Свой VPN-сервер вместо VPN-сервиса: когда это оправдано

Тот, кто ищет VPN, быстро оказывается на подписочных сервисах с громкими обещаниями. На деле путей к зашифрованному соединению три: коммерческий VPN-сервис, самостоятельно настроенный сервер WireGuard на VPS или уже готовый Dedicated Private VPN Server. В этой статье разбираем, что VPN действительно даёт и чего он не даёт, и какой путь подходит для какой ситуации.

Что VPN действительно даёт, а что нет

VPN поднимает зашифрованный туннель между вашим устройством и VPN-сервером. Всё, что отправляет устройство, распаковывается только на сервере и уходит оттуда в интернет обычным путём. Отсюда следует:

• Шифрование до сервера. В гостиничном Wi-Fi, в кафе или в мобильной сети никто на участке между вами и сервером не видит, к каким ресурсам вы обращаетесь. За сервером трафик защищён ровно так же, как и без VPN: по HTTPS зашифрован, по незашифрованным протоколам нет.
• Смена видимого IP-адреса. Сайты и сервисы видят адрес VPN-сервера, а не адрес вашего подключения. Это полезно для списков доступа с фиксированными адресами (whitelisting) и в сетях, которые блокируют определённые ресурсы.
• Никакого обещания анонимности. Тот, кто управляет VPN-сервером, видит весь ваш трафик в той точке, где он выходит из туннеля. Как только вы где-то выполняете вход, и так понятно, кто вы, а браузер можно опознать и без IP-адреса. VPN переносит доверие на другую сторону, но не отменяет его.

Поэтому решающий вопрос звучит не «VPN или не VPN», а иначе: кому вы доверяете конечную точку и сколько она может стоить?

Три пути к VPN

1. Коммерческий VPN-сервис

Вы оплачиваете подписку, ставите приложение и выбираете страну. Сервер и IP-адрес вы делите со множеством других клиентов. Из-за этого адрес часто уже известен как VPN-адрес, и часть сервисов его блокирует, а пропускная способность и задержка колеблются вместе с нагрузкой. Что именно провайдер пишет в логи, вы проверить не можете: остаётся полагаться на его заявления и, как правило, на внешние аудиты. Плюс здесь в удобстве: много стран, никакого обслуживания, настройка за считаные минуты.

2. Собственный сервер WireGuard на VPS

Вы арендуете KVM root-сервер, устанавливаете WireGuard, создаёте пары ключей и раздаёте профили на свои устройства. Как это делается в Debian и Ubuntu, показывает инструкция Настройка WireGuard VPN на собственном сервере. Вы получаете выделенный адрес IPv4, полный контроль над конфигурацией и логами и платите от 9,99 € в месяц. Взамен обновления, файрвол и защита ложатся на вас: сюда входят защита SSH входом по ключу, автоматические обновления безопасности и аккуратно настроенный файрвол. Если вам такая работа в радость или сервер и так занят другими задачами, этот путь вам подходит.

3. Готовый Dedicated Private VPN Server

Dedicated Private VPN Server от KernelHost — это средний путь: отдельный сервер, на котором WireGuard уже преднастроен и защищён. Вы сканируете QR-код или импортируете файл профиля, и устройство подключено, на iOS, Android, Windows, macOS и Linux. В комплекте выделенный адрес IPv4 вместе с подсетью IPv6 /64, которые никто с вами не делит, root-доступ, проброс портов и собственные правила файрвола, а также настраиваемая защита DNS, которая блокирует рекламу, трекеры и известные вредоносные сайты уже на этапе разрешения имён. Защита от DDoS с фильтрацией в реальном времени входит во все тарифы.

Сравнение в одной таблице

Тарифы VPN от KernelHost

Все цены указаны за месяц с учётом НДС, модель PrePaid без минимального срока и без автоматического продления. Число устройств расширяется в любом тарифе, все соединения симметричные. Все локации в одном обзоре: серверные локации.

