Прокси или VPN: различия, которые имеют решающее значение

Практически каждая статья на эту тему отвечает не на тот вопрос. На вопрос «Что безопаснее?» нет ответа, пока вы не уточните, от кого вы скрываетесь — и как только вы это скажете, эти два инструмента перестают конкурировать друг с другом и начинают выполнять разные задачи. VPN перемещает всё ваше устройство в один зашифрованный туннель с одним идентификатором выхода. Прокси подключается одним приложением на время одного сеанса, а остальная часть устройства остаётся именно там, где и была.

VPN-туннель и прокси-ретранслятор — это не одно и то же устройство

Начнём с «основы», потому что всё остальное на этой странице вытекает именно из этого. VPN-клиент создаёт несколько вещей: виртуальный сетевой интерфейс и переписанную таблицу маршрутизации, в которой маршрут по умолчанию указывает на него. С этого момента каждый пакет от любого процесса — вашего браузера, программы обновления операционной системы, почтового клиента, запросов на поиск имен — инкапсулируется и отправляется на единый конечный узел. WireGuard делает это по протоколу UDP, используя ChaCha20 для шифрования и Poly1305 для аутентификации; OpenVPN обычно прослушивает порт 1194; IKEv2 через IPsec использует UDP 500 с UDP 4500 для обхода NAT. Приложение об этом не знает и не должно знать.

Прокси ничего не создаёт. Это сервер, к которому ваше приложение решает подключиться, либо используя протокол SOCKS5 (описанный в RFC 1928, обычно по TCP 1080), либо запрашивая у HTTP-прокси туннель CONNECT к месту назначения. Здесь нет ни интерфейса, ни маршрута, ни состояния устройства. Вот и всё различие в одном предложении: VPN — это то, что операционная система делает с каждым процессом, а прокси — это то, что один процесс делает самостоятельно.

Последствия проявляются сразу, и именно в этом новички чаще всего допускают ошибку. Приложение на том же компьютере, которое вы не настраивали, выходит в сеть через необработанное соединение с вашим реальным адресом, в то время как настроенное приложение выходит через ретранслятор. Это не утечка и не ошибка в настройке — это особенность конструкции. Если вы хотите обеспечить защиту всего устройства, вам нужен туннель. Выбор протокола между SOCKS5 и HTTP — это отдельный вопрос, рассмотренный в Прокси-серверы HTTP и SOCKS5, и если термин «forward proxy» по-прежнему вызывает много непонятных вопросов, начните с Что такое прокси-сервер?.

curl --proxy socks5h://job-a:secret@proxy.example.net:10001 https://api.example.com/whoami
curl --proxy socks5h://job-b:secret@proxy.example.net:10002 https://api.example.com/whoami

curl https://api.example.com/whoami

На этой странице намеренно рассматриваются только операционная система и сокет. То, что происходит после ретрансляции — как запрос проходит через модем, оператора связи и CGNAT, прежде чем достигнет конечного пункта назначения, — подробно описывается шаг за шагом в как работают мобильные прокси, и здесь не приводится повторно.

Шесть механических различий и аргументы в пользу каждого из них

Каждая строка ниже представляет собой краткое изложение раздела, расположенного ниже на этой странице. Эти строки намеренно носят скорее технический, чем коммерческий характер: ни одна из них не содержит утверждений о том, какой продукт лучше, а лишь описывает, на что способна каждая машина, а на что — нет.

Что на самом деле скрывает каждый и от кого

На практически каждой странице конкурентов вы увидите утверждение, что VPN шифрует ваш трафик, а прокси — нет. В 2010 году это было верным утверждением. Сегодня же оно вводит в заблуждение, поскольку приложения, как правило, используют собственное шифрование. Когда ваш браузер использует протокол HTTPS через туннель HTTP CONNECT, прокси открывает TCP-соединение с конечным адресом, а затем просто пересылает байты в обоих направлениях до тех пор, пока туннель не закроется. Сессия TLS проходит от конечного пользователя до конечного сайта; прокси передает зашифрованный текст, который он не может прочитать, и не смог бы его расшифровать, даже если бы захотел.

