Автор: Александр Д.
09.09.2026 · 7 МИН ЧТЕНИЯ
ОБНОВЛЕНО

Почему VPN работает только через Wi‑Fi, а на мобильном интернете либо не подключается, либо отваливается через минуту, объясняется устройством мобильной сети, а не поломкой приложения.

Дома роутер выдаёт вам обычный адрес и пропускает всё подряд. У сотового оператора вы сидите за общим адресом вместе с тысячами абонентов, часть сетей работает только по IPv6, UDP‑трафик обрабатывается иначе, размер пакета меньше, а телефон ради экономии батареи убивает фоновые соединения. Каждый из этих пунктов способен уронить туннель, и у каждого есть своё лечение.

Коротко:

  • Если VPN не работает на мобильном интернете, дело в устройстве сотовой сети, а не в поломке приложения: мешают общий адрес оператора, особенности UDP, сети только по IPv6, размер пакета и экономия батареи.
  • Лечение по порядку: протокол поверх TCP (например, VLESS), keepalive, меньший MTU, «Частный DNS» в режиме «Автоматически» и приложение вне ограничений энергосбережения.
  • Если на мобильном интернете не помог ни один шаг, попробуйте другой сервер: отдельные адреса у отдельных операторов ведут себя хуже.

Ниже причины по частоте и порядок проверки, который занимает десять минут и в большинстве случаев заканчивается рабочим туннелем на мобильном интернете.

ДОМА (Wi-Fi)МОБИЛЬНАЯ СЕТЬРИС. 01свой внешний адресобщий адрес, CGNAT1UDP как естьUDP режут2IPv4 и IPv6часто только IPv63обычный размер пакетаменьше MTU4экран не гасит связьэнергосбережение5
Пять отличий мобильной сети от домашней. Каждое само по себе способно уронить туннель.

Причина 1. Общий адрес и NAT оператора

Сотовый оператор (МТС, Мегафон, Билайн, Теле2) прячет тысячи абонентов за одним внешним адресом. Это называется CGNAT, и для обычного сёрфинга он незаметен, но туннелям по UDP, в первую очередь WireGuard, он мешает: оператор быстро забывает о «тихом» соединении, и туннель рвётся, хотя приложение показывает «подключено». Симптом: на Wi‑Fi всё стабильно, на мобильном интернете обрыв через минуту‑две, особенно когда телефон лежит без дела.

Лечение: включить в приложении keepalive, чтобы туннель регулярно подавал признаки жизни, или перейти на протокол поверх TCP, например VLESS. Как ведёт себя WireGuard в таких сетях, в статье WireGuard: что это и как настроить.

CGNAT: ОПЕРАТОР ЗАБЫВАЕТ ТИХИХРИС. 02тысячи абонентовОдин внешний адрестаблица соединенийТуннель молчит минутуЗапись вычеркнута: обрывПриложение всё ещё пишет «подключено»Лечениеkeepalive или VLESS по TCP
Почему обрыв случается именно в простое: оператор вычёркивает молчащее соединение, а приложение об этом не узнаёт.

Причина 2. UDP обрабатывается не так, как TCP

Часть операторов ограничивает UDP‑трафик по скорости или на отдельных портах, а некоторые сети в принципе пропускают UDP хуже. WireGuard и OpenVPN по UDP страдают первыми. Симптом: подключается, но скорость в разы ниже, чем без туннеля, или соединение «висит».

Лечение: переключить OpenVPN на TCP, если приложение это позволяет, или использовать VLESS, который работает поверх TCP и выглядит для сети как обычное HTTPS‑соединение. Подробнее о протоколе в статье VLESS: что это за протокол.

ЧТО ВИДИТ ОПЕРАТОРРИС. 03протоколтранспорт и портчто делает сетьWireGuardUDP :51820режут, тормозятOpenVPNUDP :1194то же самоеVLESSTCP :443как обычный сайт
Порт и транспорт решают, как сеть поступит с туннелем. TCP на 443 выглядит как обычный заход на сайт.

Причина 3. Сеть только по IPv6

Многие мобильные сети выдают устройству только IPv6, а IPv4 эмулируют через шлюз. Если сервер VPN доступен только по IPv4, а приложение не умеет ходить к нему через такой шлюз, подключение не устанавливается вовсе. Симптом: «не удаётся подключиться» сразу, без попыток, только на мобильном интернете.

Лечение: выбрать сервер с адресом IPv6, если сервис его даёт, или протокол, который работает по доменному имени, а не по адресу. После подключения проверьте, что ваш реальный IPv6 не утекает мимо туннеля: тест утечки IPv6.

СЕТЬ ТОЛЬКО ПО IPv6РИС. 04Оператор выдал адрес IPv6Сервер туннеля только на IPv4Подключиться не к чемуПроверкасвой адрес в мобильной сети

Причина 4. Размер пакета

В мобильных сетях допустимый размер пакета меньше, чем в домашних. Если туннель собирает пакеты «домашнего» размера, они дробятся или теряются. Симптом: подключено, страницы начинают грузиться и не догружаются, картинки висят.

Лечение: уменьшить MTU. Значения 1280–1400 обычно решают проблему; начните с меньшего и поднимайте, пока работает. Поле есть в клиентах WireGuard, которые импортируют .conf: там это строка MTU = 1280 в разделе [Interface]. в приложениях из магазина его чаще всего нет, и тогда помогает смена протокола. Почему это влияет на скорость, в статье Почему VPN медленный и как ускорить.