Типичные сценарии использования

• Удалённая работа и доступ извне. Вы попадаете на NAS, домашний сервер или корпоративную систему, не открывая их порты в интернет. Фиксированный IP VPN-сервера прописан в списке доступа, а устройства подключаются через туннель откуда угодно. Одному человеку хватит тарифа Basic, небольшой команде подойдут Gaming или Unlimited.
• Поездки и публичные сети Wi-Fi. В гостинице, в аэропорту или за границей весь трафик идёт в зашифрованном виде до сервера в Европе, с вашим собственным IP-адресом и без посторонних соседей.
• Гейминг со стабильным IP. Выделенный адрес не меняется, и его можно прописать на собственных игровых серверах и в админ-панелях. Атакующие видят защищённый IP сервера, а не ваше домашнее подключение. Тариф Gaming даёт до 1 Гбит/с и рассчитан на низкую задержку по Европе (зависит от сети).
• Стриминг и большие загрузки. Кто постоянно перекачивает большие объёмы данных, тот берёт тариф с безлимитным трафиком. Учитывайте, что VPN-сервер переносит каждый байт дважды, один раз внутрь и один раз наружу: 500 ГБ загрузок дают на сервере около 1 ТБ трафика.
• Команды с несколькими устройствами. Семьи, небольшие компании и объединения подключают к одному серверу 10, 20 и больше устройств, каждое со своим профилем, который можно удалить по отдельности.

Ограничения и честные оговорки

• Геоблокировка. Откроет ли стриминговый сервис контент через конкретный адрес, решает сам сервис. Мы здесь ничего не обещаем, тем более что часть платформ распознаёт адреса дата-центров как таковые.
• Выделенный IP поддаётся опознанию. Этим адресом пользуетесь только вы. Для белых списков доступа это плюс, для анонимности наоборот: всё, что проходит через адрес, привязывается к серверу, а значит и к стороне договора.
• Юридическая ответственность. За то, что идёт через ваш туннель, отвечаете вы. Собственный сервер не даёт индульгенции, а на обоснованные запросы государственных органов мы отвечаем в рамках действующего права.
• Скорость. Пропускная способность тарифа — это верхний предел на стороне сервера. То, что дойдёт до вас, ограничивают ваше собственное подключение, маршрут до дата-центра и вычислительная мощность вашего устройства для шифрования. Туннель на 1 Гбит/с имеет смысл только при соответствующем подключении.

Расчёт на примере: три профиля пользователей

Один человек, три устройства (ноутбук, телефон, планшет). Помесячная подписка на VPN-сервис стоит, как правило, около 10 €, заметно дешевле выходит только предоплата на несколько лет вперёд. Тариф Basic стоит 4,99 € при помесячной оплате, со своим IP и скоростью 250 Мбит/с. Самостоятельно настроенный VPS обходится в 9,99 € плюс время на настройку и уход, и оправдывает себя только тогда, когда сервер и так нужен.

Семья или небольшая команда, десять устройств. У многих VPN-сервисов число устройств заканчивается, как правило, на 5 или 10, дальше нужна вторая подписка. Тариф Gaming закрывает 10 устройств со скоростью до 1 Гбит/с, тариф Unlimited — 20 устройств на 500 Мбит/с и с безлимитным трафиком, оба за 14,99 €. Это 1,50 € и 75 центов на устройство в месяц соответственно.

Активный пользователь с 500 ГБ в месяц. На сервере это около 1 ТБ трафика, то есть случай для безлимита, а не для fair-use: тариф Unlimited даёт за 14,99 € скорость 500 Мбит/с без ограничения объёма. Кому нужна та же пропускная способность на собственном сервере, тот берёт VPS с безлимитным трафиком от 14,99 € и настраивает WireGuard сам: цена та же, но работа своя.

Вывод: кому какой путь

• VPN-сервис: если вы хотите постоянно переключаться между множеством стран, фиксированный IP вам не нужен и общий адрес вас устраивает.
• Свой VPS с WireGuard: если сервер у вас и так работает, администрирование Linux вас не пугает и контроль нужен вплоть до последней строки конфигурации.
• Dedicated Private VPN Server: если нужен собственный фиксированный IP-адрес без соседей, подключение нескольких устройств или целой команды, а настройка должна занять считаные минуты. От 4,99 € в месяц, PrePaid, без срока.

KernelHost GmbH расположена в Вене, дата-центр — maincubes во Франкфурте-на-Майне. В сухом остатке: VPN не делает вас невидимым. Он лишь решает, кому вы доверяете свой трафик. С собственным сервером ответ на этот вопрос: себе самому.