Минимальная запись для разбора VPN
Стадия: разрешение имени → соединение с сервером → авторизация → передача внутри туннеля. Для сбоя запишите время с часовым поясом, ОС/клиент, разрешённый протокол, обезличенный код ошибки, какой путь сравнивался и работает ли DNS. Не включайте в журнал пароль, токен, закрытый ключ и личные адреса. Протокол/сервер меняйте только в разрешённой конфигурации, временные фильтры возвращайте.
Что уже доказывает успешное подключение через телефон
Если тот же ноутбук, клиент, профиль, логин и сервер работают через мобильную точку доступа, учётные данные и базовая конфигурация VPN, скорее всего, исправны. Разница находится в домашнем маршруте: DNS выдаёт другой адрес, роутер блокирует протокол, MTU не подходит, IPv6 выбирается неверно, фильтрация безопасности вмешивается или провайдер обрабатывает трафик иначе. Это полезная диагностическая развилка, но она не доказывает, что виноват только роутер: домашний и мобильный операторы используют разные сети и ограничения.
Важно: Если VPN выдан работодателем, не меняйте сервер, сертификаты и протокол без согласования. Корпоративная служба может блокировать неизвестные варианты подключения и вести журнал попыток.
Запишите точную стадию ошибки
Клиент может не находить имя сервера, не устанавливать транспортное соединение, зависать на аутентификации или подключаться без доступа к ресурсам. Эти случаи различаются. Ошибка DNS требует проверки разрешения имени; timeout — маршрута, порта или MTU; неверный пароль — времени, сертификата и учётных данных; подключение без трафика — маршрутов и DNS внутри туннеля. Скопируйте код и журнал клиента до перезапусков. Формулировка «VPN не работает» слишком общая для точной настройки.
Проверьте DNS до подключения
Сравните, какой IP возвращает имя VPN-сервера через домашнюю и мобильную сеть. Родительский контроль, фильтр рекламы, безопасный DNS или устаревший кэш роутера могут блокировать домен. Временно укажите надёжный DNS на устройстве либо подключитесь к серверу по официально разрешённому IP, если это предусмотрено администратором. Не заменяйте имя IP-адресом в сертификатном профиле без инструкции: проверка имени сертификата может завершиться ошибкой.
Протоколы и фильтрация роутера
Разные VPN используют UDP, TCP, IPsec, GRE или собственный транспорт. Настройки VPN Passthrough относятся в основном к IPsec, PPTP или L2TP и не нужны каждому современному клиенту. Firewall, защита от атак, родительский контроль и DPI-функции роутера иногда блокируют или ограничивают UDP. Отключайте функции по одной только для короткого теста и возвращайте защиту после проверки. Лучше создать точное правило для известного сервера, чем оставить весь брандмауэр выключенным.
MTU и фрагментация
VPN добавляет заголовки, поэтому полезный пакет становится больше. Если домашний путь имеет уменьшенный MTU — например, из-за PPPoE — крупные пакеты могут исчезать, когда ICMP-сообщения о необходимости уменьшения размера блокируются. Туннель иногда устанавливается, но сайты внутри не открываются, либо подключение зависает на обмене сертификатами. Мобильная сеть использует другой путь и работает. Проверьте Path MTU и настройте MTU или MSS на VPN/роутере по результату, а не ставьте минимальное число наугад.
IPv6 и выбор адреса
Домашний провайдер может выдавать IPv6, а мобильная сеть — другой тип подключения. Клиент сначала выбирает IPv6-адрес сервера, но маршрутизация или firewall настроены неполно. Для теста временно отключите IPv6 на одном устройстве и повторите. Если помогло, не обязательно отключать IPv6 во всём доме: исправьте DNS, прошивку и правила либо используйте корректный адрес сервера. Обратный сценарий тоже возможен, когда VPN ожидает IPv6, а домашняя сеть его не предоставляет.
Двойной NAT и оборудование провайдера
Исходящие VPN обычно работают за NAT, но некоторые IPsec-сценарии чувствительны к двойному преобразованию адресов и ALG. Если перед вашим роутером стоит модем-роутер, переведите один из них в режим моста или точки доступа по инструкции, либо включите корректный NAT traversal. Не помещайте устройство без необходимости в DMZ: это не исправляет исходящий DNS и MTU, но увеличивает поверхность атаки. CGNAT провайдера чаще мешает входящим соединениям, а не обычному клиентскому VPN.
