Настройка VPN-подключения в Windows: пошаговое руководство

Что такое VPN и зачем его настраивать вручную

Виртуальная частная сеть (VPN) создаёт зашифрованный туннель между вашим устройством и удалённым сервером. Это защищает данные от перехвата на общедоступных Wi-Fi сетях и скрывает ваш реальный IP-адрес. Большинство пользователей устанавливают приложение от провайдера VPN, но ручная настройка даёт больше контроля: вы можете выбрать конкретный протокол, задать маршруты для раздельного туннелирования или настроить подключение для всех учётных записей на компьютере.

Ручная конфигурация особенно полезна, когда приложение провайдера недоступно, требуется подключение к корпоративной сети или вы хотите использовать специфические параметры шифрования. В Windows 10 и 11 есть встроенный клиент VPN, который поддерживает основные протоколы: IKEv2, L2TP/IPsec, SSTP и PPTP. Однако PPTP считается устаревшим и небезопасным — его использование не рекомендуется.

Перед началом настройки убедитесь, что у вас есть:

• Адрес VPN-сервера (IP или доменное имя).
• Учётные данные (имя пользователя и пароль) или сертификат.
• Информация о типе протокола и, если требуется, предварительный общий ключ (Pre-Shared Key) для L2TP.

Если вы подключаетесь к корпоративной сети, все эти данные обычно предоставляет системный администратор.

Создание VPN-профиля через графический интерфейс Windows

Самый простой способ настроить VPN в Windows — использовать встроенные параметры сети. В Windows 11 откройте Параметры → Сеть и Интернет → VPN и нажмите Добавить VPN. В Windows 10 путь аналогичен: Параметры → Сеть и Интернет → VPN → Добавить VPN-подключение.

В открывшемся окне заполните поля:

• Поставщик услуг VPN — выберите «Windows (встроенный)».
• Имя подключения — любое понятное имя, например «Мой рабочий VPN».
• Имя или адрес сервера — введите адрес VPN-сервера (например, vpn.example.com).
• Тип VPN — выберите протокол, который поддерживает ваш сервер. Наиболее распространённые варианты: IKEv2, L2TP/IPsec, SSTP, PPTP.
• Тип данных для входа — обычно это «Имя пользователя и пароль», но может быть сертификат или смарт-карта.

После заполнения нажмите Сохранить. Профиль появится в списке VPN-подключений. Для подключения просто выберите его и нажмите Подключить. При необходимости система запросит учётные данные.

Если вам нужно изменить параметры уже созданного профиля, выберите его в списке, нажмите Дополнительные параметры и затем Изменить. Там можно обновить адрес сервера, тип протокола или настроить прокси-сервер.

Настройка VPN с помощью PowerShell: гибкость и автоматизация

Для продвинутых пользователей и системных администраторов PowerShell предоставляет гораздо больше возможностей, чем графический интерфейс. С помощью командлета Add-VpnConnection можно создать VPN-подключение с точными параметрами, включая тип туннеля, метод аутентификации, уровень шифрования и раздельное туннелирование.

Вот несколько примеров:

Простое подключение:

Add-VpnConnection -Name "WorkVPN" -ServerAddress "vpn.winitpro.ru" -PassThru

L2TP/IPsec с предварительным ключом:

Add-VpnConnection -Name "WorkVPN_L2TP" -ServerAddress "vpn.winitpro.ru" -TunnelType L2TP -L2tpPsk "str0ngSharedKey2" -Force -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -UseWinlogonCredential -RememberCredential -AllUserConnection -PassThru

PPTP (не рекомендуется, но иногда нужен):

Add-VpnConnection -Name "WorkVPN_PPTP" -ServerAddress "vpn.winitpro.ru" -TunnelType PPTP -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -SplitTunneling -PassThru

SSTP (требует сертификата сервера):

Add-VpnConnection -Name "WorkVPN_SSTP" -ServerAddress "vpn.winitpro.ru" -TunnelType SSTP -EncryptionLevel "Required" -AuthenticationMethod MSChapv2 -RememberCredential -SplitTunneling -PassThru

IKEv2 (требует импорта сертификатов):

Import-PfxCertificate -FilePath $comp_certificate -CertStoreLocation Cert:\LocalMachine\My\ -Password $password
Import-Certificate -FilePath $ca_cert -CertStoreLocation Cert:\LocalMachine\Root\
Add-VpnConnection -Name "WorkVPN_IKEv2" -ServerAddress "vpn.winitpro.ru" -TunnelType Ikev2 -EncryptionLevel "Maximum" -AuthenticationMethod MachineCertificate -SplitTunneling $True -PassThru

Ключевые параметры:

• -TunnelType — тип VPN-туннеля (Automatic, IKEv2, PPTP, L2TP, SSTP).
• -AuthenticationMethod — метод аутентификации (Pap, Chap, MSChapv2, Eap, MachineCertificate).
• -EncryptionLevel — уровень шифрования (NoEncryption, Optional, Required, Maximum, Custom).
• -SplitTunneling — если $True, только трафик для корпоративной сети идёт через VPN, остальной — напрямую.
• -AllUserConnection — делает подключение доступным для всех пользователей компьютера.
• -RememberCredential — сохраняет учётные данные после первого успешного подключения.

