Второй туннель на телефоне: конфликт VPN и как это решить

MAATRIX

На телефоне уже стоит рабочий VPN — от работодателя, для доступа к корпоративной сети или почте. Вы включаете второй, личный, чтобы достучаться до нейросети или другого сервиса, и либо ничего не происходит, либо рабочий туннель отваливается. Это не баг конкретного приложения, а особенность того, как iOS и Android устроены на уровне системы. Разберём, почему так, и как получить два независимых канала без взаимного удушения.

Почему второй VPN ломает первый

И iOS, и Android с самого начала спроектированы так, что активным может быть только одно VPN-соединение на пользователя. Когда приложение поднимает туннель, оно занимает единственный системный слот для перехвата трафика — на Android это VpnService, на iOS — NetworkExtension (конкретно NETunnelProvider). Второе приложение, пытающееся сделать то же самое, физически не может встать рядом: система либо отклоняет запрос, либо — что чаще — сначала гасит первый туннель и только потом поднимает второй.

Это не ограничение конкретного приложения, а особенность сетевого стека самой ОС: весь трафик устройства должен проходить через один путь маршрутизации, и включить два VPN одновременно платформа не позволяет в принципе — независимо от того, WireGuard это, OpenVPN или проприетарный протокол.

Отсюда и симптомы, которые видит пользователь: тихое отключение первого туннеля без предупреждения, диалоговое окно "Отключить текущий VPN?" перед включением второго, либо второй VPN включается, но интернета в итоге нет вообще — оба клиента конкурируют за один и тот же интерфейс и портят друг другу маршруты.

Как это выглядит на Android

На Android при попытке включить второй VPN-профиль система обычно показывает системный диалог с прямым текстом — что-то в духе "Отключить текущее VPN-подключение?". Соглашаетесь — теряете первый туннель, отказываетесь — второй не поднимется. Если у вас включён режим "Всегда включён VPN" (Always-on VPN) с блокировкой соединений без VPN для одного из профилей, картина усложняется: система будет агрессивно держать именно его активным и рвать попытки поднять что-то ещё поверх.

Есть законное исключение — рабочий профиль (Work Profile) в корпоративном Android. Если телефон настроен через Android Enterprise и на нём есть отдельный рабочий профиль, у него собственный сетевой стек, изолированный от личного. В этом случае рабочий VPN в рабочем профиле и личный VPN в личном профиле действительно могут работать одновременно — это штатная возможность платформы, а не хак, доступная там, где разделение уже настроено IT-отделом.

Если же оба VPN — в одном профиле (обычная ситуация для личного телефона с рабочим доступом через обычное приложение, а не через MDM-профиль), сработает правило "один активный туннель", описанное выше. Отдельный пример именно для доступа к нейросети с Android разобран в статье Claude на Android через VPN-сервер.

Как это выглядит на iOS

На iPhone ограничение ещё жёстче с точки зрения UI: в разделе "Настройки → VPN и управление устройством" одновременно можно видеть переключатель только для одного активного соединения. Включение второго профиля автоматически гасит первый — без явного предупреждающего диалога, как на Android, это происходит тише.

У Apple есть встроенный аналог разделения — Per App VPN, но он доступен только на управляемых (supervised) устройствах через MDM-профиль, то есть практически исключительно на корпоративных айфонах, настроенных IT-отделом. На личном телефоне без MDM такой функции нет — обычному пользователю она недоступна ни в одном приложении из App Store.

Отдельно стоит iCloud Private Relay — это не полноценный VPN, а функция приватности Apple для Safari и части системного трафика, и при включении стороннего VPN она автоматически деактивируется на время его работы. Не рассчитывайте, что Private Relay даст вам "второй канал" параллельно с обычным VPN — так это не работает. Практический пример настройки доступа к нейросети на iPhone без второго системного VPN — в статье как настроить ChatGPT на iPhone через свой сервер.

Решение 1: один приоритетный туннель со split tunneling

Раз одновременно может быть активен только один VPN, логичный выход — не пытаться держать два, а сделать так, чтобы один туннель обслуживал сразу обе задачи через раздельную маршрутизацию (split tunneling). Идея простая: весь трафик, которому нужна работа компании, идёт через корпоративные маршруты (или конкретные IP-подсети/домены компании), а всё остальное, включая нейросеть или другой сервис, из того же VPN-клиента направляется своим путём — либо напрямую в интернет, либо через ваш собственный туннель, если приоритетным сделан именно он.

