Профиль работал вчера, сегодня нет. С чего начать?

Откройте лог клиента и найдите последнюю строку перед остановкой. Затем проверьте дату и время на устройстве, срок действия сертификатов и версию клиента: после обновления до 2.6 поменялись правила согласования шифров. Если всё в порядке, попробуйте тот же профиль в другой сети.

Поможет ли перейти с UDP на TCP?

Только если сервер слушает нужный порт по TCP: пространства портов UDP и TCP раздельны, и профиль должен совпадать с сервером по протоколу и порту. FAQ OpenVPN Access Server называет TCP запасным вариантом для строгих сетей. Если сеть распознаёт сам протокол, смена транспорта может ничего не изменить.

Чем OpenVPN отличается от WireGuard?

OpenVPN строится на TLS и сертификатах, по умолчанию использует UDP и умеет TCP. WireGuard, по описанию проекта, всё передаёт по UDP и опирается на пары ключей. В России оба протокола упоминаются в публикациях о блокировках на уровне протоколов.

13 октября 2026 г.

OpenVPN перестал работать: причины и что делать

Команда Nebula Link

Если OpenVPN перестал работать, причина обычно в одном из трёх мест: пакеты не доходят до сервера, рукопожатие не заканчивается или профиль перестал совпадать с сервером. Лог клиента показывает, в каком именно, поэтому начинайте с него, а не с переустановки программы.

OpenVPN - программа с открытым кодом для шифрованного туннеля на основе TLS. По справочнику проекта она по умолчанию работает по UDP, а порт 1194 закреплён за ней в IANA. Дальше - как читать сообщения, что проверить в профиле, что пишут о блокировках и какие есть альтернативы.

Что говорит лог клиента

Включите подробный лог и найдите последнюю строку, после которой всё остановилось. Справка сообщества OpenVPN разбирает несколько типичных картин.

Вторая и третья картины похожи снаружи, а чинятся по-разному: первая упирается в доступность порта, вторая - в фильтрацию внутри туннеля, третья - не в настройки вовсе.

Сообщение TLS key negotiation failed to occur within 60 seconds. По справке сообщества OpenVPN, оно означает, что клиент не смог установить сетевое соединение с сервером. Сверьте адрес и порт в профиле, а на сервере проверьте, что порт открыт для нужного протокола, UDP или TCP.
Строка Initialization Sequence Completed есть, но страницы не открываются. Там же сказано: если проверочный ping не проходит, вероятно, брандмауэр фильтрует интерфейс TUN/TAP на клиенте или на сервере. При proto udp зависание, когда сервер получил первый пакет, а клиент ответа не видит, указывает на закрытое направление от сервера к клиенту.
Соединение поднялось и через секунду-две оборвалось. Так SecurityLab 31 мая 2023 года описал первые сообщения о массовой блокировке OpenVPN: сессия устанавливается полностью, а затем рвётся через несколько пакетов.

Где обрывается подключение OpenVPN

Что проверить в профиле и клиенте

Профиль .ovpn - текстовый файл: адрес сервера, протокол, порт и ссылки на сертификаты и ключи. Когда сервер меняют, а профиль остаётся прежним, подключение ломается без видимой причины.

Ключи и сертификаты

По справочнику OpenVPN, tls-auth добавляет HMAC-подпись к пакетам управляющего канала, и пакеты с неверной подписью отбрасываются; tls-crypt шифрует и подписывает весь управляющий канал. Если на сервере пересоздали этот ключ, а в профиле остался старый, клиент получит тишину вместо ошибки.

Опция remote-cert-tls требует, чтобы сертификат второй стороны имел назначение сервера или клиента. А сертификаты вообще живут ограниченное время: истёкший срок или сбитые часы на устройстве дают отказ при верных файлах.

Шифры и версия TLS

Справочник OpenVPN 2.6 сообщает: начиная с 2.6.0 опция cipher в режиме TLS игнорируется, шифр согласуется через data-ciphers, а по умолчанию там AES-256-GCM, AES-128-GCM и CHACHA20-POLY1305. Минимальная версия TLS по умолчанию с 2.6.0 - 1.2.

Отсюда практический вывод: если подключение сломалось сразу после обновления клиента, а сервер старый и знает только устаревшие шифры или версии TLS, договориться они могут не суметь.

