Почему VPN не работает на Ростелекоме: диагностика

VPN не работает на Ростелекоме, хотя на мобильном интернете тот же сервер подключается без проблем? Бывает и так: значок горит, но сайты открываются наполовину, а после настройки VPN на роутере перестал работать Wink. Легко решить, что провайдер блокирует VPN, но дома причина почти всегда техническая: тип подключения, настройки терминала или то, как VPN-клиент обходится с IPv6 и DNS.

Ниже — порядок проверки: быстрые тесты, особенности домашней линии, терминал и приставка, а затем настройки самого VPN.

Быстрая проверка за 5 минут

Выключите VPN и откройте пару сайтов. Если интернета нет и без VPN, дело в линии или балансе — загляните в личный кабинет или позвоните в поддержку.
Отключите телефон от домашнего Wi-Fi и включите VPN на мобильных данных. Работает — ищите причину в домашнем подключении; не работает нигде — в приложении или сервере.
Выключите из розетки оборудование провайдера и свой роутер, если он есть, на полминуты. Кнопку Reset не трогайте: сброс может стереть настройки подключения.
С включённым VPN откройте страницу с большим количеством картинок. Текст появился, а картинки не догружаются — похоже на проблему с размером пакетов, о ней ниже.
Обновите VPN-приложение и попробуйте другой сервер или режим подключения.

Почему именно на Ростелекоме: особенности домашнего подключения

Ростелеком — прежде всего провайдер домашнего интернета, а мобильная сеть группы — это T2 (бывший Теле2). Если VPN не работает на SIM-карте, вам нужен разбор про Теле2. Здесь речь о проводном подключении и домашнем Wi-Fi.

Протоколы без маскировки могут распознаваться на любой крупной сети, домашней в том числе, — к этому вернёмся в разделе про настройки. Но у домашней линии есть три свои особенности, из-за которых VPN сбоит и без всякой фильтрации.

PPPoE и сайты, которые грузятся наполовину

Во многих регионах домашний интернет Ростелекома подключается по PPPoE: роутер входит в сеть по логину и паролю, которые выдаёт провайдер. В других встречается IPoE, где логин не нужен. PPPoE добавляет к каждому пакету 8 байт служебных данных, поэтому максимальный размер пакета — MTU — на такой линии обычно 1492 байта вместо привычных 1500.

VPN кладёт поверх собственную обёртку. Если размер пакетов в туннеле рассчитан на линию в 1500 байт, после двух обёрток крупные пакеты перестают помещаться, а если сообщение об ошибке по пути теряется, отправитель продолжает слать их впустую. Короткие пакеты проходят: сообщения в мессенджерах уходят, пинг отвечает, у страницы появляются заголовок и текст, а картинки и скрипты так и не приходят. Похоже на блокировку, но это арифметика. Как подобрать рабочее значение, разобрано в статье про MTU и VPN.

IPv6 идёт мимо туннеля

Если ваше подключение получает IPv6-адрес (это зависит от региона, типа подключения и настроек роутера), у устройства два адреса сразу. Когда VPN-клиент заворачивает в туннель только IPv4, соединения с сайтами, у которых есть IPv6, уходят напрямую через провайдера. В итоге одни сайты видят вас в стране VPN-сервера, а другие — дома. Проверка занимает пару минут и описана в разборе утечки IPv6.

DNS провайдера и подменённые ответы

По умолчанию роутер и устройства берут DNS-серверы провайдера. Если VPN-клиент не перехватывает DNS-запросы, они идут в обход туннеля. Тогда на запрос к ресурсу с ограниченным доступом DNS провайдера может вернуть адрес страницы-заглушки вместо настоящего — и сайт не откроется, хотя VPN включён. Попутно провайдер видит, какие домены вы запрашиваете. Как это проверить, рассказано в статье об утечке DNS.

Терминал Ростелекома и приставка Wink

Файрвол и урезанные настройки терминала

Терминал или роутер, который устанавливает Ростелеком, обычно сам раздаёт интернет и имеет встроенный межсетевой экран с фильтрацией по адресам и портам. Если правила кто-то менял или на линии подключён родительский контроль, часть VPN-подключений может не проходить. Загляните в веб-интерфейс устройства. На некоторых прошивках пользователю открыта только часть настроек — тогда спросите у поддержки, какие фильтры действуют на вашей линии.

