Российские сервисы не работают с включённым VPN — что делать

Российские сервисы — банки, Ozon, Wildberries, Госуслуги, Яндекс — часто не работают при включённом VPN, потому что блокируют доступ с иностранных IP-адресов. Это не поломка сервиса и не блокировка вас: просто через VPN вы выглядите как иностранный посетитель. Решение — не выключать VPN совсем, а настроить его так, чтобы российские сервисы шли напрямую, а зарубежные — через VPN.

Почему сайт не работает с VPN?

Потому что через VPN сайт видит иностранный IP и отклоняет доступ — российские сервисы определяют страну именно по IP-адресу. Когда включён VPN, трафик выходит в интернет через зарубежный сервер, и его IP — иностранный. Банки и госсервисы такие подключения часто отклоняют (антифрод, требования безопасности), маркетплейсы — могут показывать ошибки, неверные цены или не грузиться. Отсюда «сайт не работает с VPN».

По каким признакам сервис определяет страну?

Страну считывают минимум по четырём независимым признакам, а VPN подменяет только один из них — IP-адрес. Остальные три остаются российскими: адрес DNS-резолвера, локальные настройки устройства (часовой пояс, язык, регион учётной записи) и платёжный профиль — БИН карты, номер телефона, история операций. Отсюда типичная картина: сервис одновременно видит немецкий IP, московский часовой пояс и российскую карту — и считает такое сочетание нетипичным.

Что такое GeoIP-база и почему она ошибается?

GeoIP — это база соответствий «диапазон адресов → страна и город», и точность у неё резко разная по уровням. MaxMind, один из основных поставщиков таких данных, заявляет 99,8% точности на уровне страны, около 80% на уровне региона и 66% на уровне города (попадание в радиус 50 км) для адресов США. Из этого следует практический вывод: на «случайную ошибку в определении страны» рассчитывать не стоит — на уровне страны база почти не промахивается, промахи живут этажом ниже.

Сама MaxMind оговаривает и природу промахов: если используется анонимизирующий прокси или VPN, геолоцируется сервер, а не конечный пользователь; адреса корпоративных сетей и мобильных операторов размазаны по большой территории, потому что один диапазон обслуживает абонентов на сотнях километров. Добавьте к этому запаздывание: диапазоны переходят от одного оператора к другому, а базы у разных сервисов обновляются в разном ритме. Поэтому два сайта, глядя на один и тот же адрес, могут назвать разные города — и это нормальное поведение, а не сбой канала.

Почему сервис видит один IP, а DNS — другой?

Потому что имя домена и само соединение идут разными путями: имя спрашивает резолвер, а соединение открывает ваше устройство. К авторитетному серверу приходит адрес резолвера, а не ваш, и стандарт EDNS Client Subnet (RFC 7871) существует именно для того, чтобы резолвер добавлял подсеть клиента и авторитетный сервер мог вернуть географически подходящий ответ. В RFC прямо сказано: обычно запрос приходит от промежуточного рекурсивного резолвера, и адрес источника — его, а не отправителя запроса.

Отсюда два зеркальных перекоса. Если DNS уходит мимо туннеля, к резолверу вашего провайдера, сеть доставки контента подберёт российский узел — а соединение к нему придёт с иностранного адреса. Если, наоборот, туннель забирает DNS, российский сервис получит запрос от чужого резолвера. Внешне это выглядит не как отказ, а как странности: долгая загрузка, пустые разделы, «не тот» язык интерфейса. Проверять здесь надо не «работает ли интернет», а совпадают ли маршруты имени и соединения: имя должно резолвиться тем же путём, каким уйдёт трафик.

Почему банк реагирует на вход из другой страны?

Потому что место операции и устройство прямо названы среди признаков перевода без добровольного согласия клиента. Приказ Банка России от 05.11.2025 № ОД-2506, действующий с 1 января 2026 года, относит к таким признакам «несоответствие характера, и (или) параметров, и (или) объема проводимой операции» обычным для клиента — и в скобках перечисляет время (дни) операции, место её осуществления, устройство и параметры его использования, сумму, периодичность и получателя средств.

