VPN подключен, но интернета нет: разбор по слоям

Это отдельный класс проблем, который путают с обычным «не подключается». Здесь всё наоборот: туннель поднялся, значок горит, клиент показывает сервер и время соединения — а браузер выдаёт пустую страницу, мессенджеры молчат, приложения крутят колесо. Значит, канал есть, но трафик по нему не проходит или уходит не туда. Разбираем по слоям, от быстрого к глубокому.

Первые 60 секунд

Прежде чем лезть в настройки, пробегите пять действий. По опыту они закрывают больше половины случаев.

1. Отключите соединение и включите заново — не переподключение внутри клиента, а полное выключение и включение.
2. Смените сервер на любой другой из списка и проверьте.
3. Откройте сайт в режиме инкогнито — так вы отсекаете кэш и старые записи браузера.
4. Проверьте, не запущен ли второй сетевой инструмент: антивирусный экран, корпоративный клиент, ускоритель.
5. Посмотрите на дату и время устройства — если они уехали, дальше можно не идти.

Не помогло — идём по слоям.

Слой 1. Служба имён

Самая частая причина. Туннель поднялся, маршрут есть, но запросы на разрешение имён уходят в никуда: либо на старый адрес провайдера, который внутри туннеля недоступен, либо в пустоту.

Как проверить:

• Windows. Откройте командную строку и выполните ping 1.1.1.1, затем ping example.com. Числовой адрес отвечает, имя — нет: диагноз подтверждён.
• Android и iPhone. Откройте в браузере адрес вида http://1.1.1.1 — если страница открывается, а обычные сайты нет, дело в именах.

Что делать. В настройках клиента найдите пункт про DNS и включите использование серверов туннеля вместо системных. На Windows дополнительно помогает сброс кэша: ipconfig /flushdns в командной строке от имени администратора. На Android проверьте «Настройки» → «Сеть и Интернет» → «Частный DNS» — если там прописан свой сервер, переведите в автоматический режим на время проверки.

Слой 2. MTU

Второй по частоте и самый неочевидный. Туннель добавляет к каждому пакету свои заголовки, и если максимальный размер пакета не уменьшен, крупные пакеты отбрасываются по дороге без всякого сообщения.

Симптом узнаваемый: пинг идёт, лёгкие страницы открываются, а тяжёлые сайты, загрузка файлов и видео зависают на середине.

Проверка на Windows: ping -f -l 1400 1.1.1.1. Если приходит «Требуется фрагментация пакета», уменьшайте число на 20–30 и повторяйте, пока не пройдёт. К найденному значению прибавьте 28 — это ваш рабочий MTU.

В большинстве клиентов MTU задаётся в дополнительных настройках соединения. Значение 1400 работает почти везде и стоит того, чтобы попробовать его первым.

Слой 3. Второй туннель или сетевое приложение

Два одновременно работающих туннеля почти всегда дают именно эту картину: подключение есть, трафика нет. Система строит маршрут по последнему поднятому интерфейсу, и часть пакетов уходит в тупик.

Что проверить и выключить по одному:

• корпоративный клиент удалённого доступа (часто стартует сам при загрузке);
• антивирус с функцией защищённого соединения или проверки трафика;
• игровые ускорители и оптимизаторы сети;
• расширения браузера с собственным прокси — они перехватывают трафик до системного маршрута;
• второй VPN-клиент, оставшийся от прошлых экспериментов.

На Android посмотрите «Настройки» → «Подключения» → «Другие настройки» → «VPN»: там могут висеть неудалённые профили. На iPhone тот же список в «Настройках» → «VPN и управление устройством». Лишние профили удаляйте, а не просто выключайте.

Слой 4. Раздельное туннелирование отправило трафик мимо

Функция полезная, но именно она даёт эффект «у меня всё работает, кроме одного приложения» или наоборот — «работает только одно приложение». В клиенте есть список приложений, которые идут через туннель или мимо него, и он мог остаться от прежних настроек.

Путь: настройки клиента → раздел про приложения, «Split tunneling», «Режим маршрутизации», «Исключения». Временно переведите в режим «весь трафик через туннель» и проверьте. Заработало — возвращайте выборочность аккуратно, по одному приложению.

Отдельная ловушка на Android: если включено «Блокировать соединения без VPN», а туннель фактически не пропускает трафик, интернет пропадает полностью. Снимите этот флажок на время диагностики.

