Типы VPN: обзор без лишней теории

«Типы VPN» — запрос, за которым прячутся четыре разных вопроса, и путаница начинается именно здесь. Одни имеют в виду протоколы, другие — деление на корпоративный и личный, третьи — способ установки: приложение, роутер или расширение браузера. Списки «видов VPN» в интернете часто складывают всё это в один перечень, где рядом стоят «site-to-site» и «WireGuard», хотя это ответы на разные вопросы.

Разложим по осям. Их четыре: назначение, протокол, способ развёртывания и устройство, на котором VPN живёт. Любая реальная конфигурация — это точка сразу на всех четырёх осях, а не один «тип». По каждому пункту сразу скажем, кому он нужен, а кому нет.

Ось первая: по назначению

Remote access — устройство до шлюза

Классическая схема: клиент на устройстве поднимает туннель до сервера, и трафик устройства выходит в сеть уже оттуда. Всё, что продаётся как «VPN-сервис», относится сюда же — просто шлюзом выступает сервер сервиса, а не сеть работодателя.

Кому надо: любому, кто хочет закрыть трафик своего устройства шифрованием и сменить исходящий адрес. Это почти все бытовые сценарии.

Кому не надо: никому — но важно понимать, что защищается именно устройство, а не аккаунты и не поведение в сети.

Site-to-site — сеть до сети

Здесь туннель поднимают не устройства, а два маршрутизатора: две локальные сети соединяются так, будто это один офис. Сотрудники ничего не устанавливают и обычно даже не знают, что VPN есть, — они просто видят файловый сервер соседнего филиала как свой.

Кому надо: организациям с несколькими площадками, а также тем, кто связывает офис с оборудованием в дата-центре.

Кому не надо: домашнему пользователю — практически никогда. Site-to-site не защищает конечное устройство и не меняет его внешний адрес в открытом интернете, он только соединяет сети между собой.

Оверлей между своими устройствами

Третий вариант назначения — не выход в интернет и не связь офисов, а частная сеть из ваших собственных машин: домашний компьютер, ноутбук в поездке, сервер. Каждое устройство получает адрес внутри этой сети и видит остальные напрямую. К этой же категории относятся утилиты для совместных игр по локальной сети — зачем нужен Radmin VPN, разобрано отдельно.

Кому надо: тем, кто ходит к своим устройствам издалека — файлы, удалённый рабочий стол, домашний сервер.

Кому не надо: тем, кто ищет приватность в интернете: такой оверлей обычно вообще не выпускает трафик наружу и внешний IP не меняет.

Ось вторая: по протоколу

Протокол определяет, как именно устроен туннель: какая криптография, какой транспорт, как быстро восстанавливается соединение. Полное сравнение собрано в обзоре протоколов VPN в 2026 году, здесь — короткая карта.

WireGuard. Компактный, быстрый, поверх UDP, с современной криптографией и заметно меньшей нагрузкой на батарею. Надо: почти всем, особенно на телефоне. Не надо: там, где сеть режет UDP, — соединение просто не поднимется.
OpenVPN. Старый, гибкий, умеет работать по TCP на порту 443 и выглядеть как обычный HTTPS. Надо: тем, кому важна совместимость и тонкая настройка. Не надо: тем, кто гонится за скоростью на слабом железе, — накладные расходы выше.
IKEv2/IPsec. Поддерживается операционными системами штатно и быстро восстанавливает туннель при переходе с Wi-Fi на мобильную сеть. Надо: тем, кто хочет профиль в настройках системы без отдельного приложения. Не надо: там, где стандартные порты IPsec фильтруются.
VLESS и обфусцированные транспорты. Строго говоря, это не «протоколы VPN» в классическом смысле, а способы сделать соединение похожим на обычный веб-трафик. Надо: в сетях, где нестандартные соединения активно фильтруются. Не надо: тем, кому важна простота, — настройка тут заметно сложнее.

Общее правило: протокол влияет на скорость, устойчивость и проходимость, но не на то, кому вы доверяете свой трафик. Это решается не выбором протокола, а выбором того, кто держит сервер. Устройство самого быстрого из них разобрано в статье про WireGuard.

Ось третья: по способу развёртывания

Готовый сервис по подписке

Инфраструктуру держит кто-то другой, вы получаете приложение или конфиг. Плюс — ничего не надо администрировать, узлов много, при проблеме с одним переключаетесь на другой. Минус — доверие целиком на стороне сервиса, и проверить политику логирования снаружи невозможно.

Кому надо: большинству. Это разумный вариант по умолчанию, если нет отдельной причины делать иначе.

Кому не надо: тем, кому нужен неизменный собственный адрес или полный контроль над машиной.

Свой сервер

Арендуется VPS, ставится сервер, конфиги генерируются самостоятельно. Контроль полный, логи ваши, посторонних на узле нет. Цена — время на настройку и обновления, плюс своеобразный побочный эффект: на сервере с одним пользователем трафик заметнее, чем в общем потоке. Подробно процесс и его цена разобраны в статье о том, стоит ли поднимать VPN самому.

Кому надо: тем, кто разбирается в администрировании и хочет контроля, а также тем, кому нужен свой стабильный IP.