На практике это означает выбор, какой из двух туннелей "главный", и настройку его клиента на исключения:

• Если вы управляете конфигом (например, поднимаете собственный WireGuard на VPS), split tunneling настраивается на стороне клиента через AllowedIPs — вместо 0.0.0.0/0 (весь трафик) указываете конкретные подсети или, в клиентах с поддержкой правил по приложениям (AmneziaVPN и аналоги), выбираете конкретные приложения, которым нужен туннель.
• Многие коммерческие VPN-клиенты на Android и iOS имеют встроенный "split tunneling" или "app exceptions" в настройках — список приложений, которые обходят VPN стороной. Если корпоративный клиент такое позволяет, можно исключить из него приложение для доступа к нейросети — тогда оно пойдёт напрямую или через системный прокси, а не будет конфликтовать с рабочим туннелем.
• Если корпоративный VPN настраивает и контролирует IT-отдел и вы не можете менять его конфиг — split tunneling придётся делать на стороне вашего личного решения: например, поднять собственный туннель или прокси только для нужного трафика и оставить рабочий VPN нетронутым и приоритетным.

Оговорка: split tunneling по приложениям штатно работает на Android — платформа даёт VpnService.Builder.addAllowedApplication()/addDisallowedApplication(). На iOS выбор конкретных приложений для сторонних VPN-клиентов Apple не даёт — раздельная маршрутизация там чаще делается по доменам/IP внутри одного туннеля, а не по списку приложений.

Решение 2: прокси вместо VPN для одной задачи

Если вам нужен доступ только к одному сервису — скажем, к веб-интерфейсу или API нейросети — необязательно поднимать второй полноценный VPN, который неизбежно столкнётся с первым за системный слот туннелирования. Прокси (HTTP или SOCKS5) работает иначе: он не претендует на системный VpnService/NetworkExtension целиком, а настраивается точечно — либо на уровне отдельного приложения, либо на уровне Wi-Fi-подключения.

Варианты:

• Прокси внутри самого приложения. Часть клиентов (например, Telegram) имеет встроенные настройки SOCKS5-прокси в самом приложении — трафик именно этого приложения идёт через прокси, а системный VPN его не касается и не конфликтует с ним.
• Прокси-клиенты уровня приложения (Shadowrocket, Quantumult X и аналоги на iOS; аналогичные решения на Android) — заворачивают трафик выборочно, по правилам для конкретных доменов или приложений, не занимая единственный слот VPN. Это ближе к прокси-режиму, чем к полноценному VPN-туннелю, хотя технически некоторые из них тоже используют NetworkExtension — тут стоит проверять конкретное приложение, не все ведут себя одинаково.
• HTTP-прокси в настройках Wi-Fi. На обоих системах в настройках конкретной Wi-Fi-сети можно прописать HTTP-прокси (адрес и порт вашего сервера). Он подхватывается системными и большинством сторонних приложений при работе именно через этот Wi-Fi, не мешает работающему VPN и снимается вместе со сменой сети. Минусы: работает только для Wi-Fi (не для мобильных данных без дополнительных настроек профиля), и не все приложения уважают системный HTTP-прокси одинаково честно.

Для доступа именно к нейросетям это часто самый практичный путь: не разворачивать второй туннель, который тут же снесёт рабочий VPN, а поднять лёгкий прокси на собственном сервере и указать его либо в настройках Wi-Fi, либо в конкретном прокси-клиенте — только для нужного трафика. Настройка 3proxy или SOCKS5 на VPS занимает пару команд и не требует поднятия полноценного VPN-сервера — подробный разбор вариантов сервера под такую задачу есть в статье VPS в России для доступа к нейросетям и AI.

Практический выбор: что настроить в вашей ситуации

Прежде чем что-то менять, стоит понять расклад:

Общий принцип: чем точнее задача (один сервис, один домен), тем больше смысла в лёгком прокси вместо второго VPN. Чем шире требования (весь трафик определённых приложений), тем полезнее split tunneling в клиенте, который это поддерживает. А полноценный второй VPN параллельно первому — единственный вариант, который системно не работает ни на iOS, ни на Android, и пытаться его форсировать бессмысленно.

Как проверить, какой туннель реально активен

После любой перенастройки стоит убедиться, что трафик идёт туда, куда вы рассчитывали, а не как система решила по умолчанию.

На Android: в "Настройки → Сеть и интернет → VPN" список профилей покажет, какой сейчас активен (обычно отмечен как "Подключено"). Второй в этом списке при активности первого будет в состоянии "Отключено", даже если вы недавно его включали.

На iOS: "Настройки → Основные → VPN и управление устройством" — там же виден активный профиль. Если стоит и рабочий MDM-профиль, и личный VPN, оба будут перечислены отдельно, но фактически активным окажется только один, если они не разделены через управляемый Per App VPN.

Универсальная проверка — узнать реальный внешний IP устройства и сравнить с ожидаемым:

curl -s https://api.ipify.org; echo

Если вернулся IP вашего личного VPN-сервера — работает он. Если IP корпоративной сети — активен рабочий туннель, а второй фактически простаивает независимо от того, что показывает переключатель в интерфейсе приложения. Подробнее о проверке IP и страны после туннеля — в отдельной статье: как проверить IP и страну после туннеля.

Частые вопросы