Смена страны выхода в интернет меняет сразу два параметра из этого перечня — место и характеристики устройства. Поэтому антифрод реагирует не на VPN как технологию, а на нетипичное для вас сочетание параметров; ровно так же он реагирует на вход с нового телефона или на перевод в непривычное время. Штатное следствие — не отказ в обслуживании, а дополнительная проверка операции. Разбор по конкретным банковским приложениям — на странице банки и VPN.

Как совместить VPN и российские сервисы?

Настройте раздельное туннелирование (split-tunnel): российские сервисы идут напрямую, а зарубежные — через VPN. Есть три способа пользоваться всем одновременно:

1. Split-tunnel по приложениям. В VPN-клиенте укажите, какие приложения идут через VPN, а какие — напрямую. Банк и Ozon — напрямую, браузер с зарубежными сервисами — через VPN.
2. Исключения по сайтам/доменам. Часть клиентов позволяет не пускать через VPN конкретные домены (например, все российские).
3. Маршруты на своём сервере. На собственном VPS разделение задаётся явно: в конфигурации клиента WireGuard параметр AllowedIPs перечисляет подсети, которые уходят в туннель, а российские адреса в этот список просто не попадают — см. настройку WireGuard. Способ самый гибкий и не зависит от того, что умеет интерфейс конкретной программы.

Подборок, рейтингов и рекламы VPN-сервисов на этом сайте нет и не будет: мы разбираем механику и протоколы, а сравнение чужих тарифов в российском правовом поле — отдельный риск, не связанный с техникой.

Как устроено раздельное туннелирование на разных платформах?

По-разному: Android делит трафик по приложениям штатным механизмом ОС, WireGuard делит его по диапазонам адресов, а на iOS деление по приложениям выдаётся только через управление устройством (MDM). Это принципиальная разница — «исключить банк» и «исключить подсеть» решаются в разных местах.

В WireGuard список AllowedIPs работает сразу в две стороны: при отправке он ведёт себя как таблица маршрутизации, при приёме — как список контроля доступа для расшифрованных пакетов. Поэтому «оставить российские сервисы вне туннеля» на десктопе и роутере — это вычитание нужных диапазонов из AllowedIPs, а не отдельная галочка; порядок действий разобран в настройке WireGuard. Сравнение площадок для собственного узла — в обзоре VPS.

Чего раздельное туннелирование не чинит?

Двух признаков из четырёх: настроек устройства и платёжного профиля. Раздельное туннелирование живёт на сетевом слое и решает ровно одну задачу — какие пакеты уйдут в туннель. Всё, что сервис узнаёт не из пакета, остаётся прежним:

1. Часовой пояс и язык системы. Браузер отдаёт смещение UTC и локаль скриптам страницы независимо от того, каким маршрутом ушёл запрос.
2. Регион учётной записи в магазине приложений. Он задан при регистрации и от маршрута не зависит вообще.
3. Платёжный профиль. БИН карты и номер телефона привязаны к аккаунту, а не к соединению.

Отсюда два следствия. Зарубежный сервис может по-прежнему относить вас к российской аудитории даже при иностранном адресе — механика геоограничений у каждого сервиса своя, и разбор по конкретным площадкам собран в разделе зарубежные AI-сервисы. А российский сервис, который увидел иностранный адрес лишь у части соединений, ведёт себя непредсказуемее, чем при полностью включённом канале: исключать из туннеля надёжнее приложение целиком, а не один домен. Что такое туннель и из чего он состоит — в разборе что такое VPN.

Выберите свой сервис

Дальше механика та же, но набор признаков у каждого сервиса свой: банк смотрит на устройство и место операции, маркетплейс — на регион доставки и цены, мессенджер — на маршрут медиатрафика. Разборы по площадкам:

Частые вопросы