Кому не надо: тем, кто не готов поддерживать сервер: заброшенный VPS с устаревшим ПО — это ухудшение безопасности, а не улучшение.

Корпоративный

Разворачивает ИТ-отдел, настройки приходят готовыми, отказаться обычно нельзя. Такой VPN открывает доступ к внутренним ресурсам и почти всегда сопровождается фильтрацией и журналированием — это его штатная функция, а не злоупотребление. Мультипротокольные серверы, на которых такой доступ часто и строят, разобраны отдельно: что такое SoftEther VPN.

Кому надо: сотрудникам — по регламенту, для доступа к рабочим системам.

Кому не надо: использовать его как средство личной приватности. Разница между рабочим и личным туннелем разобрана в материале о VPN для удалённой работы.

Ось четвёртая: по устройству

Клиент на устройстве. Приложение поднимает туннель для всей системы. Надо: практически всем, это основной вариант. Не надо: разве что там, где приложение нельзя установить в принципе.
Профиль в настройках системы. IKEv2 или похожий протокол настраивается штатными средствами iOS, Android и Windows, без сторонней программы. Надо: тем, кто не хочет ставить приложение. Не надо: тем, кому нужны kill switch и автоподбор сервера, — в системном профиле их обычно нет.
Роутер. Туннель поднимает сам маршрутизатор, и под него попадают все устройства дома, включая телевизор и приставку, куда клиент не поставить. Надо: тем, у кого таких устройств много. Не надо: тем, кто часто переключает локации, — на роутере это неудобно, а слабый процессор ограничивает скорость.
Расширение браузера. Работает только внутри вкладок, остальные приложения идут напрямую; часть таких расширений под капотом вообще прокси без шифрования. Надо: для точечной задачи в браузере. Не надо: как единственная защита устройства.

Два последних варианта разобраны подробнее отдельно: как настроить VPN на роутере. Про браузерный вариант — что умеет VPN-расширение для браузера.

Как оси складываются

Любая конкретная установка — это выбор по всем четырём осям сразу. Личный VPN на телефоне — это remote access плюс WireGuard плюс подписочный сервис плюс клиент на устройстве. Тот же сервис на домашнем роутере — первые две оси те же, а четвёртая другая, и поведение меняется заметно. Корпоративный доступ с ноутбука — remote access плюс IKEv2 плюс корпоративное развёртывание плюс системный профиль. Поэтому у вопроса «какой тип VPN лучше» нет ответа: осей четыре, и на каждой свой компромисс.

У подписочных сервисов первые две оси обычно скрыты от пользователя. Так, LOKI VPN сам подбирает узел и параметры соединения, а выбрать нужно только страну — конфиг приходит готовым через Telegram-бота. Механику это не отменяет, просто прячет её за интерфейсом.

Полезный вопрос — не «какой у меня тип VPN», а «что именно попадает в туннель». Ответ на него даёт четвёртая ось, а не первая.

Чего VPN здесь не делает

Ни один тип из перечисленных не даёт того, что часто ожидают от слова VPN.

Тип не влияет на анонимность. Ни назначение, ни протокол, ни способ развёртывания не убирают опознание по аккаунту, cookie и отпечатку браузера. Вошли в сервис — вас узнали, независимо от туннеля.
Свой сервер не равен приватности. Он убирает посредника, но добавляет вам роль администратора и делает трафик менее размытым в общем потоке.
Роутер защищает только дом. Как только телефон ушёл в мобильную сеть, туннеля на нём нет — нужен ещё и клиент на самом устройстве.
Site-to-site не защищает устройство. Он соединяет сети, а не шифрует ваш выход в открытый интернет.
Протокол не заменяет доверия. Самая современная криптография не отвечает на вопрос, что делает с трафиком тот, кто держит сервер на другом конце.

Частые вопросы

Чем remote access отличается от site-to-site простыми словами?

Remote access — туннель от одного устройства до шлюза; его поднимает клиент, и защищается конкретное устройство. Site-to-site — туннель между двумя маршрутизаторами; его поднимает оборудование, и соединяются целые сети, а не отдельные машины.

Нужно ли выбирать протокол вручную?

Обычно нет: большинство сервисов подбирает протокол и узел автоматически. Ручной выбор полезен в конкретных ситуациях — например, когда в сети не проходит UDP и нужно переключиться на вариант поверх TCP.

Можно ли использовать несколько типов одновременно?

Да, и это встречается часто: туннель на роутере для домашних устройств плюс клиент на телефоне для мобильной сети. А вот два клиента на одном устройстве одновременно обычно конфликтуют за таблицу маршрутизации.

Вывод

«Типов VPN» как единого списка не существует — есть четыре независимые оси. Назначение отвечает на вопрос, что соединяется: устройство со шлюзом, сеть с сетью или ваши машины между собой. Протокол определяет скорость, устойчивость и проходимость через фильтры. Способ развёртывания решает, кому вы доверяете инфраструктуру. Устройство определяет охват: вся система, весь дом или только вкладки браузера. Полезнее не искать «лучший тип», а понять, в какой точке этих четырёх осей вы находитесь, — тогда сразу видно, что у вас защищено, а что осталось снаружи.

Отдельно стоит держать в голове, что прокси в этот список не входит вообще — он работает на другом уровне.