, что идёт второй VPN. Задержки и потери скорости суммируются, MTU уменьшается. Такой способ часто используют для максимальной анонимности, но для повседневной работы он неудобен.

Параллельные туннели — оба VPN подключены одновременно, но каждый обрабатывает свой трафик. Например, корпоративный VPN — только для доступа к внутренним IP-адресам компании, а личный — для всего остального. Это самый практичный вариант для удалённой работы. Требует настройки политики маршрутизации (Policy Based Routing, PBR).

Разделение через прокси — один VPN используется как прокси для отдельных приложений, второй — как основной туннель. Например, браузер ходит через SOCKS-прокси, поднятый внутри VPN, а остальной трафик идёт через другой VPN. Такой подход гибок, но требует поддержки прокси в приложениях.

Выбор схемы зависит от задачи: для работы — параллельные туннели, для анонимности — цепочка, для гибкости — прокси.

Настройка двух VPN на Linux: маршрутизация и DNS

Linux предоставляет наибольшие возможности для управления несколькими VPN-соединениями. Основной инструмент — Policy Based Routing (PBR), который позволяет направлять трафик в разные таблицы маршрутизации в зависимости от источника, назначения или других параметров.

Рассмотрим типовую задачу: корпоративный VPN (WireGuard) и личный VPN (OpenVPN). После подключения обоих туннелей появляются виртуальные интерфейсы, например wg0 и tun0. Нужно, чтобы трафик к корпоративным сетям (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) шёл через wg0, а весь остальной — через tun0.

Для этого создаются отдельные таблицы маршрутизации. В файле /etc/iproute2/rt_tables добавляются строки:

200 corp
201 personal

Затем заполняются таблицы:

ip route add default dev wg0 table corp
ip route add default dev tun0 table personal

И добавляются правила:

ip rule add to 10.0.0.0/8 lookup corp
ip rule add from 10.0.0.0/8 lookup corp
ip rule add lookup personal priority 1000

Отдельно нужно настроить DNS. Для корпоративных доменов (например, company.internal) запросы должны идти на корпоративный DNS-сервер, для остальных — на публичный. Это решается с помощью dnsmasq или systemd-resolved с split-DNS.

Существуют готовые инструменты, например dual-vpn-router, который автоматизирует эти шаги. Он создаёт конфигурацию в YAML, где указываются интерфейсы VPN, корпоративные домены и сети. После подключения обоих VPN достаточно выполнить dual-vpn setup, и маршрутизация настроится автоматически. Важно помнить порядок: сначала подключаются VPN, потом запускается настройка, а при завершении — сначала cleanup, потом отключение VPN.

Двойной VPN на Windows и macOS: доступные методы

На Windows и macOS встроенные средства не позволяют гибко управлять несколькими VPN-туннелями, но есть обходные пути.

Windows: можно использовать встроенную маршрутизацию через route add с метриками, но это работает только для статических маршрутов и не решает проблему DNS. Более надёжный способ — использовать сторонние программы, например ForceBindIP для привязки конкретных приложений к определённому сетевому интерфейсу. Также можно поднять виртуальную машину с Linux и настроить в ней двойной VPN, а на Windows использовать её как шлюз.

macOS: система позволяет создавать несколько VPN-конфигураций, но одновременно активным может быть только одно подключение. Для параллельной работы придётся использовать прокси-серверы: например, поднять SOCKS-прокси внутри одного VPN и настроить приложения на работу через него. Либо использовать виртуальную машину.

Ещё один универсальный способ — использовать роутер с поддержкой VPN. На роутере с OpenWrt можно настроить два VPN-туннеля и маршрутизацию между ними. Тогда все устройства в домашней сети будут автоматически использовать нужный туннель для нужного трафика, и не потребуется настраивать каждый компьютер отдельно.

Двойной VPN на Android и iOS: ограничения и решения

Мобильные операционные системы имеют строгие ограничения на VPN: одновременно может работать только один VPN-сервис. Это связано с тем, что VPN-подключение создаёт виртуальный интерфейс, и система не позволяет нескольким приложениям управлять им одновременно.

