WireGuard VPN: что это и почему его режут в России

WireGuard - протокол шифрованного туннеля между двумя узлами: UDP, ключи на каждой стороне, ChaCha20 для данных. В России его, по колонке SecurityLab от 19 мая 2026 года, заблокировали полностью в феврале 2026 года, поэтому конфиг, который прекрасно работает за границей, дома может не подключиться.

Бесплатные туннели добавляют второй риск: вы отдаёте чужому серверу не только трафик, но и, возможно, ключи. Ниже - устройство протокола, содержимое конфига и сравнение с тремя другими протоколами по их документации.

Как устроен WireGuard

Сайт проекта описывает WireGuard как туннельный интерфейс: он называется wg0 (или wg1, wg2), у него есть приватный ключ и список пиров, а у каждого пира - публичный ключ. Ключами обмениваются так же, как ключами SSH; как их доставить, протокол не определяет.

Параметр AllowedIPs решает две задачи. При отправке он работает как таблица маршрутизации, при приёме - как список доступа: пакет с адресом вне списка отбрасывается. Работает WireGuard на Linux, Windows, macOS, BSD, iOS и Android.

На странице протокола сказано: все пакеты идут по UDP, шифрование - ChaCha20 с проверкой Poly1305, обмен ключами - Curve25519, хеширование - BLAKE2s. Рукопожатие повторяется каждые несколько минут, чтобы ключи сменялись (прямая секретность). Если пакет приходит от неизвестного отправителя, сервер молчит.

Туннель и конфиг: что внутри

Туннель - это интерфейс с настройками, конфиг - файл, который эти настройки задаёт. По быстрому старту WireGuard, в нём собраны пять вещей: порт, приватный ключ вашей стороны, публичный ключ пира, разрешённые адреса и адрес сервера с портом.

Ключи создают командами wg genkey и wg pubkey. Интерфейс поднимает и отключает wg-quick. Для пира за NAT документация предлагает поле PersistentKeepalive и называет разумным интервалом 25 секунд.

Важное следствие: в конфиге лежит ваш приватный ключ. Тот, кто выдал вам готовый файл с ключом, видел этот ключ.

Почему WireGuard режут в России

Колонка на SecurityLab от 19 мая 2026 года (мнение автора, не позиция редакции) пишет: в феврале 2026 года WireGuard и OpenVPN заблокированы полностью, а оборудование ТСПУ анализирует отпечатки трафика, а не одни адреса. "Коммерсантъ" 11 апреля 2026 года также сообщает, что Роскомнадзор последовательно ограничивает протоколы OpenVPN, WireGuard и ряд других.

Почему именно этот протокол узнаётся, источники не объясняют. Вот наше предположение, не факт из источника: WireGuard целиком построен на UDP с понятной последовательностью рукопожатия, а на странице протокола нет приёмов, меняющих внешний вид трафика. Фильтру, который смотрит на отпечатки, такая структура даёт за что зацепиться.

Из этого следует практический вывод: смена сервера или бесплатного туннеля не помогает, если дело в самом протоколе. Новее мая 2026 года источников у нас нет, статус на день чтения проверяйте отдельно.

Чем рискует тот, кто берёт бесплатные туннели

Ниже общие соображения о схеме, а не данные об отдельных сервисах. Туннель всегда кончается на чужом сервере, и его владелец видит, к каким адресам вы обращаетесь, даже когда содержимое защищено. Если сервер бесплатный, о том, чем владелец окупает расходы, обычно приходится догадываться.

Второй риск - готовый конфиг. Раз в нём приватный ключ, готовый файл с сайта означает, что ключ существует не только у вас. Один и тот же файл иногда раздают многим людям, и тогда вы делите сервер и адрес с незнакомцами.

Что проверить до того, как скопировать конфиг: кто владелец сервера, какая политика логов (пример страницы - политика отсутствия логов), можно ли сгенерировать собственную пару ключей. О бесплатных вариантах в целом - на странице бесплатный ВПН.

WireGuard, OpenVPN, Shadowsocks и VLESS по документации

Сравниваем только то, что написано в документации. Скорость и задержки не сравниваем: измерений у нас нет, а чужие цифры без метода ничего не доказывают.

• WireGuard: транспорт - только UDP, шифр ChaCha20 с Poly1305, пара ключей на каждой стороне.
• OpenVPN по справочнику использует udp по умолчанию, умеет и tcp, порт по умолчанию 1194; в режиме SSL/TLS ему нужны сертификаты клиента и сервера.
• Shadowsocks - защищённый прокси из двух частей, ss-local и ss-remote; работает по TCP и UDP, а схема шифрования зависит от выбранного шифра.
• VLESS сам трафик не шифрует, вход определяется по UUID, а защиту даёт слой под ним, TLS или REALITY.

Как начать с VLESS через Telegram-бот

Nebula Link - пример сервиса на VLESS: свой клиент не требуется, подходит любой бесплатный клиент с поддержкой этого протокола. Тот же VLESS указан в списке протоколов, которые SecurityLab называет заблокированными с декабря 2025 года, поэтому гарантий подключения в любой сети мы не даём. Подробности установки - в материале как подключить ВПН.

• Откройте Telegram-бот @owlink_service_bot - получите персональный VLESS-ключ и 10 дней бесплатно.
• Поставьте бесплатный клиент с поддержкой VLESS и импортируйте ключ из буфера обмена.
• На любом тарифе одновременно работают до 5 устройств.

Источники

• WireGuard: описание протокола
• WireGuard: главная страница проекта
• WireGuard: быстрый старт
• SecurityLab: VPN в России 2026, правовой статус, блокировки и штрафы
• Коммерсантъ: Блокировка VPN в России, правовые последствия и будущее рынка
• AppleInsider.ru: Роскомнадзор усилил блокировку VPN и прокси в России
• OpenVPN: справочник по версии 2.4
• Shadowsocks: что это такое
• Документация Xray: исходящее подключение VLESS