Размер пакетов и таймеры

Когда рукопожатие проходит, а крупные пакеты пропадают, смотрят на размер. mssfix уменьшает TCP-сегменты, чтобы итоговые UDP-пакеты не превышали предел; fragment режет большие UDP-датаграммы и работает только с proto udp.

Обрывы без ошибок часто объясняет keepalive. В справочнике пример keepalive 10 60 заставляет посылать ping каждые 10 секунд и перезапускать соединение после 60 секунд без ответа, а ping-restart на клиенте по умолчанию равен 120 секундам, пока сервер не передал своё значение. Перезапуск по таймеру - не сбой, а ожидаемая реакция на тишину в сети.

Когда виновата сеть, а не профиль

Если профиль, время и версия клиента в порядке, а подключение рвётся только в одной сети, проверьте тот же профиль в другой: например, в мобильной сети вместо домашней. Разница покажет, что мешает что-то между вами и сервером.

О блокировках пишут по-разному. SecurityLab в 2023 году предположил, что наличие блокировки зависит от того, есть ли на сети провайдера оборудование ТСПУ, и оговорил, что это не подтверждено. Колонка на SecurityLab от 19 мая 2026 года (позиция автора, не издания) утверждает, что в феврале 2026 года OpenVPN и WireGuard заблокированы полностью, а ТСПУ узнаёт трафик по сигнатурам, а не только по IP-адресам. Коммерсантъ 11 апреля 2026 года пишет, что Роскомнадзор последовательно ограничивает протоколы OpenVPN, WireGuard и ряд других.

Что-то более свежее мая 2026 года в этих источниках не найдено, поэтому состояние на сегодня проверяйте по новостям. Одно ясно из самих сообщений: если сеть классифицирует сам протокол, правка конфига этого не изменит. Тогда вопрос уже не в настройках, а в выборе протокола.

Протоколы рядом с OpenVPN по документации

Nebula Link продаёт ключи на VLESS, поэтому у сервиса есть интерес в этом сравнении. Мы берём только написанное в документации и не сравниваем скорость: собственных измерений у нас нет.

Материал подготовлен брендом Nebula Link с помощью ИИ по перечисленным источникам.

OpenVPN: по справочнику, UDP по умолчанию, порт 1194; TCP поддерживается, а в FAQ OpenVPN Access Server он назван запасным вариантом для строгих сетей. Защита на TLS с сертификатами.
WireGuard: по описанию протокола, все пакеты идут по UDP, шифрование ChaCha20-Poly1305, а сервер молчит в ответ неавторизованным.
Shadowsocks: прокси из двух частей, ss-local и ss-remote, работает по TCP и UDP; схема шифрования зависит от выбранного шифра.
VLESS: по документации Xray, сам по умолчанию не шифрует и должен идти поверх TLS или REALITY; пользователь определяется по идентификатору.

Четыре протокола: транспорт и защита

Бесплатные профили: что с ними не так

Чужой профиль .ovpn означает, что весь ваш трафик уходит на чужой сервер, а его владелец видит адреса, к которым вы обращаетесь, даже когда содержимое зашифровано. Если сервер бесплатный, о том, чем владелец окупает расходы, остаётся только гадать.

У публичных профилей есть и практический минус: их раздают многим людям, и адрес общий. Такой профиль может перестать работать просто потому, что сервер выключили, и починить это на своей стороне нельзя. Подробнее о бесплатных вариантах - на странице бесплатный ВПН, а о том, что именно шифруется в пути, - в разделе про шифрование интернет-трафика.

Как начать с VLESS через Telegram-бот

Nebula Link - пример сервиса на VLESS: отдельной программы у нас нет, ключ работает в бесплатных клиентах с поддержкой этого протокола. SecurityLab называет VLESS среди протоколов, которые с декабря 2025 года начали ограничивать, поэтому подключение в любой сети мы не гарантируем. Пошаговая установка описана в материале как подключить ВПН, а клиенты под системы - на странице скачать ВПН.

Откройте Telegram-бот @owlink_service_bot - получите персональный VLESS-ключ и 5 дней бесплатно.
Поставьте бесплатный клиент с поддержкой VLESS и импортируйте ключ из буфера обмена.
На любом тарифе одновременно работают до 5 устройств.