Поэтому давайте рассмотрим участников процесса по порядку. Запросом занимаются пять сторон: сеть, к которой вы физически подключены, ваш провайдер доступа, тот, кто осуществляет преобразование ваших имен, оператор туннеля или ретранслятора, а также сервер назначения. Каждый инструмент изменяет то, что может прочитать отдельное подмножество этих сторон, и ни один из инструментов не изменяет все пять.

Честный вывод из этой таблицы: реальное преимущество VPN заключается в первом прыжке и во всём том, что происходит на устройстве и что TLS никогда не охватывает. Реальное преимущество прокси — на противоположном конце: конечный сервер видит адрес, который вы выбрали для этой задачи, и ничего не узнаёт об остальной части вашего устройства. Они не соревнуются за одну и ту же ячейку.

Распознавание имен — это тот аспект, который стоит проверить, а не принимать на веру, поскольку он зависит от вашего клиента, а не от маркетинга. Если вы хотите узнать, какие именно утечки присутствуют в вашей конфигурации, протестируйте её на проверка прокси вместо того, чтобы полагаться на схему — в том числе и на эту.

Кто ведёт учет: регистрация, учетные данные и юрисдикция

Используя любой из этих инструментов, вы просто перенесли свое доверие, а не лишились его. Трафик, который раньше видел ваш провайдер, теперь видит кто-то другой, и единственные вопросы, которые стоит задать, — это то, какую информацию хранит этот кто-то, какая часть вашей жизни собрана в одной записи и правовые процедуры какой страны распространяются на эти данные.

Форматы данных различаются в большей степени, чем политики. Учетная запись потребительского VPN представляет собой идентификацию одного абонента: один логин, одна история платежей, один набор записей о подключениях, охватывающий каждый пакет, отправленный устройством во время работы туннеля. Существуют ли эти записи — это утверждение политики, которое невозможно проверить извне; при этом наиболее весомым подтверждением такого утверждения является независимый аудит — реальная процедура, которую проводят некоторые операторы, а многие лишь намекают на её наличие. У PXM2 такого аудита нет, и компания не претендует на его наличие.

Прокси проходит аутентификацию по порту или по сеансу. Отдельные учетные данные, отдельные порты, отдельные задания — а это значит, что записи оператора уже разбиты на сегменты в соответствии с вашей рабочей организацией. Это не обещание относительно хранения данных, а структурная особенность: запись, которая никогда не была объединена, нельзя разъединить позже, независимо от того, вызвано ли это взломом, юридическим запросом или чрезмерно широким экспортом данных. Именно эта сегментация является причиной, по которой учетные данные для каждого сеанса стоят дополнительных настроек, даже если с технической точки зрения можно было бы обойтись одним общим логином.

Юрисдикция — это последний аспект, и он одинаково применим к обоим инструментам: страна регистрации оператора определяет, какие судебные процедуры могут быть принудительно применены к нему, и никакие настройки с вашей стороны этого не изменят. Относитесь к провайдеру, который отказывается раскрывать место своей регистрации, так же, как к тому, который не сообщает, какие данные он сохраняет.

«Один» или «многие»: случай, который VPN по своей структуре не может обслужить

Это различие не связано с особенностями продукта и не может быть устранено с помощью более качественного VPN. Туннель заканчивается на одном виртуальном интерфейсе, а у операционной системы есть только один маршрут по умолчанию. Поэтому одно устройство может иметь ровно одну идентичность выхода одновременно. Одновременное использование второй идентичности означает наличие второго устройства, второй виртуальной машины со своим собственным туннелем или второй подписки — стоимость параллельного использования линейно зависит от количества машин, поскольку ограничение заложено в таблице маршрутизации, а не в прейскуранте.

Прокси выбирается для каждого сокета, поэтому принцип работы здесь иной. Десять профилей браузера, десять рабочих процессов скрейпера или десять контейнеров автоматизации могут одновременно использовать свой собственный выходной сервер на одном хосте, при этом собственный трафик хоста остается совершенно незатронутым. Добавление одиннадцатого — это всего лишь один дополнительный порт и одна дополнительная пара учетных данных, а не ещё одна машина. Именно в этом заключается вся суть того, почему работа с несколькими учетными записями и в нескольких регионах осуществляется с помощью прокси, а не через VPN.

