Мультихоп VPN: максимальная анонимность

В 2022 году исследователи из Принстонского университета продемонстрировали атаку корреляции трафика на обычный VPN: сопоставив время и объём пакетов на входе и выходе VPN-сервера, они с 95% точностью идентифицировали пользователей. Атака требовала доступа только к двум точкам — провайдеру и VPN-серверу. Мультихоп VPN увеличивает количество точек, необходимых для корреляции, до трёх, четырёх или более. Каждый дополнительный хоп — это дополнительный слой шифрования, дополнительная юрисдикция и дополнительная точка, которую злоумышленник должен контролировать. Это не абсолютная защита, но значительное усложнение для любого, кто пытается отследить ваш трафик.

Что такое мультихоп VPN

Определение

Мультихоп VPN (Multi-Hop VPN, Double VPN, Cascading VPN) — конфигурация, при которой трафик проходит через два или более VPN-серверов перед выходом в интернет. Каждый сервер добавляет слой шифрования и скрывает IP предыдущего сервера.

Обычный VPN (1 хоп)

Устройство → [шифр. 1] → Сервер A → Интернет

• Провайдер видит: подключение к серверу A
• Сервер A видит: ваш реальный IP и посещённые сайты
• Сайт видит: IP сервера A

Мультихоп VPN (2 хопа)

Устройство → [шифр. 1] → Сервер A → [шифр. 2] → Сервер B → Интернет

• Провайдер видит: подключение к серверу A (не видит сервер B)
• Сервер A видит: ваш реальный IP и IP сервера B (не видит посещённые сайты)
• Сервер B видит: IP сервера A и посещённые сайты (не видит ваш реальный IP)
• Сайт видит: IP сервера B

Мультихоп VPN (3 хопа)

Устройство → [шифр. 1] → Сервер A → [шифр. 2] → Сервер B → [шифр. 3] → Сервер C → Интернет

• Провайдер видит: только подключение к серверу A
• Сервер A видит: ваш IP и IP сервера B
• Сервер B видит: IP сервера A и IP сервера C
• Сервер C видит: IP сервера B и посещённые сайты
• Сайт видит: IP сервера C

Ни один отдельный сервер не знает одновременно ваш реальный IP и посещённые сайты — это обеспечивает [анонимность](/blog/bezopasnost/vpn-anonimnost/).

Как работает мультихоп

Инкапсуляция

Каждый хоп добавляет слой шифрования:

1. Данные шифруются ключом сервера C
2. Зашифрованный пакет шифруется ключом сервера B
3. Двойной зашифрованный пакет шифруется ключом сервера A
4. Тройной зашифрованный пакет отправляется от устройства

Сервер A удаляет первый слой, сервер B — второй, сервер C — третий. Каждый сервер видит только свой слой шифрования.

Два типа реализации

Серверный каскад (Server-side cascade)

VPN-провайдер управляет цепочкой серверов. Клиент подключается к первому серверу, остальная цепочка — на стороне провайдера.

Преимущества: - Простая настройка для пользователя (одно подключение) - Провайдер оптимизирует маршрутизацию - Автоматический выбор серверов

Недостатки: - Все серверы принадлежат одному провайдеру — единая точка доверия - Провайдер технически может видеть весь трафик, если захочет

Клиентский каскад (Client-side cascade)

Пользователь самостоятельно настраивает цепочку из разных VPN-провайдеров.

Преимущества: - Разные провайдеры = разные юрисдикции = нет единой точки доверия - Даже если один провайдер скомпрометирован, второй — нет

Недостатки: - Сложная настройка - Требует нескольких VPN-подписок - Может не работать стабильно

Типы мультихоп конфигураций

Статический мультихоп

Провайдер предлагает предопределённые цепочки серверов:

• NordVPN Double VPN: Нидерланды → Швеция, Канада → США
• Proton VPN Secure Core: Исландия/Швейцария → выбранная страна

Пользователь выбирает из списка. Просто, но ограничено.

Динамический мультихоп

Пользователь сам выбирает серверы для цепочки:

• Surfshark Dynamic MultiHop: любые два сервера
• Ручная настройка: WireGuard-цепочка через несколько VPS

Гибко, но сложнее.

Onion over VPN

Комбинация VPN и Tor:

Устройство → VPN-сервер → Tor (3 узла) → Интернет

VPN + 3 хопа Tor = 4 хопа. Максимальная анонимность, минимальная скорость.

