VPN не работает — как найти причину за пять минут

Ниже — порядок действий, который отделяет одну причину от другой за несколько минут. Он одинаково работает с любым клиентом на WireGuard, не только с нашим. Там, где число зависит от конкретного сервиса, оно названо явно.

Быстрая диагностика: три вопроса

Ответьте на три вопроса, и круг поиска сузится до одного раздела.

Туннель вообще поднимается? Если да — растёт ли счётчик принятых байт? Проблема повторяется на другой сети?

Симптом	Вероятная причина	Что делать
Ошибка сразу при подключении, «не удалось установить соединение»	До сервера не доходит UDP или ключ отозван	Сменить локацию, затем обновить конфигурацию
Пишет «Подключено», интернета нет	DNS или MTU	Поставить DNS 1.1.1.1, 8.8.8.8 и MTU 1280
Ошибка со словами «подписка», «оплата», «лимит устройств»	Аккаунт, а не сеть	Проверить подписку и число подключённых устройств
Работает на Wi-Fi, не работает на мобильном	Сотовая сеть медленнее пропускает UDP	Увеличить время ожидания, снизить MTU
Работает на мобильном, не работает на Wi-Fi	Сеть не пропускает протокол	Проверить на третьей сети
Отваливается через минуту после подключения	Энергосбережение или смена сети	Исключить приложение из оптимизации батареи
Всё работает, кроме одного приложения	Раздельное туннелирование	Проверить список исключённых приложений

Дальше — по разделам.

Не подключается вообще

Ошибка при подключении: handshake не проходит

Handshake — это приветствие клиента и сервера. Клиент отправляет пакет и ждёт ответа. Если ответа нет, соединение не устанавливается, и вы видите текст вроде «Не удалось установить соединение с сервером».

Причин ровно две, и они различаются одним действием.

До сервера не доходит UDP-трафик. WireGuard работает поверх UDP, и часть сетей — корпоративные, гостевые, некоторые мобильные — пропускают его хуже, чем обычный веб-трафик. Проверяется переключением на другую сеть.

Сервер не принимает ваш ключ. Ключ мог быть отозван, а сервер — пересобран. Проверяется сменой локации: другой сервер, тот же ключ.

Смена локации — самая быстрая проверка из всех, потому что она меняет ровно одну переменную. В приложении OKNO это один тап: клиент сам перебирает доступные ноды, если сбой произошёл при обычном подключении, и держится за выбранный вами город, если вы тапнули по нему явно. На первую попытку отводится 12 секунд ожидания handshake, на последующие — по 8, весь перебор ограничен 30 секундами и тремя попытками. То есть «сеть или сервер» выясняется меньше чем за полминуты.

Порог в 8 секунд взят не с потолка. Изначально стояло 6, и от них пришлось отказаться: на российском мобильном интернете шести секунд не хватало, и клиент показывал ошибку соединения там, где связь на самом деле была.

Конфигурация устарела

Конфигурация — это файл или профиль с ключом, адресом сервера и настройками. Он перестаёт работать, когда сервер пересобран, ключ отозван или устройство удалено из аккаунта.

Признак: раньше работало, ничего не меняли, перестало у одного устройства из нескольких. В приложении обновление конфигурации — отдельный пункт меню. При ручной настройке нужно скачать файл заново и импортировать поверх старого, а не рядом с ним: два профиля одного сервиса конфликтуют так же, как два разных VPN.

Подписка кончилась или превышен лимит устройств

Самая частая причина, которую ищут дольше всего, потому что она выглядит как сетевая.

Отличается по тексту ошибки. «Нет активной подписки», «Подписка неактивна», «Подписка не привязана к аккаунту» — оплата. «Достигнут лимит устройств (10)» — вы подключили больше устройств, чем разрешает тариф; отключите лишнее в личном кабинете, старые телефоны и переустановленные системы часто занимают слоты незаметно.

Ни одна из этих ошибок не лечится сменой сервера. Если клиент показывает их — переключать локации бессмысленно.

Конфликт со вторым VPN-профилем

Мобильные системы отдают маршрут по умолчанию одному туннелю. Если в настройках VPN лежит второй профиль — от работы, от старого сервиса, от приложения, которое вы поставили и забыли, — они конкурируют.

Удалите лишние профили в системных настройках VPN, а не просто выключите их в приложениях. Отдельно проверьте роутер: VPN, поднятый на нём, накладывается на VPN телефона, и это отдельный частый случай.

