VPN-туннель — это не отдельный канал связи, а способ упаковки: пакет данных целиком оборачивается в новый пакет со своим заголовком и шифрованием и в таком виде едет по интернету до VPN-сервера, где распаковывается обратно. Об основах — что такое VPN — рассказано в «Сути VPN простыми словами», здесь разбор глубже: что добавляется к пакету, почему часть пропускной способности уходит на служебные данные и откуда берётся эффект «страница открылась, а файл не скачивается».
Пакет внутри пакета
Инкапсуляция — процесс упаковки одного пакета данных внутрь другого. Шаги:
- 1Приложение формирует обычный пакет — запрос к сайту.
- 2VPN-клиент шифрует его содержимое.
- 3Поверх добавляется новый заголовок с адресом VPN-сервера.
- 4«Пакет в пакете» идёт по сети до сервера.
- 5Сервер снимает заголовок, расшифровывает данные и отправляет их адресату от своего имени.
- 6Ответ проходит тот же путь в обратную сторону.
Каждый шаг добавляет байты — из этого веса вытекают почти все дальнейшие эффекты.
Что добавляется сверху
К пакету при инкапсуляции добавляется сразу несколько слоёв:
- сетевой заголовок — адрес VPN-сервера;
- заголовок туннелирования — WireGuard или OpenVPN добавляют метку сессии и счётчик;
- данные шифрования — контрольная сумма и служебные байты;
- выравнивание — дополнение пакета до кратного блока у некоторых алгоритмов.
В сумме это обычно 40–80 байт на пакет — мелочь для одного пакета, но она накладывается на весь поток, отсюда проблема MTU.
MTU и фрагментация
MTU (Maximum Transmission Unit) — максимальный размер пакета, который сеть передаёт одним куском, не разбивая, обычно около 1500 байт. VPN добавляет свои 40–80 байт заголовков, и итоговый пакет может превысить этот лимит.
Тогда происходит фрагментация: пакет режется на части и собирается заново на другом конце. Если фрагментация запрещена, пакет отбрасывается без предупреждения.
Накладные расходы
Накладные расходы — доля пропускной способности, уходящая на служебные заголовки. Чем компактнее заголовок, тем меньше потери.
| Протокол | Заголовок | Потери |
|---|---|---|
| WireGuard | ~32 байта | 2–4% |
| OpenVPN (UDP) | ~50–60 байт | 4–7% |
| OpenVPN (TCP) | ~60–80 байт + TCP-в-TCP | заметно выше |
При мелких пакетах (голос, игры) доля потерь выше, чем при крупных файлах. На ощущаемую скорость влияет и split-tunneling — трафик в обход туннеля этих потерь не несёт.
Кто что видит
Блок связан с материалом «Что видит владелец VPN-сервера».
| Сторона | Видит | Не видит |
|---|---|---|
| Провайдер доступа | Факт соединения с VPN-сервером, объём и время трафика | Содержимое пакетов и адрес сайта — они внутри шифрования |
| Владелец VPN-узла | Трафик после снятия туннеля, IP пользователя на входе | Сверх того, что решил логировать сам сервис (no-logs — вопрос политики) |
| Принимающий сервер | IP-адрес VPN-сервера как источник запроса | Реальный IP пользователя |
Доверие здесь упирается не в туннель, а в заявления сервиса о логах.
Почему «туннель» нельзя скачать
«Скачать VPN-туннель» — распространённая, но некорректная формулировка. Туннель — не файл, а процесс: способ упаковки трафика, существующий только пока активно соединение. Скачивается VPN-клиент — приложение, умеющее устанавливать такое соединение по протоколу вроде WireGuard или OpenVPN. «Туннелем» называют сам факт того, что трафик идёт зашифрованным — как объект его нельзя сохранить на диск.
Путаница возникает из-за конфигурационных файлов: они скачиваются, но это лишь набор параметров для установки, а не сам туннель.
FAQ
Чем VPN-туннель отличается от обычного соединения? Обычное соединение отправляет пакеты напрямую получателю с исходным заголовком. Туннель добавляет этап: пакет шифруется и упаковывается в новый до VPN-сервера, и только там распаковывается. Разница — в операциях над каждым пакетом и в адресе, который видит конечный сервер.
Почему после включения VPN падает скорость? Падение складывается из накладных расходов на заголовки, времени на шифрование каждого пакета и маршрута через дополнительный узел — сервер может физически находиться дальше прямого пути до сайта. Обычно это несколько процентов от исходной скорости, но точная цифра зависит от протокола, загрузки сервера и удалённости узла.
Что такое MTU и почему он важен для VPN? MTU — максимальный размер пакета, который сеть передаёт одним куском без разбивки, обычно около 1500 байт. Туннель добавляет к пакету служебные байты заголовков, и итоговый размер может превысить лимит сети — из-за чего пакет либо дробится на части и собирается заново, либо теряется на промежуточном узле, если фрагментация там запрещена.
Можно ли скачать готовый туннель отдельным файлом? Нет, туннель — активный процесс упаковки трафика между клиентом и сервером, а не файл, который можно куда-то положить. Скачать можно приложение (VPN-клиент) или конфигурационный файл с параметрами подключения — адресом сервера и ключами. Само туннелирование существует только во время активного сеанса связи и исчезает при его завершении.
Провайдер видит, что я пользуюсь VPN? Провайдер обычно видит факт соединения с определённым IP-адресом, а также объём и время передачи данных — сама упаковка пакетов заметна на уровне сети. Содержимое трафика и конечный адрес сайта, к которому идёт запрос, остаются скрыты: они находятся внутри зашифрованной части пакета, до которой у провайдера технически нет доступа.
Сравнение провайдеров и протоколов — в рейтинге VPN-сервисов.
Дата проверки параметров (MTU, размеры заголовков): сентябрь 2026.
Материал имеет информационный характер и не является финансовой или юридической консультацией. Перед сделкой проверяйте актуальные условия выбранного обменника.
В индустрии криптовалют с 2014 года. Бывший репортёр Forklog и Bits.media, автор более 200 публикаций про обмен, AML-практики и регуляторные изменения в России. С 2021 года ведёт редакцию TopChange: отвечает за методологию рейтинга, тайные покупки и проверки резервов.
