«Нажимаю подключить — и ничего». Это самая частая проблема с VPN, и почти всегда она решается за пять минут, если идти не наугад, а по симптому. Ниже — как отличить «туннель не поднялся» от «туннель поднялся, но интернет не идёт», и двенадцать причин, которые встречаются на практике чаще всего.
Половина времени на диагностику теряется из-за того, что люди лечат не ту проблему. Посмотрите на поведение приложения и найдите себя в таблице.
| Что видите | Вероятная причина |
|---|---|
| Приложение пишет «Подключено», но сайты не открываются | Туннель работает, сломаны DNS, MTU или маршруты |
| Бесконечное «Подключение», статус не меняется | Нет рукопожатия: ключи, порт, блокировка UDP |
| Подключается и через минуту-две отваливается | Провайдер или оператор душит UDP-сессию |
| На Wi-Fi работает, на мобильном нет (или наоборот) | Ограничения конкретной сети или оператора |
| Открываются только российские сайты | Проблема с DNS либо включено раздельное туннелирование |
| На телефоне работает, на ноутбуке нет | Второй конфиг не выпущен или импортирован с ошибкой |
Если файл .conf скачан давно, а сервер за это время менял настройки, ключи в файле уже не совпадают с тем, что ждёт сервер, — рукопожатия не будет. Проверить просто: скачайте конфиг в боте заново и импортируйте как новый профиль, предварительно удалив старый.
Ключ — это идентификатор устройства, а не аккаунта. Если один и тот же файл загружен на телефон и на ноутбук, сервер видит один публичный ключ с двух адресов: устройства начинают попеременно выбивать друг друга, и подключение выглядит как «работает через раз». Лечится выпуском отдельного конфига на каждое устройство.
После окончания оплаченного периода устройство снимается с сервера, и приложение перестаёт получать ответ на рукопожатие. Симптом скучный: «вчера работало, сегодня нет». Загляните в бота — там видно статус и дату окончания. Продление применяется сразу после оплаты, переустанавливать конфиг не нужно.
WireGuard не использует сертификаты, поэтому сам туннель поднимется и с неверными часами. А вот сайты по HTTPS — нет: часть соединений будет падать с ошибкой сертификата, и это выглядит как «VPN подключён, но интернет не работает». Включите автоматическую синхронизацию времени в системе.
Классический признак: пинг идёт, лёгкие страницы открываются, а тяжёлые висят и в итоге отваливаются. Так проявляется слишком большой размер пакета, который канал не пропускает. В наших конфигах MTU = 1280 уже прописан — если вы правили файл руками, верните это значение.
Туннель поднят, IP меняется, но ни один домен не резолвится — значит, DNS из конфига недоступен. Проверьте, что в файле указан рабочий сервер: в режиме AdGuard это 10.66.0.1. Если сомневаетесь, переключите режим DNS в боте на Google и проверьте снова: заработало — дело было в DNS-сервере, а не в туннеле.
Если в Address есть адрес вида fd10:..., а в AllowedIPs — ::/0, клиент попытается гнать IPv6 через туннель. На сети без IPv6 это даёт «полурабочее» состояние: часть сайтов грузится, часть нет. Наш конфиг выдаётся с IPv6 только когда он реально работает.
WireGuard работает по UDP. Мобильные операторы и некоторые домашние провайдеры ограничивают нестандартный UDP: соединение поднимается, живёт минуту-две и тихо умирает. Признак — стабильно повторяющийся цикл «подключился — отвалился». Решение — смена порта или режим с обфускацией (протокол AmneziaWG).
Без разрешения туннель физически не может быть создан, а приложение при этом выглядит «включённым». На iPhone при импорте нужно подтвердить добавление VPN-конфигурации и пройти Face ID. На macOS — одобрить системное расширение в «Конфиденциальность и безопасность». На Android — разрешить подключение во всплывающем окне.
Два VPN-клиента одновременно, «защита сети» в антивирусе или строгий файрвол легко блокируют виртуальный интерфейс. Выключите всё лишнее, перезагрузите устройство и подключитесь заново — на чистой системе проблема обычно исчезает.
В гостиницах, аэропортах, кафе и корпоративных сетях наружу часто выпускают только 80, 443 и DNS. Наш туннель слушает high-порт, и такая сеть его просто не пропустит. Обходной путь — мобильный интернет или режим с обфускацией.
Мелочь, которая встречается каждый день: в клиенте несколько профилей, активен старый. Откройте список туннелей и убедитесь, что включён именно тот, что импортирован последним.
С этим набором причина находится с первого раза — в отличие от «VPN не работает, помогите».
Проверьте DNS и MTU. В девяти случаях из десяти виноват один из них: либо DNS-сервер недоступен, либо размер пакета больше, чем проходит канал. Наш конфиг уже содержит рабочие значения, поэтому сначала убедитесь, что файл не правился вручную.
Операторы чаще ограничивают UDP и нестандартные порты. Помогает переключение на режим с обфускацией или проверка на другой сети: если проблема только у одного оператора — дело в нём.
Откройте проверку маршрута и посмотрите на оба адреса. Разные адреса для России и зарубежных сайтов означают, что маршрутизация работает. Одинаковые — туннель не активен.
Иногда да, но это крайняя мера. Приложение почти никогда не ломается само — чаще устаревает профиль или меняется настройка сети. Начните с повторного импорта конфига.
Доступ применяется сразу после подтверждения оплаты. Если через пару минут статус в боте не изменился — обновите экран и попробуйте подключиться заново; конфиг при этом менять не нужно.