VPN на роутере, а Wink перестал работать

Wink рассчитан на просмотр в России: при включённом VPN или с иностранного адреса сервис показывает заглушку и просит отключить VPN. Если VPN настроен на роутере, через туннель идёт и трафик подключённой к нему приставки. Wink видит не домашний адрес, а адрес VPN-сервера, и фильмы или каналы могут не загружаться.

Выхода два. Первый — включать VPN не на роутере, а там, где он нужен: на телефоне, ноутбуке, компьютере. Второй — раздельное туннелирование, если роутер или клиент его поддерживают: приставку или приложение Wink исключают из туннеля, а остальной трафик идёт через VPN. Подробнее — в статье про split tunneling.

Что поменять в настройках VPN

Сначала разберитесь с MTU, если страницы грузятся частично: снижайте значение в клиенте или роутере небольшими шагами и проверяйте на тяжёлом сайте.
Закройте утечки. Включите в клиенте защиту DNS и туннелирование IPv6; если клиент IPv6 не поддерживает, временно отключите IPv6 на устройстве или в роутере.
Выберите режим, похожий на HTTPS. В таком режиме туннель выглядит как обычный HTTPS, например на базе VLESS с Reality. OpenVPN, WireGuard, IKEv2 и L2TP без маскировки распознать проще всего.
Поставьте TCP-порт 443. На нём работают почти все защищённые сайты, так что туннель смешивается с обычным веб-трафиком.
Смените сервер. Иногда мешает не домашняя линия, а маршрут до конкретного узла.

Если вы решили не трогать роутер, чтобы не сломать Wink, и включаете VPN на телефоне и ноутбуке, посмотрите, на скольких устройствах работает подписка. В LOKI VPN одна подписка сразу действует на двух устройствах, а при необходимости её можно расширить до шести.

Если ничего не помогло

Откройте общий разбор, почему не работает VPN: там причины, которые проявляются в любой сети. Поддержке Ростелекома задайте два вопроса: нет ли неполадок на линии и какой у вас тип подключения, PPPoE или IPoE. Есть ли у вас IPv6, проще проверить самому — на сайте проверки IPv6 или в статусе подключения роутера.

Ещё одна частая причина — антивирус на компьютере

Если VPN не работает только на ноутбуке или ПК, а телефон в той же сети подключается нормально, проверьте сам компьютер. Антивирусы с «защитой сети» или проверкой HTTPS встраиваются в соединения и могут конфликтовать с VPN-клиентом.

Временно выключите сетевой экран и веб-защиту антивируса и проверьте VPN снова.
Закройте другие VPN-клиенты, включая рабочий, и отключите VPN-расширения браузера.
Если помогло, добавьте VPN-приложение в исключения антивируса, а не оставляйте защиту выключенной.

Мини-FAQ

Ростелеком блокирует VPN?

Оборудование фильтрации на сетях крупных операторов может распознавать VPN-протоколы без маскировки, и домашний интернет здесь не исключение. Но дома сбой нередко вызван не фильтрацией, а MTU, IPv6, DNS или настройками терминала, поэтому начинать стоит с них.

Почему VPN не работает на Ростелекоме, а на мобильном интернете работает?

Это разные сети с разным оборудованием: у домашней линии свой размер пакетов, свои DNS-серверы и терминал с файрволом. Поэтому один и тот же VPN может по-разному вести себя на домашнем Wi-Fi и на SIM-карте.

Можно ли настроить VPN на роутере и не потерять Wink?

Можно, если роутер поддерживает раздельное туннелирование и приставку удаётся исключить из туннеля: тогда Wink видит обычный домашний адрес. Если такой настройки нет, надёжнее включать VPN на отдельных устройствах, а роутер оставить без него.

Нужно ли отключать IPv6, чтобы VPN работал?

Не обязательно. Лучше, когда VPN-клиент сам пропускает IPv6 через туннель или блокирует его на время подключения. Отключать IPv6 на устройстве имеет смысл для проверки или если клиент с ним не справляется.

Вывод

Когда VPN не работает на Ростелекоме, сначала выясните, где сбой — в домашней линии или в приложении: сравните с мобильным интернетом, затем проверьте MTU, IPv6 и DNS и загляните в настройки терминала. Если линия ни при чём, дальше пробуйте похожий на HTTPS режим на 443-м порту и другой узел. Честная граница у домашней линии своя: тип подключения, прошивка терминала и фильтрация на сети зависят от провайдера, а не от вас или VPN-сервиса, поэтому после изменений на его стороне рабочую схему иногда приходится искать заново. Но причину обычно удаётся найти, если проверять по порядку.