VPN для Linux: как подключиться без официального приложения

У большинства крупных VPN-сервисов есть приложения для Windows, macOS, Android и iOS — и почти никогда нет отдельного клиента для Linux. Это не халатность разработчиков, а следствие того, как устроена сама экосистема: десятки дистрибутивов, разные окружения рабочего стола, разный набор системных библиотек. Сделать один универсальный установщик, который одинаково хорошо заработает на Ubuntu, Fedora и Arch, — задача не из простых.

Хорошая новость: отсутствие приложения на Linux почти не проблема. Протоколы, на которых работает любой VPN, изначально рассчитаны на ручную настройку через конфигурационный файл или командную строку — а Linux как раз одна из самых удобных платформ для такой работы. У ручной настройки есть даже свой плюс: она прозрачна — видно, какой именно трафик и через какой интерфейс уходит в туннель, без «чёрного ящика» фирменного приложения.

Почему у VPN-сервисов редко есть Linux-клиент

У LOKI VPN, как и у большинства сервисов на рынке, приложения сделаны для Windows, macOS, Android и iOS — под Linux отдельного клиента нет. Причина типичная для всей индустрии: аудитория настольного Linux в разы меньше, чем Windows или macOS, а фрагментация дистрибутивов делает поддержку GUI-приложения непропорционально дорогой. Вместо этого пользователю остаётся то, что работает универсально в любом дистрибутиве, — сам протокол.

Способ 1: WireGuard через wg-quick

WireGuard — самый простой протокол для ручной настройки: конфигурация умещается в один текстовый файл.

Установите пакет: sudo apt install wireguard (или аналог для вашего пакетного менеджера — dnf, pacman).
Получите файл конфигурации от провайдера (обычно .conf с секциями [Interface] и [Peer]) и сохраните его, например, как /etc/wireguard/wg0.conf.
Поднимите соединение командой sudo wg-quick up wg0.
Чтобы туннель поднимался автоматически при загрузке системы, включите сервис: sudo systemctl enable wg-quick@wg0.

Способ 2: OpenVPN — через терминал или NetworkManager

OpenVPN чуть более «взрослый» протокол, но настраивается почти так же прямолинейно.

Через терминал: установите клиент (sudo apt install openvpn) и запустите файл конфигурации: sudo openvpn --config имя-файла.ovpn.
Через NetworkManager: в апплете настроек сети большинства окружений (GNOME, KDE, Xfce) есть пункт «Импортировать VPN-конфигурацию из файла» — достаточно указать .ovpn-файл, и профиль появится в списке доступных подключений, как обычная Wi-Fi сеть.

Второй вариант удобнее для тех, кто не хочет держать терминал открытым каждый раз ради подключения — переключение происходит через графический значок сети в трее, привычным жестом, как при смене Wi-Fi сети.

Способ 3: IKEv2/IPsec через strongSwan

Менее распространённый, но встречающийся вариант — если провайдер выдаёт параметры именно под этот протокол, потребуется пакет strongswan и ручное описание соединения в конфигурационных файлах ipsec.conf и ipsec.secrets. Это более трудоёмкий путь, оправданный в основном тогда, когда WireGuard или OpenVPN недоступны по какой-то причине.

Особый случай: сервер без графического окружения

Если Linux используется не как рабочий стол, а как headless-сервер, домашний NAS или Raspberry Pi без монитора, графические инструменты вроде NetworkManager попросту недоступны. Здесь остаётся только командная строка — и это даже удобнее: WireGuard из коробки умеет работать в фоне без интерфейса, а подключение можно поставить в автозапуск через systemd, как описано выше. Для OpenVPN в headless-режиме файл конфигурации запускается тем же способом через терминал, а саму сессию обычно оборачивают в systemd-юнит, чтобы туннель поднимался при каждой перезагрузке без ручного вмешательства.

Проверка после подключения

Ручная настройка — не повод пропускать проверку. После подключения стоит убедиться, что реальный IP-адрес действительно скрыт и DNS-запросы не уходят мимо туннеля: команда resolvectl status покажет, какой DNS-сервер использует система в данный момент. На части дистрибутивов systemd-resolved по умолчанию продолжает опрашивать DNS-сервер провайдера параллельно с туннелем, если конфигурация протокола явно не переопределяет DNS для интерфейса VPN, — это стоит проверить отдельно, а не считать само собой разумеющимся. Общий подход к проверке того, что VPN работает так, как должен, описан в статье «Как проверить, что VPN действительно работает».

Важный нюанс: при ручной настройке на Linux kill switch обычно не встроен «из коробки» — его придётся собирать самостоятельно через правила iptables или nftables, которые блокируют весь трафик мимо интерфейса VPN. Это не самая тривиальная задача для новичка, но именно она отличает временный туннель от по-настоящему надёжного соединения.

Частые вопросы

Есть ли официальные приложения VPN-сервисов для Linux?

У подавляющего большинства сервисов — нет. Подключение на Linux происходит вручную, через конфигурационный файл протокола и стандартные системные утилиты.

Какой протокол проще всего настроить на Linux вручную?

WireGuard: вся конфигурация умещается в один файл, а подключение поднимается одной командой без дополнительных зависимостей.

Нужен ли отдельный kill switch на Linux?

Да, если он критичен для вашего сценария — встроенного аналога, как в мобильных и десктопных приложениях, при ручной настройке нет. Его собирают вручную через правила firewall.

Вывод

Отсутствие фирменного приложения для Linux не означает, что VPN на этой системе работает хуже, — просто вместо кнопки «Подключить» нужен один текстовый файл и пара команд в терминале, которые выполняются один раз при первой настройке. WireGuard и OpenVPN покрывают почти все сценарии, а NetworkManager делает процесс не сложнее, чем на любой другой платформе. Если вы пользуетесь VPN на нескольких устройствах сразу, стоит заранее понять, как провайдер считает количество подключений, — это разобрано в статье «Одна подписка VPN на все устройства».