VPN через VPN

Ручная настройка: VPN-клиент работает внутри VPN-соединения:

Устройство → VPN 1 → (внутри VPN 1) VPN 2 → Интернет

Два разных провайдера. Сложно настроить, но обеспечивает юрисдикционную изоляцию.

Безопасность мультихоп VPN

Защита от корреляции трафика

Обычный VPN: злоумышленник контролирует 2 точки (провайдер + VPN-сервер) → корреляция возможна.

Мультихоп (2 хопа): злоумышленник должен контролировать 3 точки (провайдер + оба сервера) → сложнее.

Мультихоп (3 хопа): 4 точки → ещё сложнее.

Каждый дополнительный хоп увеличивает стоимость атаки.

Юрисдикционная изоляция

Серверы в разных юрисдикциях: - Сервер A: Панама - Сервер B: Швейцария - Сервер C: Исландия

Спецслужба одной страны не может получить данные от серверов в других юрисдикциях без международного сотрудничества.

Защита от скомпрометированного сервера

Если сервер A скомпрометирован: - Злоумышленник знает ваш реальный IP - Не знает, какие сайты вы посещаете (данные зашифрованы вторым слоем) - Не знает IP сервера C (только IP сервера B)

Если сервер B скомпрометирован: - Злоумышленник знает IP сервера A и IP сервера C - Не знает ваш реальный IP - Не знает посещённые сайты

Если сервер C скомпрометирован: - Злоумышленник знает IP сервера B и посещённые сайты - Не знает ваш реальный IP

Недостатки мультихоп VPN

Скорость

Каждый хоп добавляет: - Задержку шифрования/дешифрования - Физическое расстояние (каждый сервер в другой стране) - Overhead инкапсуляции

Сложность

• Больше точек отказа — каждый сервер может упасть
• Сложнее отладка — проблема может быть на любом хопе
• Сложнее настройка — особенно при клиентском каскаде

Не нужен для большинства задач

Для 95% пользователей одинарный VPN с no-log политикой и Kill Switch достаточно. Мультихоп нужен только для: - Журналистов в авторитарных странах - Активистов и правозащитников - Whistleblowers - Критически важных анонимных коммуникаций

Провайдеры с мультихоп

NordVPN (Double VPN)

• Предопределённые пары серверов
• 15+ комбинаций
• Включено в стандартную подписку

Surfshark (Dynamic MultiHop)

• Выбор любых двух серверов
• Можно создать свои комбинации
• Включено в подписку

Proton VPN (Secure Core)

• Трафик проходит через Исландию, Швейцарию или Швецию
• Затем через сервер в выбранной стране
• Защита от скомпрометированных серверов

IVPN (Multi-hop)

• До 3 хопов
• Выбор серверов вручную

Mullvad (Multi-hop)

• Ручная настройка через WireGuard
• Разные провайдеры в цепочке

Настройка мультихоп вручную

WireGuard-цепочка (3 сервера)

# Сервер 1 (клиент для сервера 2)
[Interface]
PrivateKey = <key1>
Address = 10.0.1.2/24

[Peer]
PublicKey = <server2-pubkey>
Endpoint = server2.example.com:51820
AllowedIPs = 10.0.2.0/24

# Сервер 2 (транзитный)
# Настроен как relay между серверами 1 и 3

# Сервер 3 (выходной)
# Направляет трафик в интернет

OpenVPN-цепочка

1. Подключитесь к VPN 1 (OpenVPN)
2. Внутри VPN 1 подключитесь к VPN 2 (OpenVPN)
3. Весь трафик идёт: вы → VPN 1 → VPN 2 → интернет

Требует двух экземпляров OpenVPN с разными конфигурациями.

Рекомендации по использованию

Когда использовать мультихоп

1. Журналистская работа в авторитарных странах
2. Передача чувствительных данных (whistleblowing)
3. Обход sophisticated surveillance (государственная слежка)
4. Юрисдикционная изоляция (данные в нескольких юрисдикциях)

Когда НЕ использовать мультихоп

1. Стриминг — скорость критически снижена
2. Игры — пинг неприемлем
3. Обычный веб-сёрфинг — избыточно
4. Загрузки — скорость в 2–3 раза ниже

Компромисс

Для большинства пользователей оптимальная конфигурация: - Обычный VPN + Kill Switch + no-log — для повседневного использования - Double VPN — для чувствительных задач - Onion over VPN — для критически важной анонимности

Наш VPN поддерживает MultiHop с гибкой настройкой цепочки серверов — от двух до четырёх хопов в разных юрисдикциях для тех, кому нужна максимальная анонимность.