Как раздать VPN с телефона на другие устройства

Ситуация знакомая: в отеле или на даче есть только мобильный интернет, на телефоне включён VPN, рядом лежит ноутбук без своего подключения. Кажется логичным включить на телефоне точку доступа и «поделиться» защищённым соединением. Ноутбук подключается, интернет появляется — на этом проверка обычно и заканчивается, потому что всё как будто работает.

Работает, но не то, что вы думаете. На Android и iOS обычная точка доступа не передаёт VPN-туннель: трафик подключённых устройств идёт напрямую через мобильную сеть, минуя туннель, поднятый на самом телефоне. Значок VPN горит, страница открывается, а защищён при этом только экран телефона.

Разберём, почему так устроено, как убедиться в этом за минуту и какие способы действительно распространяют VPN на несколько устройств. Точки доступа в этом списке не будет — зато будет четыре рабочих варианта разной сложности.

Почему точка доступа не расширяет туннель

Причина в том, на каком уровне работает VPN на мобильных системах. На Android приложение получает от системы виртуальный сетевой интерфейс через механизм VpnService: система заворачивает в него трафик приложений этого устройства. На iOS логика та же — туннель поднимается для процессов самого устройства. Ни там, ни там VPN-клиент не становится маршрутизатором для чужого трафика: у него нет ни такой задачи, ни соответствующих прав. Как настраивается сам клиент на телефоне, разобрано в статье «Как настроить VPN на Android».

Режим модема живёт в той же системе, но на другом пути. Раздавая Wi-Fi, телефон выполняет роль простейшего роутера: принимает пакеты подключённых устройств, подменяет адреса и отправляет дальше. «Дальше» здесь означает «в мобильный интерфейс», а не «в туннель». Два пути в системе просто не сходятся: приложения телефона уходят в один интерфейс, гости — в другой.

Отсюда следствие, которое обычно и удивляет: VPN на телефоне при этом абсолютно рабочий. Браузер на телефоне показывает адрес VPN-сервера, приложения ходят через туннель, статус подключения честный. Просто к подключённым устройствам всё это отношения не имеет — и система нигде об этом не предупреждает, потому что с её точки зрения ошибки нет.

Оговорка: поведение задаётся прошивкой, и на отдельных сборках Android с расширенными правами картина может отличаться. Но по умолчанию, на устройствах в том виде, в котором их продают, ответ один — не передаёт. Строить домашнюю или рабочую схему на исключениях не стоит: их нужно проверять на конкретном устройстве, а не предполагать.

Как проверить за минуту

Верить здесь не нужно ни статье, ни здравому смыслу — есть прямая проверка, которая занимает меньше времени, чем чтение этого раздела.

Включите VPN на телефоне и убедитесь, что он подключён.
Включите точку доступа и подключите к ней ноутбук или планшет.
На подключённом устройстве откройте любой сервис, показывающий внешний IP-адрес, и посмотрите, какая страна и какой оператор определились.
Откройте то же самое на телефоне и сравните.

Если на телефоне видно страну VPN-сервера, а на ноутбуке — вашего оператора связи, всё именно так, как описано выше. Заодно посмотрите, чей DNS отвечает на подключённом устройстве: обычно провайдерский, потому что имена ему разрешает та же цепочка, что работала до включения VPN.

Что из этого следует

Ложное чувство защиты хуже её отсутствия. Человек, который считает ноутбук защищённым, ведёт себя как защищённый: реже смотрит на адресную строку, спокойнее работает в незнакомой сети.
Публичный Wi-Fi через телефон не «обезвреживается». Схема «телефон подключён к сети кафе и раздаёт её дальше» на большинстве устройств вообще не собирается: режим модема раздаёт мобильный интернет, а не Wi-Fi, к которому подключён телефон.
Системная блокировка соединений без VPN тут не работает. Опция «Блокировать соединения без VPN» на Android рассчитана на приложения устройства, а не на гостей точки доступа, и полагаться на неё как на защиту второго ноутбука нельзя.
Лимит подписки расходуется не так, как кажется. Телефон занимает одно подключение, и сколько устройств вы к нему подключили, сервису неизвестно — отдельных туннелей у них нет.
Проблема не в сервисе. Менять VPN, протокол или сервер бессмысленно: ограничение лежит в мобильной операционной системе, а не в подписке.

Способы, которые действительно работают

Клиент на каждом устройстве

Самый скучный и самый надёжный вариант. У ноутбука, планшета и второго телефона есть свои приложения VPN, и каждое поднимает собственный туннель — со своим шифрованием, своим DNS и своим внешним адресом. Ограничение здесь не техническое, а тарифное: сколько одновременных подключений допускает подписка. Приложения под все четыре основные платформы есть у большинства сервисов — у LOKI VPN, например, одна подписка покрывает несколько устройств на Windows, macOS, Android и iOS. Как устроен этот лимит и почему он считается по активным сессиям, а не по «железу», разобрано в статье «Одна подписка VPN на все устройства».

