Чым насамрэч небяспечныя адкрытыя сеткі
Адкрытая сетка — гэта агульны эфір. Пароль сам па сабе не робіць суседзяў сляпымі: у сетцы з WPA2 дастаткова ведаць агульны пароль і перахапіць ваша рукапацісканне, каб расшыфраваць трафік, а пароль, напісаны на крэйдавай дошцы, вядомы ўсёй зале. Ізаляцыю кліентаў адзін ад аднаго дае толькі WPA3. У сетцы зусім без пароля шыфравання на ўзроўні сеткі звычайна няма ўвогуле: радыёэфір даступны ўсім у радыусе дзеяння пункта, і любая прылада з прыдатным адаптарам можа слухаць трафік, які праходзіць побач. Асобны выпадак — Enhanced Open (OWE): ён шыфруе адкрытую сетку без пароля, але сустракаецца пакуль рэдка, і спадзявацца на яго наяўнасць не варта. Што відаць назіральніку: да якіх даменаў вы звяртаецеся, калі і як часта, памеры і рытм перадач. Гэтага дастаткова, каб аднавіць карціну — якія праграмы на прыладзе, якім банкам карыстаецеся, якія сайты адкрываеце. Асобная катэгорыя рызыкі — прылады ў той жа сетцы: прынтары, чужыя ноўтбукі, файлавыя шары, якія ваш камп'ютар можа ўспрыняць як даверанае асяроддзе. Дадайце да гэтага звычку прылад запамінаць сеткі: тэлефон, які аднойчы падключыўся да пункта з пэўным імем, наступным разам знойдзе яго сам і падключыцца моўчкі, дзе б вы ні знаходзіліся.
Падробленыя пункты доступу і атака «чалавек пасярэдзіне»
Другі сцэнар небяспечнейшы за пасіўнае праслухоўванне. Зламыснік паднімае пункт з праўдападобным імем — накшталт назвы кафэ ці аэрапорта з дададзенай лічбай — і чакае, пакуль прылады падключацца самі. Тэлефон нярэдка робіць гэта аўтаматычна, калі раней бачыў сетку з падобным імем. Далей увесь трафік ідзе праз чужое абсталяванне, і з'яўляецца магчымасць для атакі «чалавек пасярэдзіне»: спробы панізіць злучэнне да незашыфраванага, падмена DNS-адказаў, перанакіраванне на копію знаёмага сайта, усплывальная прапанова «абнавіць сертыфікат» ці ўсталяваць праграму. Сучасныя браўзеры супраціўляюцца гэтаму і паказваюць папярэджанні, але папярэджанне працуе, толькі калі яго чытаюць. Асобная дэталь: падрабіць імя сеткі тэхнічна элементарна, ніякага дарагога абсталявання не патрабуецца, таму давяраць назве пункта нельга ў прынцыпе. Асобна варта памятаць, што рызыка не залежыць ад прэстыжнасці месца: сетка ў дарагім гатэлі ўладкавана гэтак жа, як у вакзальным кафэ, і ў абодвух выпадках абсталяваннем кіруеце не вы.
Што абаронена без VPN, а што не
Тут важная сумленнасць, бо палохаць без разбору бессэнсоўна. Сёння амаль увесь вэб працуе па HTTPS: змест старонак, паролі і даныя формаў на нармальных сайтах зашыфраваныя, і проста прачытаць іх з эфіру нельга. Месэнджары і паштовыя кліенты таксама выкарыстоўваюць шыфраванне. Але незакрытым застаецца многае. Перш за ўсё імёны сайтаў, да якіх вы звяртаецеся: без шыфраванага DNS яны відаць проста ў запытах, а нават з ім імя звычайна застаецца ў адкрытым полі SNI пры ўсталяванні TLS-злучэння — хавае яго толькі пашырэнне ECH, якое падтрымліваецца яшчэ далёка не ўсюды. Публічны рэзолвер на 53-м порце тут дапамагае слаба: аператар сеткі можа перахапіць і падмяніць такія запыты, таму выбірайце DNS па-над HTTPS. Адкрытымі застаюцца таксама сам факт і час падключэнняў, даныя старых праграм, якія ходзяць па незашыфраваным пратаколе, і ўсё, што адбываецца на старонках без HTTPS, уключаючы формы аўтарызацыі ў састарэлых сістэмах. Плюс уразлівасць да актыўных атак: падмены DNS і спроб перанакіравання. Вынік такі: без VPN вы абаронены ад чытання зместу, але не ад назірання за паводзінамі і не ад умяшання ў маршрут. Карысна памятаць і пра фонавую актыўнасць: пакуль вы чытаеце навіны, прылада сінхранізуе пошту, каляндар і воблака, і гэтая актыўнасць таксама відаць назіральніку па імёнах даменаў і аб'ёмах перадач.
