Почему один VPN работает у МТС, но не работает у МегаФона
Если ваш VPN работает на МТС, но не работает на МегаФоне (или наоборот) — это нормальная картина для России последних лет. ТСПУ — технические средства противодействия угрозам, через которые операторы фильтруют трафик, — стоят у всех, но настроены по-разному. Поэтому один и тот же сервер с одним и тем же протоколом ведёт себя разнонаправленно у разных операторов.
Это не «случайность» и не баг приложения. У операторов отличаются версии оборудования, набор включённых детекторов, маршруты до зарубежных IP, политика QoS на медленных пакетах и реакция на «подозрительные» сессии.
Ниже — почему так получается и что с этим делать пользователю на практике. В конце — как быстро понять, у каких операторов сейчас вообще работает ваш протокол, через Freedom Checker.
Коротко
- ТСПУ у разных операторов — разная настройка детекторов, отсюда разное поведение.
- Маршрут до VPN-сервера у каждого оператора свой: разные IX, разные апстримы.
- Один протокол может быть «прозрачен» у одного оператора и резаться у другого.
- В одном регионе у одного оператора блокировка может быть сильнее, чем в другом.
- Если VPN работает на eSIM МТС и не работает на основной SIM МегаФона — это не телефон.
- Решение: иметь два-три протокола и переключаться, либо сервер с маскировкой (Reality / MTProto).
Почему один VPN работает у одного оператора, а у другого — нет
Короткий ответ: «Роскомнадзор» не нажимает одну большую красную кнопку «выключить VPN у всех». Каждый оператор настраивает свои ТСПУ сам, в рамках общих требований. Разница может быть значительной — особенно для VPN-протоколов, которые формально не запрещены.
ТСПУ — это не одно устройство, а класс
ТСПУ стоят на стыке операторской сети с интернетом. Это набор фильтров: блокировка IP/доменов из реестра, инспекция SNI, поведенческая аналитика, замедление. У МТС, МегаФона, Билайна, Tele2, Ростелекома стоят разные модели, разные версии прошивок, разные политики срабатывания. Какой-то детектор у одного оператора включён в «жёстком» режиме, у другого — в «логирующем».
Разная маршрутизация до зарубежного IP
МТС, МегаФон, Билайн ходят в интернет через разные точки обмена и разных апстримов. До одного и того же VPN-сервера в Амстердаме маршрут идёт через разные транзитные сети. На одном маршруте есть промежуточный фильтр, который режет UDP с определённым паттерном; на другом — нет. Снаружи это выглядит как «WireGuard не работает на МегаФоне, а на МТС летает».
Регион тоже имеет значение
Даже у одного оператора ТСПУ настраивается по регионам неравномерно. В Москве и Петербурге фильтрация почти всегда жёстче, чем в небольших городах. В отдельных регионах включают «учения» — точечно повышают строгость на несколько часов. Поэтому жалобы из Новосибирска и Воронежа могут отличаться, хотя оператор тот же.
Поведение протокола, а не его имя
ТСПУ ловят не «VPN-приложение», а характерный паттерн трафика. UDP с фиксированным размером пакетов хендшейка, повторяющаяся структура TLS-фингерпринта, кучка коротких пакетов в одну сторону. Если протокол маскируется (VLESS Reality, MTProto), он повторяет рисунок реального TLS-сайта, и его сложнее отличить от обычного браузера. Поэтому маскирующиеся протоколы стабильнее работают «у всех».
Тип сети — мобильная или домашняя
На домашнем кабеле один оператор может пропускать всё, а на его же LTE-сети — резать. Это связано с тем, что мобильная сеть ходит через свой набор шлюзов и ТСПУ, отличный от фиксированного. Поэтому фраза «VPN работает у МТС» имеет смысл только в связке с типом сети: «работает на МТС-LTE в Москве».
Как понять, что дело именно в операторе
| Симптом | Возможная причина | Что проверить |
|---|---|---|
| WG поднимается у МТС, не поднимается у МегаФона | Детектор UDP-паттерна на ТСПУ МегаФона | Перейти на TCP-маскирующий протокол (VLESS Reality) |
| Тот же VPN работает дома, не работает на LTE | Разные ТСПУ для FTTH и для мобильной сети | Сменить сервер или протокол на мобильной SIM |
| В Москве не работает, в регионе — работает | Региональная разница в политике ТСПУ | Сверить через Freedom Checker по регионам |
| Подключение есть, трафика нет | «Тихий» throttling до нуля у одного оператора | Сменить порт/сервер, проверить ICMP до VPN-IP |
| Один и тот же сервер: МТС — 200 мс, Билайн — 1500 мс | Замедление трафика по политике оператора | Сменить регион сервера или маскирующий протокол |
| Утром работает, вечером — нет | Перегрузка маршрута или временное правило | Подождать, проверить альтернативный сервер |
Как проверить прямо сейчас
Самое полезное действие — посмотреть, у каких операторов сейчас вообще работает ваш протокол и ваш набор серверов. Freedom Checker запускает проверки одновременно с разных нод и операторов и показывает, у кого зелёная плашка, а у кого красная.
Если VPN у вас не работает у МегаФона, но в карте видно зелено у МТС и Tele2 — это конкретно ТСПУ МегаФона в вашем регионе. Если красно у всех операторов — у вас «универсальная» проблема: либо сервер, либо протокол попал под общий детектор.
Сбой или блокировка?
Сбой выглядит так: один оператор «упал» на час-два, потом сам поднялся; статистика по другим операторам в этот момент стабильна. Часто совпадает с авариями на магистрали или с ребутом ТСПУ.
Системная блокировка — это когда у одного оператора результат «не работает» держится днями и не лечится сменой сервера в той же стране. При этом у других операторов тот же сервер живёт. Это уже стационарная настройка ТСПУ, и помогает только смена протокола (например, на маскирующий) или смена оператора для проверки.
На что обратить внимание
- Держите два-три рабочих протокола, не привязывайтесь к одному.
- Маскирующие протоколы (VLESS Reality, MTProto) меньше зависят от оператора.
- Различайте мобильный интернет и домашний кабель — это разные «миры» для ТСПУ.
- Регион важен: то, что работает в Воронеже, может не работать в Москве.
- Сравнивайте поведение у двух операторов одновременно, прежде чем чинить телефон.
- Если симптом стабильно повторяется неделями — это политика, а не глюк.
- Используйте Freedom Checker, чтобы видеть актуальную карту по операторам.
Вывод
Разница «работает у одного, не работает у другого» — это нормальная особенность того, как устроена фильтрация трафика у российских операторов. Не пытайтесь её победить настройками телефона: она снаружи.
Прежде чем менять сервер, протокол или клиент, посмотрите, у каких операторов прямо сейчас работает то, что вам нужно. Это сэкономит часы.