Однако есть обходные пути. На Android с root-правами можно использовать iptables для разделения трафика между двумя VPN-туннелями, но это сложно и требует глубоких знаний. Более простой вариант — использовать приложения, которые поддерживают цепочку VPN, например WireGuard в связке с Orbot (Tor). Но это опять же последовательное соединение.

Для iOS возможности ещё более ограничены. Можно использовать только один VPN-профиль одновременно. Если нужен двойной VPN, придётся либо использовать сторонние приложения, которые предоставляют такую функцию (например, некоторые коммерческие VPN-сервисы с функцией Double VPN), либо настраивать VPN на роутере и подключаться к нему.

Наиболее практичное решение для мобильных устройств — использовать VPN на роутере. Тогда телефон или планшет подключаются к Wi-Fi, и весь трафик уже идёт через нужный туннель. При этом на самом устройстве VPN можно не включать.

Проблемы и типичные ошибки при настройке двух VPN

Самая распространённая ошибка — попытка просто запустить два VPN-клиента без настройки маршрутов. Второй туннель перехватывает весь трафик, и первый перестаёт работать. Это происходит потому, что VPN-клиенты по умолчанию добавляют маршрут по умолчанию (default route), и последний подключённый туннель выигрывает.

Вторая ошибка — неправильный порядок подключения. Если сначала подключить личный VPN, а потом корпоративный, то корпоративный туннель может попытаться установить соединение через уже существующий туннель, что приведёт к сбою. Рекомендуется сначала подключать корпоративный VPN, затем личный, и добавлять маршрут до сервера второго VPN через локальный шлюз.

Третья проблема — конфликт DNS. Если оба VPN передают свои DNS-серверы, система может использовать DNS от второго туннеля для запросов к корпоративным ресурсам, и они не будут резолвиться. Нужно настроить split-DNS, чтобы запросы к корпоративным доменам шли на корпоративный DNS, а остальные — на публичный.

Также важно помнить о MTU. При двойной инкапсуляции размер пакета уменьшается, и если не скорректировать MTU, возможны проблемы с загрузкой некоторых сайтов. Обычно достаточно установить MTU на 1400 или меньше.

Наконец, не забывайте про порядок завершения работы: сначала нужно удалить правила маршрутизации и восстановить DNS, а только потом отключать VPN. Иначе система останется в нерабочем состоянии.

Инструменты для автоматизации двойного VPN

Ручная настройка маршрутизации и DNS — трудоёмкий процесс, который легко ошибиться. К счастью, существуют инструменты, автоматизирующие эту задачу.

dual-vpn-router — утилита для Linux, которая управляет двумя VPN-соединениями через Policy Based Routing. Она поддерживает split-DNS, автоматическое определение интерфейсов VPN и простой CLI. После подключения обоих VPN достаточно выполнить dual-vpn setup, и маршрутизация настроится. Конфигурация хранится в YAML-файле, где указываются корпоративные домены, DNS-серверы и сети.

NetworkManager — встроенный менеджер сетей в Linux, который поддерживает несколько VPN-подключений. С помощью nmcli можно настроить маршрутизацию для каждого подключения, указав ipv4.routes и ipv4.ignore-auto-routes. Однако это требует ручного редактирования конфигурации.

WireGuard сам по себе позволяет указать AllowedIPs для каждого туннеля. Если задать в конфигурации корпоративного VPN только корпоративные подсети, а в личном — 0.0.0.0/0, то оба туннеля будут работать параллельно без дополнительных инструментов. Это самый простой способ для WireGuard.

Для Windows и macOS можно использовать Proxifier или ProxyCap — программы, которые перенаправляют трафик отдельных приложений через прокси. Они позволяют использовать один VPN как прокси для конкретных программ, а другой — как основной туннель.

Выбор инструмента зависит от вашей операционной системы и протоколов VPN. На Linux лучший вариант — dual-vpn-router или ручная настройка, на Windows — Proxifier, на мобильных — VPN на роутере.

Безопасность и производительность двойного VPN

Двойной VPN повышает уровень приватности, но не является панацеей. Важно понимать, какие угрозы он действительно закрывает, а какие нет.