Пошаговая диагностика
- Сохраните код ошибки и журнал. Отметьте, происходит ли сбой до аутентификации или после подключения.
- Сравните DNS. Проверьте разрешение имени сервера через обе сети.
- Подключите компьютер кабелем к роутеру. Это исключит локальные потери Wi-Fi, но сохранит тот же интернет-маршрут.
- Перезапустите роутер и обновите прошивку. Сохраните конфигурацию и не сбрасывайте её без необходимости.
- Отключайте фильтры по одному. Проверьте родительский контроль, защиту трафика и VPN passthrough в соответствии с протоколом.
- Проверьте IPv6 и MTU. Используйте временное изменение на одном клиенте, затем исправляйте первопричину.
- Сравните прямое подключение к оборудованию провайдера. Если безопасно и разрешено, это отделит ваш роутер от линии оператора.
Почему VPN подключён, но сайты не открываются
В этом случае транспорт и аутентификация уже работают. Проверяйте маршруты, DNS внутри туннеля и MTU. Команда просмотра таблицы маршрутизации покажет, куда направляется трафик. При split tunneling только корпоративные сети идут в VPN, а интернет остаётся напрямую; при full tunnel весь поток должен получить маршрут через виртуальный адаптер. Конфликт подсетей возникает, если домашняя сеть и удалённая используют одинаковый диапазон, например 192.168.1.0/24. Смена LAN-подсети дома часто решает доступ к удалённым адресам.
Конфликт одинаковых локальных подсетей
Если офисный ресурс имеет адрес 192.168.1.50, а домашний роутер использует ту же сеть, компьютер считает адрес локальным и не отправляет его в туннель. Через мобильную точку доступа диапазон обычно другой, поэтому всё работает. Проверьте маршруты и измените домашнюю LAN-сеть на менее распространённый диапазон, например другой частный /24, сохранив DHCP. После изменения переподключите устройства и обновите статические адреса принтеров и камер.
Время и сертификаты
Неверные часы на роутере редко влияют на клиент напрямую, но время компьютера критично для сертификатов. Мобильное подключение может автоматически исправить время, а домашняя сеть — блокировать NTP. Сверьте дату, часовой пояс и синхронизацию. Если клиент сообщает об истёкшем или ещё не действующем сертификате, не обходите проверку: исправьте время или обратитесь к администратору за обновлённым сертификатом.
Когда виноват провайдер
Если VPN не работает и при прямом подключении без вашего роутера, а через другого оператора работает, соберите трассировку, время и адрес сервера. Провайдер может иметь маршрутную проблему, фильтрацию UDP или неисправный CGNAT-шлюз. Переключение протокола допустимо, если сервер и политика это поддерживают. Не пытайтесь обходить ограничения корпоративной или государственной сети без разрешения; задача диагностики — определить технический участок и обратиться к соответствующей стороне.
Чего не делать
Не открывайте все входящие порты и не включайте DMZ для компьютера. Клиентскому VPN это обычно не требуется. Не отключайте firewall навсегда. Не скачивайте случайный «фикс VPN», который меняет системные маршруты и сертификаты. Не сбрасывайте роутер до сохранения PPPoE, VLAN и телефонии. Не меняйте MTU на очень низкое значение без теста: соединение станет медленным и симптом может лишь замаскироваться.
Когда нужна помощь специалиста
Настройка требуется при сложной схеме с модемом, двумя роутерами, VLAN, корпоративным IPsec и одинаковыми подсетями. Специалист сравнит DNS, маршрут, захват пакетов, MTU и firewall и покажет, на каком этапе исчезает обмен. Если проблема на стороне корпоративного сервера или провайдера, эти данные позволят сформулировать точное обращение вместо общего «не подключается».
Ответы на частые вопросы
Нужно ли пробрасывать порт на роутере
Для обычного исходящего VPN-клиента — обычно нет. Проброс нужен, когда сервер находится у вас дома и принимает входящие подключения.
