Аварийный выключатель VPN: что он делает, почему это важно и как проверить, что ваш работает
Аварийный выключатель VPN блокирует весь трафик вне VPN при разрыве туннеля, не давая вашему реальному IP «утечь» посреди сессии. Вот что предлагает каждый крупный аудированный VPN и как проверить это самостоятельно.
Что такое аварийный выключатель VPN
Аварийный выключатель VPN — это функция, которая блокирует весь интернет-трафик на устройстве всякий раз, когда туннель VPN неактивен. Её смысл — не дать вашему реальному IP, назначенному провайдером, утечь к целевому сервису в короткое окно между разрывом туннеля и переподключением. Туннели рвутся по обычным причинам — смена сети, перезапуск сервера, переход ноутбука в сон — и без аварийного выключателя ОС «открывается» наружу, направляя пакеты через незащищённый интерфейс, пока VPN не переподключится. С аварийным выключателем эти пакеты отбрасываются. Целевой сервис либо видит выходной IP VPN, либо не видит ничего.
У каких аудированных VPN есть аварийный выключатель
Все пять крупных аудированных платных VPN поставляют аварийный выключатель в своих официальных клиентских приложениях: Mullvad (режим брандмауэра — это и есть реализация аварийного выключателя; описано на mullvad.net), Proton VPN (опции аварийного выключателя и постоянного аварийного выключателя на каждой платформе), NordVPN (общесистемный аварийный выключатель на macOS / Windows / Linux; на iOS используется профиль Always-On VPN от Apple), ExpressVPN (Network Lock — фирменное название аварийного выключателя) и Surfshark (аварийный выключатель описан в настройках приложения). Реализация различается по платформам: на macOS / Windows / Linux самая надёжная реализация — это правило брандмауэра на уровне ОС; на iOS поведение аварийного выключателя зависит от того, установлена ли конфигурация как Per-App VPN или как профиль Always-On.
Поведение аварийного выключателя входит в охват аудита
Поведение аварийного выключателя — это не просто функция, а стандартная цель тестирования в опубликованных аудитах инфраструктуры. Аудит Mullvad от Cure53 (июнь 2024) включал тестирование безопасности методом «белого ящика», охватывающее «всё, что влияет на приватность», на рабочих серверах OpenVPN и WireGuard; неспособность восстановиться после разрыва соединения без утечки была бы зафиксирована как находка. Praetorian и Cure53 проверили переписанный на Rust Lightway у ExpressVPN в сентябре–октябре 2024 года; результат повторной проверки в декабре 2024 года подтвердил устранение всех выявленных проблем. Корректность аварийного выключателя неявно входит в любое заявление о «без логов / без утечек» — если сбой аварийного выключателя раскрывает реальный IP, свойство «без логов» становится бессмысленным для этого подключения.
Чем различаются реализации аварийного выключателя
Существует три подхода. (1) Правила брандмауэра на уровне ОС — самый надёжный. Клиент VPN устанавливает правила PF/iptables/брандмауэра Windows, которые отбрасывают весь трафик вне туннеля. Режим брандмауэра Mullvad относится к этой категории. (2) Аварийные выключатели на уровне приложений — слабее. Клиент VPN блокирует трафик только от заданного списка приложений. Полезно для выборочного отключения торрент-клиента при разрыве туннеля, но не защищает фоновый трафик других приложений. (3) iOS Always-On VPN — надёжен, но с условиями. Конфигурация Always-On на уровне ОС гарантирует, что без VPN трафик не идёт, но работает только при установке в виде управляемого профиля, а не при потребительской установке в одно касание. Документация по Always-On VPN находится на сайте для разработчиков Apple (developer.apple.com).
Как проверить, что аварийный выключатель работает
Подключитесь к VPN, откройте терминал, выполните `curl ifconfig.me`, чтобы убедиться, что отображается выходной IP VPN. Затем отключите сетевой интерфейс (выключите Wi-Fi / отсоедините Ethernet) и снова включите его. Пока сеть восстанавливается, запускайте ту же команду curl в плотном цикле. Если в окне переподключения вы видите реальный IP вашего провайдера — аварийный выключатель не сработал. Если вы не видите ничего (curl выдаёт ошибку 'no route to host' или подобную), пока VPN не переподключится, — аварийный выключатель сработал. Этот тест разрушителен только для текущей сессии VPN — он не требует ни учётной записи, ни тестового стенда. Повторите для каждого протокола VPN, который поддерживает ваш клиент (WireGuard и OpenVPN ведут себя по-разному при переподключении).
Когда аварийного выключателя достаточно, а когда нет
Аварийный выключатель защищает короткое окно разрыва туннеля. Он не защищает от утечек DNS, пока туннель активен (это отдельная проблема, которую решает конфигурация DNS у VPN), и он не «отменяет» задним числом утечку данных, прошедших до подъёма туннеля. Всегда запускайте VPN до того, как начнёте действие, зависящее от VPN, — у аварийных выключателей нет памяти.
Источники
Аудит Mullvad (Cure53 июнь 2024): mullvad.net/en/blog/fourth-infrastructure-audit-completed-by-cure53. Аудиты отсутствия логов Proton VPN: protonvpn.com/blog/no-logs-audit. Аудиты NordVPN: nordvpn.com/blog/nordvpn-no-logs-audit-2024. Аудиты Lightway у ExpressVPN: expressvpn.com/blog/lightway-audits-cure53-praetorian. Always-On VPN от Apple: developer.apple.com (поиск 'Always-On VPN'). Все URL получены 2026-04-30.