VPN на роутере

Домашний вариант: туннель поднимает сам роутер, и всё, что подключено к его сети, выходит в интернет через него — включая телевизоры и приставки, которым сторонние приложения ставить некуда. Здесь раздача работает по-настоящему, потому что роутер и создан быть маршрутизатором: пересылка чужих пакетов — его основная работа, а не побочный режим. Какие модели это умеют и что понадобится от сервиса — в статье «Как настроить VPN на роутере».

Отдельный роутер за телефоном

Дорожный вариант — как раз то, что чаще всего и ищут, когда спрашивают про раздачу с телефона. Компактный роутер подключается к точке доступа телефона как обычный клиент, а VPN поднимает уже сам, на своей стороне. Устройства дальше подключаются не к телефону, а к этому роутеру, и попадают в туннель, потому что туннель начинается за телефоном, а не на нём. Телефон в такой схеме — просто канал в интернет, и никакой особой роли не играет.

Что стоит проверить до покупки: умеет ли роутер работать клиентом Wi-Fi, есть ли в нём VPN-клиент нужного протокола и даёт ли ваш сервис файлы конфигурации для сторонних устройств. Если хотя бы один пункт не сходится, схема не соберётся — и выяснить это дешевле заранее.

Раздача с компьютера

На Windows и macOS ситуация принципиально другая: там есть штатный общий доступ к интернету, и пересылка трафика настраивается так, что подключённые устройства уходят в туннель компьютера. Это рабочий способ подключить телевизор или приставку, когда роутер VPN не поддерживает; отдельным вариантом он разобран в материале «VPN для Smart TV».

Промежуточные варианты

Между «ничего не получится» и «купить роутер» есть несколько решений, которые снимают задачу без покупок.

Проводной тетеринг ничего не меняет. USB и Bluetooth ведут себя как Wi-Fi: это тот же режим модема, туннель по ним не расширяется. Кабель добавляет стабильности, но не защиты.
Устройство, которое умеет само, — пусть делает само. Ноутбук, планшет, Android TV: если приложение сервиса под платформу существует, это всегда короче любых схем с мостами и роутерами.
Разделить задачи осознанно. Часто VPN нужен не «всему дому», а одному приложению на одном устройстве. Телефон с туннелем и ноутбук без него — нормальная конфигурация, если вы понимаете, что именно на ноутбуке не защищено.
Не путать раздачу с доступом к подписке. Это два разных вопроса: первый про маршрутизацию трафика, второй про то, кому можно дать доступ и сколько подключений допускает тариф. Второй разобран в статье «Как поделиться VPN-подпиской с семьёй».

Чего VPN здесь не делает

Это главный раздел темы, потому что именно здесь обычно и проходит граница, которую переступают по невнимательности.

Раздача Wi-Fi не расширяет туннель. Точка доступа делится каналом в интернет, а не защитой. Это две независимые функции, и вторая на подключённые устройства не распространяется ни при каких настройках.
VPN на телефоне не защищает подключённые устройства. Ни их трафик, ни их DNS-запросы, ни их внешний адрес к туннелю телефона не относятся.
Он не делает гостей вашей точки доступа анонимными. Они выходят в интернет с адреса вашего оператора связи, и по этому адресу видно именно вас.
Он не превращает телефон в шифрующий роутер. Мобильная система не рассчитана на пересылку чужого трафика через туннель, и настройками это не «включается».
Он не заменяет защиту на самих устройствах. Обновления, пароли, внимательность к ссылкам работают независимо от того, чей туннель поднят рядом.

Проверять надо не значок VPN на телефоне, а внешний IP-адрес на том устройстве, которое вы считаете защищённым. Это единственный ответ, который невозможно перепутать.

Частые вопросы

Можно ли раздать VPN с телефона через точку доступа?

По умолчанию нет: подключённые устройства выходят в интернет мимо туннеля. VPN на Android и iOS работает для приложений самого телефона, а не для чужого трафика. Чтобы туннель охватил другие устройства, нужен роутер с VPN-клиентом или отдельный клиент на каждом устройстве.

Почему на телефоне VPN работает, а на подключённом ноутбуке нет?

Потому что это два разных пути внутри системы. Приложения телефона система направляет в виртуальный интерфейс туннеля, а пакеты подключённых устройств пересылает сразу в мобильный интерфейс. Оба маршрута рабочие, просто через туннель идёт только первый.

Поможет ли подключение по USB вместо Wi-Fi?

Нет. USB-модем и Bluetooth используют тот же механизм раздачи, что и точка доступа Wi-Fi, поэтому результат такой же: трафик подключённого устройства идёт мимо туннеля.

Вывод

Раздать VPN с телефона на другие устройства через точку доступа нельзя — не потому, что вы что-то настроили неправильно, а потому, что мобильный VPN работает на уровне приложений устройства и не пересылает чужой трафик. Полезно это знать до того, как вы решите, что ноутбук в незнакомой сети защищён. Рабочих путей четыре: клиент на каждом устройстве в рамках одной подписки, VPN на домашнем роутере, компактный роутер за точкой доступа телефона и общий доступ к интернету с компьютера. Выбор между ними — вопрос того, стационарная у вас задача или дорожная. А начинать в любом случае стоит с проверки внешнего IP-адреса на том устройстве, ради которого всё затевалось.