Может ли CGNAT мешать
Некоторым протоколам и нестандартным сценариям — да, но большинство современных клиентов используют NAT traversal. Сначала проверяют DNS, firewall, MTU и двойной NAT.
Почему помогает перезапуск роутера
Очищаются таблицы соединений, DNS-кэш и зависший модуль фильтрации. Если эффект временный, обновите прошивку и проверьте ресурсы устройства.
Сравнение результатов помогает локализовать блокировку
| Результат теста | Что он означает |
|---|---|
| VPN не устанавливает туннель только дома | Фильтрация протокола, DNS, порт, время или маршрутизация до сервера |
| Туннель подключён, но ничего не открывается | Маршруты, MTU, DNS внутри VPN или конфликт подсетей |
| Работают IP-адреса, но не доменные имена | Проблема DNS, split DNS или перехват запросов |
| Через Ethernet работает, по Wi-Fi нет | Изоляция, гостевая сеть, фильтр устройства или нестабильный радиоэфир |
| Не работает на всех устройствах одного провайдера | Вероятна особенность маршрута или фильтрация у оператора |
Проверка без ослабления безопасности роутера
Для диагностики не требуется помещать компьютер в DMZ, отключать firewall или открывать все входящие порты. Большинство клиентских VPN инициирует соединение изнутри, поэтому NAT пропускает ответы автоматически. Достаточно временно отключить только конкретные функции, способные анализировать трафик: родительский контроль, веб-фильтр, безопасный DNS, IPS или аппаратное ускорение, если это рекомендовано документацией. После каждого теста возвращайте параметр и записывайте результат. Так вы найдёте конфликт, не оставив сеть незащищённой.
Как проверить конфликт локальных адресов на практике
Посмотрите адрес домашнего шлюза до подключения и таблицу маршрутов после запуска VPN. Если и дом, и удалённая сеть используют, например, 192.168.1.0/24, система не понимает, куда отправлять пакеты. Временный тест — изменить LAN домашнего роутера на другую частную подсеть, например 192.168.50.0/24, после чего переподключить устройства. Для корпоративного доступа правильнее согласовать диапазоны с администратором. Ручные постоянные маршруты без понимания могут открыть не тот интерфейс или нарушить доступ к локальным устройствам.
Логи, которые действительно полезны
Сохраните время попытки, адрес сервера, выбранный протокол и последние строки журнала без паролей и закрытых ключей. Формулировки timeout, TLS handshake failed, authentication failed, no route, DNS resolve error и MTU-related retransmission указывают на разные этапы. Одновременно журнал роутера покажет смену WAN-адреса, блок IPS или разрыв PPPoE. Не публикуйте конфигурационный файл целиком: в нём могут быть сертификаты, токены и приватные ключи.
Когда менять протокол допустимо
Переключение между официально поддерживаемыми WireGuard, IKEv2, OpenVPN TCP/UDP или другим профилем полезно как диагностический тест. Если один вариант работает, а другой нет, проблема связана с транспортом, портом или обработкой NAT. Но использование случайных маскировок и чужих серверов не заменяет поиск причины и может нарушать правила организации. Для рабочего VPN запросите у администратора утверждённый резервный профиль.
Тест с другим устройством отделяет профиль от домашней сети
Подключите к домашнему роутеру второй телефон или компьютер с официальным профилем того же VPN. Если оба не работают, ищите общую причину в DNS, маршруте, MTU или фильтрах. Если второй подключается, сравните версии клиента, системное время, виртуальные адаптеры и локальный firewall первого устройства. Не переносите приватный ключ через незащищённый мессенджер: запросите отдельный тестовый профиль у администратора либо выполните проверку на своём устройстве.
Итог
Работа через мобильную сеть показывает, что профиль в целом исправен, а различие находится в домашнем маршруте. Зафиксируйте стадию ошибки, сравните DNS, подключитесь по кабелю, проверьте фильтры, IPv6, MTU и совпадение подсетей. Не открывайте порты и не отключайте защиту без основания. Последовательная проверка отделяет роутер, провайдера и корпоративный сервер и приводит к точному решению.
Если через домашний роутер недоступны и обычные сайты, пригодится инструкция «Некоторые сайты не открываются только через домашний роутер при включённом IPv6».