Слой 5. Часы устройства

Туннель поднимается по своим правилам, а вот защищённое соединение с сайтами проверяет сертификаты по системным часам. Расхождение в несколько минут даёт браузеру ошибку сертификата, расхождение в часы — полное молчание.

Проверка: «Дата и время» в настройках, автоматическая синхронизация по сети. На Windows «Параметры» → «Время и язык» → «Дата и время» → «Синхронизировать сейчас». На телефоне — автоматический часовой пояс и автоматическая дата.

Слой 6. IPv6 без маршрута

Устройство получило адрес шестой версии от провайдера, а туннель работает только с четвёртой. Система пытается ходить по шестой, не получает ответа, ждёт таймаут и только потом откатывается. Внешне это выглядит как «страницы грузятся по 30 секунд или не грузятся вовсе».

Что делать: в настройках клиента включите блокировку или туннелирование IPv6, если такой пункт есть. На Windows: «Изменение параметров адаптера» → свойства адаптера → снять галочку с протокола IP версии 6 и проверить. Если помогло — причина найдена, дальше решайте её в настройках клиента, а не отключением протокола навсегда.

Если после этого соединение работает, но заметно медленнее обычного, посмотрите отдельный разбор про то, что реально влияет на скорость. А протестировать другой сервер на своём подключении можно в пробном периоде на 3 дня без привязки карты — оплата дальше картой или по QR через Систему быстрых платежей.

Слой 7. Брандмауэр и антивирус

Защитные программы часто блокируют трафик виртуального адаптера, потому что не узнают его. Симптом: сразу после установки нового клиента интернет пропадает, а без клиента всё в порядке.

Проверка честная и быстрая: отключите защиту на 2–3 минуты и посмотрите. Заработало — не оставляйте её выключенной, а добавьте клиент и его адаптер в исключения. На Windows: «Безопасность Windows» → «Брандмауэр и защита сети» → «Разрешить работу с приложением через брандмауэр» → найти клиент и отметить обе сети, частную и общедоступную.

Слой 8. Кэш браузера и HSTS

Бывает, что интернет уже работает, а конкретный сайт упорно не открывается — браузер помнит старую запись и лезет по ней. Особенно заметно с сайтами, которые вы открывали до подключения.

Что сделать по порядку: проверьте в режиме инкогнито; очистите кэш и файлы cookie за последний час; если браузер на движке Chromium — откройте chrome://net-internals/#hsts, введите домен в поле удаления и удалите запись. Проверьте тот же сайт в другом браузере: если там открывается, диагноз подтверждён.

Слой 9. Экономия трафика на телефоне

Чисто мобильная история. Режим экономии режет фоновые данные, и клиент остаётся подключённым, но не получает права передавать.

• Android. «Настройки» → «Сеть и Интернет» → «Экономия трафика» → отключить или добавить клиент в исключения. Плюс «Настройки» → «Приложения» → клиент → «Мобильный интернет и Wi-Fi» → разрешить фоновые данные.
• iPhone. «Настройки» → «Сотовая связь» → «Параметры данных» → «Экономия данных» выключить. Проверьте также «Режим энергосбережения» — он тормозит фоновые сетевые процессы.

Если картина повторяется только на мобильной сети и не воспроизводится на Wi-Fi, читайте отдельный разбор про работу на мобильном интернете.

Сводная таблица

Если не работает после всех проверок

Соберите факты, прежде чем менять сервис. Работает ли соединение на другом устройстве в той же сети. Работает ли оно на этом же устройстве в другой сети — например, на точке доступа с телефона. Меняется ли что-то при переключении сервера. Эти три ответа однозначно указывают, где искать: в устройстве, в сети или на стороне сервиса. Если во всех трёх случаях картина одинаковая и сервера не помогают, дело в сервисе — как убедиться, что соединение действительно защищает трафик, описано в статье про проверку работы, а технические условия совместимости — в чек-листе перед настройкой. Взять подписку и проверить на своём подключении можно без обязательств, пробный период идёт без карты.

Коротко

«Подключен, но интернета нет» — это не одна проблема, а восемь разных с одинаковым видом. Быстрее всего проверяются DNS и MTU: числовой адрес против имени и пинг с запретом фрагментации дают диагноз за минуту. Второй туннель или антивирусный экран ломают маршрут чаще, чем кажется, и лечатся выключением по одному. Раздельное туннелирование, сбитые часы, IPv6 и экономия трафика на телефоне — оставшийся хвост, каждый со своим узнаваемым симптомом. Меняйте что-то одно за раз и проверяйте после каждого шага, иначе причину не найти.