Для изменения существующего подключения используйте Set-VpnConnection, а для удаления — Remove-VpnConnection.

Подключиться к VPN из командной строки можно командой rasdial "Имя подключения".

Выбор протокола VPN: какой подходит именно вам

Протокол VPN определяет, как именно устанавливается соединение и шифруются данные. От его выбора зависит скорость, стабильность и уровень безопасности.

IKEv2 (Internet Key Exchange version 2) — современный протокол, который отлично подходит для мобильных устройств благодаря способности быстро восстанавливать соединение при смене сети (например, с Wi-Fi на мобильный интернет). Он использует IPsec для шифрования и поддерживает аутентификацию как по сертификатам, так и по паролю. IKEv2 считается одним из самых безопасных и быстрых протоколов.

L2TP/IPsec (Layer 2 Tunneling Protocol с IPsec) — комбинация, которая обеспечивает хорошую безопасность, но может быть медленнее из-за двойной инкапсуляции. Часто используется в корпоративных средах. Для аутентификации может применяться предварительный общий ключ (Pre-Shared Key) или сертификаты.

SSTP (Secure Socket Tunneling Protocol) — проприетарный протокол Microsoft, который использует HTTPS-порт 443. Это позволяет ему обходить большинство файрволов и прокси-серверов, так как трафик выглядит как обычный веб-трафик. SSTP надёжен, но его поддержка ограничена в основном Windows.

PPTP (Point-to-Point Tunneling Protocol) — старый протокол, который легко настраивается, но имеет серьёзные уязвимости в безопасности. Его использование категорически не рекомендуется, особенно если важна конфиденциальность данных.

WireGuard — современный протокол, который набирает популярность благодаря высокой скорости и простоте. Он не встроен в Windows по умолчанию, но многие VPN-провайдеры предлагают его в своих приложениях. Если у вас есть возможность, выбирайте WireGuard или IKEv2.

При выборе протокола учитывайте, что ваш VPN-сервер должен поддерживать выбранный тип. Для корпоративных сетей часто используется IKEv2 или L2TP/IPsec, а для обхода блокировок — SSTP или OpenVPN (через сторонние клиенты).

Раздельное туннелирование: как управлять трафиком

По умолчанию при подключении к VPN весь ваш интернет-трафик направляется через зашифрованный туннель. Это обеспечивает максимальную конфиденциальность, но может замедлять доступ к локальным ресурсам или сервисам, которые не должны проходить через VPN. Раздельное туннелирование (Split Tunneling) позволяет указать, какой трафик идёт через VPN, а какой — напрямую.

В Windows эта опция называется «Использовать основной шлюз в удалённой сети». Если она включена (по умолчанию), весь трафик идёт через VPN. Если отключена, через VPN проходит только трафик, предназначенный для сети удалённого офиса, а остальной — напрямую.

В PowerShell это управляется параметром -SplitTunneling. Например, чтобы отключить раздельное туннелирование (весь трафик через VPN):

Set-VpnConnection -Name "WorkVPN" -SplitTunneling $false -PassThru

Чтобы включить раздельное туннелирование и добавить конкретные маршруты, используйте Add-VpnConnectionRoute:

Add-VpnConnectionRoute -ConnectionName "WorkVPN" -DestinationPrefix 192.168.111.0/24 -PassThru

Этот маршрут будет активирован только после подключения к VPN. Таким образом, вы можете направить через VPN только трафик к корпоративной сети (например, 192.168.111.0/24), а весь остальной интернет-трафик оставить прямым.

Раздельное туннелирование полезно, когда вы хотите одновременно работать с корпоративными ресурсами и пользоваться локальными сервисами (например, стримингом или онлайн-банкингом) без замедления.

Автоматизация подключения и сохранение учётных данных

Чтобы каждый раз не вводить имя пользователя и пароль, можно настроить автоматическое сохранение учётных данных. В PowerShell для этого используется параметр -RememberCredential. После первого успешного подключения данные сохраняются в диспетчере учётных данных Windows.

Если вам нужно сохранить учётные данные заранее (например, для развёртывания на нескольких компьютерах), можно использовать модуль VPNCredentialsHelper. Установите его из PowerShell Gallery:

Install-Module -Name VPNCredentialsHelper

Затем сохраните учётные данные для конкретного подключения:

$user = "vpnusername"
$plainpass = "vpn_password"
Set-VpnConnectionUsernamePassword -connectionname "WorkVPN_SSTP" -username $user -password $plainpass

Обратите внимание, что если в пароле или ключе L2TP используется символ $, его нужно экранировать обратным апострофом ` `. Например, пароль MyPSKpas$word должен быть записан как MyPSKpas$word.

