Туннель поднят, интернет работает, любой сайт открывается. А приложение банка показывает ошибку сети, Госуслуги висят на загрузке, маркетплейс не пускает в личный кабинет. Выключаешь VPN — всё оживает.

Это не поломка. С середины апреля 2026 крупные российские сервисы ограничивают доступ пользователям с VPN: Минцифры призвало их к этому, и ориентиром называлось 15 апреля. По сообщениям СМИ, ограничения затронули Госуслуги, крупные банки, «Яндекс» и VK, маркетплейсы Wildberries и Ozon, «Вкусвилл», Lamoda и «Авито»; сотовые операторы показывают в своих приложениях предупреждения о работе через VPN. Список подвижен — он менялся с апреля и будет меняться дальше, поэтому опираться стоит не на перечень, а на признаки: они одинаковы для всех таких сервисов.

Разбираться тут надо не с туннелем, а с маршрутами.

Сначала отделить отказ сервиса от поломки туннеля

Симптомы у них похожи, а лечение противоположное, поэтому первый шаг — не настройка, а различение.

Признак отказа сервиса: не работает выборочно. Нейтральные сайты открываются, скорость нормальная, а спотыкается ровно одно приложение или одна группа приложений — банки, госпорталы, торговые площадки.

Признак поломки туннеля: не открывается ничего либо открывается всё, но медленно и с обрывами. Это отдельные истории — туннель подключился, а интернета нет и соединение рвётся.

Проверка занимает десять секунд: не выключая туннель, откройте любой посторонний сайт. Открылся — туннель исправен, дальше читайте про маршруты.

Три разных механизма, которые легко перепутать

Одно и то же «не работает с VPN» бывает вызвано тремя непохожими вещами, и по поведению они различимы.

Ограничение по адресу. Сервис смотрит на IP и отказывает до всякой проверки личности: ошибка сети, бесконечная загрузка, «нет соединения». Логин и пароль ввести не дают вовсе или не принимают. Это то самое, что появилось в апреле.

Антифрод. Сервис пускает, но требует подтверждения: код по SMS, push, вопрос о последней операции. Система видит вход из непривычного места и реагирует, как задумано — подробнее в разборе репутации IP-адреса. Доступ при этом сохраняется, просто дороже.

Деградация. Сервис открывается, но частично: в VK не грузится видео, «Яндекс» показывает сообщение об отсутствии интернета, картинки в приложении не подтягиваются. Обычно это значит, что ограничен не сам сервис, а его сеть доставки содержимого.

Что видно Механизм Что делать
Ошибка сети, вход не проходит ограничение по адресу маршрут мимо туннеля
Просит код или подтверждение антифрод маршрут мимо туннеля или подтвердить
Открылось, но без видео и картинок деградация маршрут мимо туннеля
Не открывается вообще ничего туннель чинить туннель

Обратите внимание: в трёх случаях из четырёх лечение одно и то же.

Почему смена сервера не помогает

Первое, что делают, — переключаются на другую страну. Это почти никогда не срабатывает, и вот почему.

Проверка опирается не на одну страну, а на несколько признаков сразу: принадлежность адреса известным диапазонам дата-центров, согласованность геолокации с обычной картиной входа, поведение соединения. Российский сервис ожидает увидеть домашний адрес российского провайдера. Адрес хостинга — хоть финского, хоть казахстанского — на этом фоне выглядит одинаково нетипично.

То есть перебор серверов меняет страну, но не меняет тип адреса. Это тупиковая ветка, и на неё уходит много времени.

Правильное решение — не пускать эти приложения в туннель

Раз сервису нужен ваш домашний адрес, дайте ему домашний адрес. Для этого есть раздельное туннелирование: часть трафика идёт через туннель, часть — напрямую, без ручного переключения по десять раз в день.

Способ зависит от того, где поднят туннель.

На телефоне — разделение по приложениям. Клиент WireGuard умеет вести список исключений: банк, госпортал и маркетплейс вносятся туда и ходят напрямую, остальное остаётся в туннеле. Самый точный вариант: правило привязано к приложению, а не к адресам, которые у крупных сервисов меняются.

На роутере — по маршрутам. Здесь разделение живёт на уровне сети и действует сразу на все устройства дома. На Keenetic это делается штатно, через выборочную маршрутизацию: нужные устройства или подсети закрепляются за прямым подключением, остальные — за туннелем.

На компьютере — по адресам. Правится AllowedIPs, и это самый грубый из трёх способов: у банков и маркетплейсов диапазоны широкие и меняются, список придётся поддерживать. Почему AllowedIPs — не список разрешений, а таблица маршрутизации, разобрано в статье о раздельном туннелировании.

У разделения есть цена, и о ней стоит знать заранее: трафик, выведенный из туннеля, виден провайдеру как обычно. Для банковского приложения это ровно то, что нужно, — но решение принимаете вы, а не настройка по умолчанию.

Частая ошибка: разделили трафик, а DNS остался в туннеле

Симптом обманчивый — приложение по-прежнему не работает, хотя маршрут выведен наружу правильно.

Причина в том, что имя сервиса продолжает разрешаться через DNS туннеля, и приложение получает адрес ближайшей к серверу точки присутствия. Дальше оно идёт по прямому маршруту, но уже не туда. Проверяется это так же, как утечка DNS, только наоборот: нужно убедиться, что для вынесенных приложений имя разрешает домашний DNS-сервер, а не туннельный.

Проверка вместо догадок

Порядок, который экономит вечер:

  1. Не выключая туннель, откройте посторонний сайт. Не открылся — проблема в туннеле, дальше не читайте.
  2. Откройте проблемное приложение и посмотрите, на чём именно оно спотыкается: не пускает вовсе, просит подтверждение или открывается без части содержимого.
  3. Выключите туннель и повторите. Заработало — подтверждено ограничение на стороне сервиса.
  4. Настройте маршрут мимо туннеля для этого приложения и проверьте снова, не выключая VPN.

Если после четвёртого шага ничего не изменилось — смотрите предыдущий раздел про DNS.

Коротко

Отказ российского сервиса при включённом VPN — это решение сервиса, а не поломка туннеля, и различаются они одной проверкой: открывается ли посторонний сайт. Перебор стран не помогает, потому что проверка смотрит на тип адреса, а не только на страну. Работающее решение — раздельная маршрутизация: банки, госпорталы и маркетплейсы ходят напрямую, остальное остаётся в туннеле. На телефоне это список приложений, на роутере — выборочная маршрутизация, на компьютере — правка AllowedIPs. И если после настройки ничего не изменилось, проверьте, каким DNS разрешаются имена вынесенных приложений.