Што мяняе VPN
Падключэнне праз впн закрывае менавіта той слой, які застаецца адкрытым. Паміж прыладай і серверам паднімаецца зашыфраваны тунэль, і для ўсіх, хто слухае эфір, застаецца адзін паток даных да аднаго адраса — без імёнаў сайтаў, без падзелу на праграмы, без зразумелай структуры. Запыты DNS сыходзяць унутр тунэля, таму падмяніць іх у лакальнай сетцы ўжо нельга. Спроба перанакіраваць вас на падроблены сайт таксама губляе сэнс: маршрут будуецца не ў кафэ, а на выхадным серверы. Заадно закрываецца гаваркасць прылады ў чужой лакальнай сетцы — суседзі перастаюць бачыць, якімі сэрвісамі вы карыстаецеся. Пры гэтым VPN не замяняе здаровы сэнс: ён не выратуе ад уводу пароля на фішынгавым сайце і не вылечыць прыладу ад шкоднаснай праграмы. Ёсць і практычная дробязь: некаторыя публічныя сеткі самі рэжуць асобныя сэрвісы — абмяжоўваюць работу месэнджараў ці якасць відэа. Праз тунэль сетка не бачыць, які менавіта трафік ідзе ўнутры, таму такія абмежаванні, як правіла, перастаюць спрацоўваць. Але бывае і наадварот: сетка не прапускае сам тунэль, і тады дапамагае змена сервера ці пратакола ў кліенце.
Аўтападключэнне: наладзіць адзін раз
Сэнс у тым, каб не ўспамінаць пра абарону каля стойкі рэгістрацыі. Агульны прынцып аднолькавы на ўсіх платформах, хоць назвы пунктаў адрозніваюцца. На Android адкрыйце сістэмныя налады сеткі і ўключыце пастаянны VPN, а ў наладах праграмы дазвольце аўтазапуск і зніміце абмежаванні фонавай працы — інакш сістэма выгрузіць кліент у самы недарэчны момант; на iPhone такіх налад няма зусім. Сістэмнага пераключальніка пастаяннага VPN для старонніх кліентаў у iOS таксама няма, таму на iPhone аўтападключэнне наладжваецца ў самім кліенце: шукайце ў яго параметрах запуск пры старце і падключэнне па патрабаванні. На камп'ютары дастаткова дадаць кліент у аўтазагрузку і ўключыць аўтападключэнне да апошняга сервера. Калі кліент умее правілы па тыпе сеткі, задайце простае: у хатняй сетцы тунэль можна не паднімаць, у любой незнаёмай — паднімаць заўсёды. Шукайце пераключальнікі з такімі сэнсамі, а не канкрэтныя подпісы: інтэрфейсы кліентаў мяняюцца ад версіі да версіі. Праверыць наладу варта загадзя, дома: уключыце рэжым, адключыцеся ад хатняй сеткі і пераканайцеся, што злучэнне паднімаецца само. Разбірацца з гэтым у аэрапорце з чамаданам у руках — дрэнная ідэя.
Captive portal у аэрапортах і кафэ
Асобная складанасць публічных пунктаў — старонка аўтарызацыі, дзе трэба прыняць умовы, увесці нумар тэлефона ці код з смс. Пакуль яна не пройдзена, сетка не пускае трафік вонкі, і ўключаны загадзя тунэль проста не падымецца: кліент будзе бясконца спрабаваць дастукацца да сервера. Правільны парадак такі: падключыцеся да сеткі, дайце адкрыцца старонцы аўтарызацыі і прайдзіце яе, а адразу пасля гэтага ўключыце падключэнне і толькі потым адкрывайце пошту, банк і працоўныя сэрвісы. Калі старонка не з'яўляецца сама, адкрыйце любы сайт па пратаколе без шыфравання — звычайна гэта прымушае партал паказацца. Пастаянны VPN на Android, а на iPhone аўтападключэнне ў самім кліенце, у гэты момант лепш часова адключыць, інакш сістэма не прапусціць вас да самой старонкі. Пасля аўтарызацыі рэжым можна вярнуць. Карысная звычка — не ўводзіць на старонцы партала лішняга. Нумар тэлефона часам абавязковы па патрабаваннях сеткі, але пошта, дата нараджэння і згода на рассылку амаль заўсёды неабавязковыя.