Какой именно прокси-сервер передаёт идентификационные данные — это отдельный вопрос, и ключевым аспектом здесь является происхождение: откуда берётся выходной адрес и, следовательно, какие выводы делает адресат, увидев его. Этот аспект подробно обсуждается на Центр типов прокси, причем более короткий тур проходит в Объяснение типов прокси-серверов. Однако здесь стоит упомянуть один факт, связанный с происхождением, поскольку он объясняет то, что читатели замечают сами: коммерческие поставщики услуг по обнаружению используют списки хостинг-сетей и известных диапазонов VPN-адресов, в которых в подавляющем большинстве случаев и находятся выходные узлы потребительских VPN. По адресу назначения часто можно определить, что речь идет о выходном узле VPN, даже не зная о вас ничего.

Скорость и стоимость: сколько на самом деле вы платите за каждую модель

Сначала развеем распространенное заблуждение. Шифрование — это не та часть, которая замедляет работу. Алгоритм ChaCha20-Poly1305, лежащий в основе WireGuard, работает со скоростью линия связи на любом процессоре, выпущенном в этом десятилетии, включая смартфоны — на домашнем подключении вы этого даже не заметите. Измеримые затраты лежат совсем в другой области, и их ровно два.

[Interface]
Address = 10.7.0.2/32
MTU = 1420

[Peer]
Endpoint = vpn.example.net:51820
AllowedIPs = 0.0.0.0/0, ::/0

С стоимостью дело обстоит точно так же — сравнивайте модели, а не ценники. Стоимость VPN рассчитывается за устройство или за рабочее место, поскольку именно это и является единицей защиты. Стоимость прокси рассчитывается за одновременную сессию и за период времени, поскольку именно это и является единицей предоставления услуги. Эти два варианта становятся сопоставимыми только после того, как вы узнаете, сколько идентификаторов требуется для задачи: при одном идентификаторе VPN обычно дешевле, а при десяти модель VPN предполагает использование десяти машин. Сравнение цен между различными типами прокси-выходов — это уже совсем другой вопрос, который рассматривается в Прокси-серверы в дата-центрах и мобильные прокси.

Что вам нужно — и нужны ли вам оба?

Решающими являются четыре вопроса, и все они касаются скорее наблюдателя, чем самого продукта. Ответьте на них по порядку, и инструмент станет очевидным из ответов.

Есть два ответа, которые почти все сайты с сравнением упускают из виду, поэтому сформулируем их прямо. Первый — оба варианта, именно в таком порядке: VPN на устройстве для защиты от ненадежной локальной сети и прокси, настроенный внутри того приложения, которому требуется собственная идентичность. Туннель обрабатывает данные для наблюдателя, находящегося рядом с вами, ретранслятор — для наблюдателя на другом конце, а конечный пункт всегда видит только последний прыжок. Изменение этого порядка — пропускание сеанса прокси через выходной порт потребительского VPN — не дает конечной точке ничего видимого, добавляет лишний обход и может незаметно разрушить изоляцию на уровне приложения, ради которой вы и настраивали прокси. Второй вариант не подходит ни в том, ни в другом случае: если цель — использование нескольких учетных записей на одной платформе, то недостающим элементом обычно является изоляция по отпечаткам профиля, и браузер с защитой от обнаружения и прокси для каждого профиля является реальным ответом на этот вопрос.

Далее вопросы разделяются на три направления. Какой тип прокси несет идентичность — это Центр типов прокси; соответствует ли вывод, сгенерированный оператором, ожиданиям вашего адресата, — это что такое мобильный прокси; и вопрос о том, должен ли ваш клиент использовать протокол HTTP или SOCKS5, заключается в том, HTTP против SOCKS5.

Развертывание мобильных прокси-серверов с высоким уровнем доверия

Вам требуется несколько уникальных идентификационных профилей с поддержкой мобильной сети? PXM2 предлагает специализированные мобильные модемы 4G/5G:

Часто задаваемые вопросы

Связанные руководства

Основы работы с прокси-серверами

Основные руководства по мобильным прокси-серверам