Подключается, но интернета нет

Туннель поднялся, значок горит, приложение пишет «Подключено», а страницы не открываются. Это не «VPN сломался целиком» — до этого места всё работает. Проблема в том, что происходит с пакетами дальше.

DNS

Если DNS-сервер недоступен через туннель, имена сайтов не превращаются в адреса. Симптом узнаваемый: по IP-адресу ресурс открывается, по имени — нет.

Пропишите в конфигурации публичные DNS и переподключитесь. В конфигурациях OKNO по умолчанию стоят 1.1.1.1, 8.8.8.8.

MTU

Самая недооценённая причина, и её стоит проверять раньше остального.

MTU — максимальный размер пакета. Если он больше, чем пропускает сеть по пути, крупные пакеты молча теряются. Мелкие проходят, поэтому handshake проходит и соединение выглядит установленным — а вот TLS, то есть загрузка любого сайта по HTTPS, встаёт.

Значение по умолчанию в WireGuard — 1420, и в некоторых мобильных сетях оно превышает реальный предел. Рабочее решение: поставить MTU = 1280 в секции [Interface] конфигурации и переподключиться. Android-клиент OKNO делает это сам — подставляет 1280 вместо серверного значения при каждом подключении.

Работает на Wi-Fi, не работает на мобильном — и наоборот

Разница между сетями — это не поломка, а диагностический инструмент. Она сразу говорит, где искать.

Не работает только на мобильном. Сотовые сети медленнее пропускают UDP и чаще режут крупные пакеты. Снизьте MTU до 1280 и дайте подключению больше времени. Если в клиенте есть настройка таймаута, увеличьте её.

Не работает только на конкретном Wi-Fi. Сеть, к которой вы подключены, может не пропускать протокол. Проверьте на третьей сети: если на мобильном и на домашнем Wi-Fi всё в порядке, а в кафе или в офисе нет — дело в этой сети, а не в устройстве и не в аккаунте.

Не работает нигде. Тогда сеть ни при чём, возвращайтесь к разделу про подписку и конфигурацию.

Отваливается через минуту после подключения

Туннель поднимается и рвётся сам. Две причины покрывают почти все случаи.

Энергосбережение. Система усыпляет приложение в фоне. Исключите VPN-приложение из оптимизации батареи в системных настройках.

Смена сети. Переход с Wi-Fi на мобильный интернет меняет адрес устройства. Клиент должен пережить это сам, но при слабом сигнале не всегда успевает.

Здесь стоит знать, как приложение вообще понимает, что туннель умер. WireGuard не держит соединение: если сервер перестал принимать ваш ключ, в ответ не приходит ничего — интерфейс остаётся поднятым, значок VPN горит, приложение продолжает писать «Подключено». Поэтому мёртвый туннель определяется по трём признакам сразу: handshake не обновлялся дольше 150 секунд, отправленных байт становится больше, а принятых — нет. Проверка идёт каждые 15 секунд, и вердикт должен продержаться минуту, чтобы поездка в лифте не рвала соединение, которое восстановилось бы само.

Практический вывод для любого клиента: живой туннель отличается от мёртвого тем, что счётчик принятых байт растёт. Если он стоит, а отправленных прибавляется — вы отправляете в пустоту, и переподключение обязательно.

Работает всё, кроме одного приложения

Проверьте раздельное туннелирование — список приложений, которые ходят мимо VPN. Одно случайно добавленное приложение выглядит как выборочная поломка. У нас это описано отдельно: приложения без VPN.

Второй вариант — сам сервис блокирует адреса дата-центров. Это встречается у банковских и стриминговых приложений и лечится сменой локации.

Работает, но медленно

Медленно — это не то же самое, что не работает, и лечится иначе: сменой локации на географически ближнюю, проверкой скорости без VPN для сравнения и снижением MTU. Если без VPN скорость тоже низкая, дело не в туннеле.

Ничего не помогло: что собрать перед обращением в поддержку

Хорошее обращение экономит день переписки. Соберите пять пунктов:

1. Дословный текст ошибки — скриншотом, а не пересказом.
2. Платформа и версия системы, версия приложения.
3. Сеть: домашний Wi-Fi, мобильный интернет с названием оператора, публичный Wi-Fi.
4. Что уже пробовали: смена локации, обновление конфигурации, другая сеть.
5. Проверялось ли на втором устройстве в той же сети — это сразу отделяет проблему устройства от проблемы аккаунта.

Пятый пункт пропускают чаще всего, а он самый полезный.

---

OKNO — VPN на WireGuard: до 10 устройств на подписку, безлимитный трафик, возврат в течение 30 дней. Как установить.