Цепочка из двух VPN защищает от наблюдения со стороны интернет-провайдера: он видит только первое подключение, но не видит, куда идёт трафик после первого сервера. Однако первый VPN-сервер видит весь трафик, если он не зашифрован вторым туннелем. В схеме VPN внутри VPN первый сервер видит только зашифрованный трафик второго туннеля, поэтому он не может прочитать содержимое.

Параллельные туннели не повышают анонимность, но решают задачу разделения трафика. При этом важно следить за утечками DNS: если DNS-запросы уходят через неправильный туннель, это может раскрыть вашу активность.

Производительность двойного VPN всегда ниже, чем одиночного. Каждый туннель добавляет задержку и снижает пропускную способность. В цепочке задержки суммируются, поэтому для чувствительных к задержкам приложений (видеозвонки, игры) двойной VPN может быть неприемлем.

Также стоит учитывать, что некоторые сервисы (банки, стриминговые платформы) блокируют трафик с известных VPN-IP-адресов. При использовании двойного VPN вероятность блокировки выше, так как IP-адрес выхода может быть в чёрных списках.

Наконец, не забывайте о юридических аспектах: в некоторых странах использование VPN ограничено или запрещено. Двойной VPN не делает вас неуязвимым для закона.

Пошаговый пример: настройка двух WireGuard на Linux

Рассмотрим практический пример настройки двух WireGuard-туннелей на Linux. Предположим, у нас есть корпоративный VPN с интерфейсом wg0 и личный VPN с интерфейсом wg1. Нужно, чтобы трафик к сетям 10.0.0.0/8 шёл через wg0, а весь остальной — через wg1.

1. Подключаем оба VPN-туннеля. Для этого используем wg-quick up wg0 и wg-quick up wg1. Проверяем, что интерфейсы появились: ip link show.

1. Создаём таблицы маршрутизации. В файл /etc/iproute2/rt_tables добавляем:

200 corp
201 personal

1. Заполняем таблицы маршрутами:

ip route add default dev wg0 table corp
ip route add default dev wg1 table personal

1. Добавляем правила:

ip rule add to 10.0.0.0/8 lookup corp
ip rule add from 10.0.0.0/8 lookup corp
ip rule add lookup personal priority 1000

1. Настраиваем DNS. В /etc/resolv.conf указываем публичный DNS (например, 8.8.8.8). Для корпоративных доменов добавляем в /etc/dnsmasq.conf:

server=/company.internal/192.168.1.1

И запускаем dnsmasq.

1. Проверяем: ip route show table corp, ip route show table personal, curl ifconfig.co — должен показать IP личного VPN.

1. Для автоматизации можно использовать скрипт, который выполняет эти команды при подключении VPN.

Важно: если корпоративный VPN использует OpenVPN, интерфейс будет tun0, и команды аналогичны. Главное — правильно указать интерфейсы в таблицах.

Когда двойной VPN не нужен: альтернативы

Двойной VPN — мощный инструмент, но не всегда он оправдан. В некоторых случаях достаточно более простых решений.

Если ваша цель — обойти блокировки, достаточно одного VPN-сервера в подходящей стране. Двойной VPN только замедлит соединение без видимых преимуществ.

Если вам нужно разделить трафик между корпоративным и личным VPN, можно использовать один VPN с функцией split-tunneling. Многие коммерческие VPN-сервисы позволяют указать, какие приложения или IP-адреса должны идти через туннель, а какие — напрямую. Это проще, чем настраивать два отдельных туннеля.

Для повышения анонимности вместо двойного VPN можно использовать Tor. Он обеспечивает многослойное шифрование и распределение по цепочке из трёх узлов, что сопоставимо с двойным VPN, но с лучшей анонимностью (хотя и меньшей скоростью).

Если вам нужен доступ к корпоративным ресурсам и одновременно обход блокировок, можно использовать прокси-сервер для отдельных приложений. Например, браузер настроен на SOCKS-прокси, который идёт через личный VPN, а остальной трафик — через корпоративный.

Наконец, для мобильных устройств проще использовать VPN на роутере, чем пытаться настроить два туннеля на самом устройстве.

Прежде чем настраивать двойной VPN, чётко сформулируйте задачу. Возможно, есть более простое и быстрое решение.

Вопросы и ответы