Для автоматического подключения при запуске системы можно создать задачу в планировщике Windows, которая выполняет команду rasdial "Имя подключения". Это особенно удобно для пользователей, которые всегда хотят быть защищёнными.

Также можно настроить автоматическое подключение к VPN при обнаружении определённых сетей Wi-Fi (например, общедоступных). Для этого используются скрипты PowerShell или сторонние утилиты.

Управление VPN-подключениями для всех пользователей

По умолчанию VPN-профиль создаётся только для текущего пользователя. Если вы хотите, чтобы подключение было доступно всем учётным записям на компьютере, используйте параметр -AllUserConnection в PowerShell.

Add-VpnConnection -Name "WorkVPN" -ServerAddress "vpn.winitpro.ru" -AllUserConnection -PassThru

Такие подключения отображаются в панели управления сетями, а в качестве владельца указана «System». Файлы общих VPN-подключений хранятся в %ProgramData%\Microsoft\Network\connections\Pbk\rasphone.pbk.

Для просмотра всех VPN-подключений, доступных пользователю, выполните:

Get-VpnConnection

Если нужно увидеть подключения для всех пользователей, добавьте ключ -AllUserConnection:

Get-VpnConnection -AllUserConnection

Удаление общего подключения также требует указания этого параметра:

Remove-VpnConnection -Name "WorkVPN" -AllUserConnection -Force

Эта возможность полезна в корпоративной среде, где один компьютер используется несколькими сотрудниками, или для домашних компьютеров с разными учётными записями.

Диагностика и решение типичных проблем с VPN

Даже при правильной настройке могут возникать проблемы с подключением. Вот наиболее частые сценарии и способы их решения.

Ошибка аутентификации. Проверьте правильность имени пользователя и пароля. Если используется сертификат, убедитесь, что он установлен в правильное хранилище (для IKEv2 — в личные сертификаты компьютера, а корневой сертификат — в доверенные корневые). Также проверьте системное время — расхождение более чем на несколько минут может блокировать аутентификацию.

Нет доступа в интернет при активном VPN. Это часто связано с неправильными настройками DNS или маршрутизации. Попробуйте отключить раздельное туннелирование (-SplitTunneling $false) или сменить протокол. Если проблема возникает с L2TP/IPsec за NAT, убедитесь, что на сервере и клиенте включена поддержка NAT-T.

Медленная скорость. Используйте более быстрый протокол (WireGuard или IKEv2 вместо L2TP). Выберите сервер, расположенный ближе к вам географически. Если скорость всё ещё низкая, попробуйте изменить порт или протокол (например, с UDP на TCP).

Не удаётся подключиться к серверу L2TP/IPsec за NAT-T. Эта проблема часто возникает из-за неправильной настройки IPsec. Убедитесь, что на сервере и клиенте включена поддержка NAT-T, и попробуйте изменить параметры IPsec с помощью Set-VpnConnectionIPsecConfiguration.

Проблемы с разрешением DNS-имён. Если вы не можете открыть сайты по доменным именам, но по IP-адресам они работают, проблема в DNS. Попробуйте вручную указать DNS-серверы в свойствах VPN-подключения или используйте публичные DNS (например, 8.8.8.8).

Выбор неправильного сертификата для IKEv2. Если на компьютере установлено несколько клиентских сертификатов, Windows может выбрать неподходящий. Для принудительного выбора используйте параметр -MachineCertificateIssuerFilter при создании или изменении подключения.

Для быстрой диагностики статуса всех VPN-подключений выполните:

Get-VpnConnection | Select Name, ConnectionStatus

Безопасность VPN: что нужно знать дополнительно

Даже правильно настроенное VPN-подключение не гарантирует полную анонимность. VPN скрывает ваш IP-адрес от посещаемых сайтов, но провайдер VPN видит, к каким ресурсам вы обращаетесь. Поэтому выбирайте провайдера с политикой отсутствия логов (no-logs).

Утечки DNS — распространённая проблема, когда запросы к сайтам отправляются напрямую, минуя VPN. Чтобы проверить, используйте онлайн-сервисы тестирования утечек. В Windows можно принудительно указать DNS-серверы в свойствах VPN-подключения.

Kill Switch (аварийное отключение) — функция, которая блокирует весь интернет-трафик при разрыве VPN-соединения. Встроенный клиент Windows не имеет такой функции, поэтому для её использования нужно приложение провайдера или сторонний клиент (например, OpenVPN).

Шифрование данных в VPN защищает их от перехвата, но не защищает от вредоносного ПО или фишинга. Всегда используйте антивирус и соблюдайте базовые правила безопасности.

Для максимальной защиты комбинируйте VPN с другими инструментами: браузером в режиме инкогнито, блокировщиком рекламы и трекеров, а также двухфакторной аутентификацией для важных сервисов.

Помните, что использование VPN может нарушать условия предоставления услуг некоторых стриминговых платформ или банковских приложений. В таких случаях используйте раздельное туннелирование, чтобы исключить эти сервисы из VPN-трафика.

Вопросы и ответы