VPN у паездках і за мяжой
У паездцы публічных сетак становіцца больш: гатэль, аэрапорт, вакзал, кафэ, канферэнцыя. Некалькі правіл эканомяць нервы. Адключыце аўтаматычнае падключэнне да адкрытых сетак, інакш тэлефон сам выбера бліжэйшы пункт са знаёмым імем. Трымайце абарону ўключанай па змаўчанні і здымайце толькі на час праходжання партала. Загадзя захавайце ключ падключэння дзесьці апроч месэнджара: Telegram у расійскіх сетках з лютага 2026 года працуе з перабоямі, а той жа акаўнт і той жа ключ заўсёды даступныя ў асабістым кабінеце. Улічыце, што банкаўскія праграмы часам просяць пацвярджэнне пры ўваходзе з іншай краіны — тут дапамагае раздзельнае тунэляванне, калі адна праграма ходзіць у сетку напрамую. І памятайце пра прылады: колькі іх працуе на адным акаўнце RobinGood VPN, залежыць ад тарыфу — зверцеся з яго апісаннем, каб тэлефон, ноўтбук і планшэт спадарожніка дакладна змясціліся ў ліміт. І апошняе: у сетках гатэляў і канферэнцый трафік разбіраюць больш строга, чым звычайна, таму запасны пратакол ці бліжэйшы даступны сервер са спіса эканомяць час. Пераключэнне займае некалькі секунд прама ў кліенце і робіцца ўручную.
Частыя пытанні
Ці патрэбны VPN, калі ўсе сайты і так працуюць па HTTPS?
Так, бо HTTPS закрывае змест, але не паводзіны. З эфіру па-ранейшаму відаць, да якіх сайтаў вы звяртаецеся: імя дамена застаецца ў адкрытым полі SNI, нават калі DNS зашыфраваны. Відаць таксама час і актыўнасць падключэнняў, а самі запыты DNS можна падмяніць у лакальнай сетцы. VPN прыбірае і гэты слой, пакідаючы назіральніку толькі зашыфраваны паток да аднаго адраса.
Як зразумець, што пункт доступу падроблены?
Надзейна — амаль ніяк: імя сеткі падрабляецца элементарна, і па знешніх прыкметах копію не адрозніць ад сапраўднай. Таму абараняцца трэба не распазнаваннем, а звычкай: не падключацца аўтаматычна да адкрытых сетак, уключаць тунэль адразу пасля аўтарызацыі і ніколі не ігнараваць папярэджанні браўзера пра сертыфікат.
Чаму VPN не падключаецца ў кафэ ці аэрапорце?
Часцей за ўсё замінае старонка аўтарызацыі: пакуль вы не прынялі ўмовы сеткі, вонкі не праходзіць ніякі трафік, уключаючы спробы кліента дастукацца да сервера. Спачатку падключыцеся да сеткі і прайдзіце партал, потым уключайце падключэнне. Пастаянны VPN на Android ці аўтападключэнне ў кліенце на iPhone на гэты час лепш часова адключыць.
Ці можна пакінуць VPN уключаным пастаянна?
Так, і ў публічных сетках гэта разумны рэжым па змаўчанні. Улічвайце толькі адзін нюанс: VLESS і ShadowSocks працуюць па-над TCP, таму пры пераходзе з Wi-Fi на мабільную сетку сесія звычайна ўсталёўваецца нанова і злучэнне на некалькі секунд перарываецца. Расход батарэі залежыць ад кліента, сеткі і сцэнара выкарыстання. Асобнае выключэнне — момант праходжання старонкі аўтарызацыі ў публічным пункце.
Ці абараняе VPN ад вірусаў і фішынгу?
Не, гэта розныя задачы. VPN закрывае канал перадачы даных, але не правярае змест сайтаў і не блакіруе шкоднасныя файлы. Пароль, уведзены на падробленай старонцы, сыдзе зламысніку незалежна ад таго, уключаны тунэль ці не.
Гатовыя да стабільнага інтэрнэту?