MTU: НАЧНИТЕ С МЕНЬШЕГО1280–1400: обычно решают«домашний» размер: пакеты теряются12801400старт с меньшего, поднимайте, пока работает[Interface]MTU = 1280Поле есть в клиентах WireGuard с файлом .conf.в приложениях из магазина его чаще нет:тогда помогает смена протокола
Начните с 1280 и поднимайте, пока туннель работает.

Причина 5. Телефон экономит батарею

Android и iOS усыпляют фоновые приложения, и VPN‑клиент в их числе. На Wi‑Fi это менее заметно, на мобильной сети система агрессивнее. Симптом: туннель работает, пока приложение на экране, и пропадает, когда телефон в кармане.

Лечение: убрать VPN‑приложение из ограничений энергосбережения, на Android включить «Постоянная VPN» в системных настройках, на iPhone проверить, что профиль один и «Подключение по требованию» настроено. Как это выглядит, в статье Почему VPN сам отключается.

Причина 6. Частный DNS и другие настройки

На Android пункт «Частный DNS» с чужим адресом уводит DNS‑запросы мимо туннеля и ломает часть сайтов; поставьте «Автоматически» или выключите на время использования VPN. На iPhone мешают старые профили VPN и DNS от других приложений: оставьте один.

РАЗМЕР ПАКЕТАРИС. 05Пакет больше, чем пропускает сетьРежется по путирукопожатие проходит,данные не идутсимптом: подключено, но пустопакет «домашнего» размералишнеестолько пропускает сеть

Что делать, если VPN не работает на мобильном интернете?

  1. Подключитесь на мобильном интернете и посмотрите, какая ошибка: сразу «не удалось» (причина 3) или подключилось и потом упало (причины 1, 2, 5).
  2. Смените протокол: с WireGuard на VLESS или OpenVPN по TCP. Где: настройки приложения → «Протокол» или «Тип подключения». Если такого пункта нет, приложение использует один протокол и сменить его нельзя, тогда пробуйте другой сервер.
  3. Включите keepalive и уменьшите MTU (размер одного куска данных в дороге). Обе настройки живут в файле .conf клиента WireGuard, в приложениях из магазина их обычно нет.
  4. Проверьте «Частный DNS» и лишние профили.
  5. Уберите приложение из ограничений энергосбережения.
  6. После каждого шага проверяйте Какой у меня IP: страна должна быть серверной.

Если на Wi‑Fi всё работает, а на мобильном интернете ни один шаг не помог, попробуйте другой сервер: отдельные адреса у отдельных операторов ведут себя хуже, и это лечится сменой адреса, а не настройкой.

ПОРЯДОК ПРОВЕРКИРИС. 061адрес в мобильной сети: IPv4 или v6только IPv6: сервер с IPv6 или по имени2другой серверотдельные адреса у операторов ведут себя хуже3транспорт TCP вместо UDPVLESS или OpenVPN по TCP4MTU меньше на 80в .conf клиента WireGuard5выключить частный DNSAndroid: «Автоматически»после каждого шага: какой у меня IP, страна должна быть серверной

Кто в итоге виноват: оператор или приложение?

Никто конкретно. Мобильная сеть устроена иначе, чем домашняя, и туннель нужно под неё настроить один раз. После этого он работает одинаково везде, а Kill Switch не даст трафику уйти в открытую в момент переключения между сетями.

Разница между сетями сужает круг причин до двух-трёх.

СИМПТОМ НА МОБИЛЬНОМ → ПРИЧИНАСразу «не удалось», без попытокПричина 3: только IPv6сервер с IPv6 или по имениПодключилось, через минуту упалоПричины 1, 2, 5общий адрес, UDP, батареяПодключено, страницы не догружаютсяПричина 4: размер пакетауменьшить MTUЧасть сайтов не открываетсяПричина 6: «Частный DNS»поставить «Автоматически»
По тому, как именно не работает, видно, с какой причины начинать.
Промт для нейросети
Помоги понять, почему туннель работает не везде.

Работает: (по Wi-Fi / по мобильному интернету).
Не работает: (по мобильному / по Wi-Fi / в одной
конкретной сети).
Оператор или провайдер: (какой).
Адрес в нерабочей сети: (IPv4 / IPv6 / не знаю).
Протокол: (WireGuard / VLESS / другой).
Что уже пробовал: (перечислите).

Скажи, какая причина самая вероятная при такой
картине и в каком порядке проверять остальное.
Если по этим данным нельзя, скажи, что ещё
посмотреть.

Почему VPN не работает через Wi-Fi, а на мобильном работает?

Обратная ситуация встречается реже и объясняется самой сетью Wi‑Fi. Гостевые и корпоративные сети нередко пропускают только веб‑трафик по стандартным портам и режут UDP целиком: WireGuard там не поднимется, а протокол поверх TCP на порту HTTPS пройдёт. Сети со страницей входа не дают туннелю подняться, пока вы не прошли портал: сначала вход, потом туннель. Домашний роутер с включённым «жёстким» межсетевым экраном или без поддержки прохождения VPN тоже может мешать; пункт называется VPN Passthrough и по умолчанию обычно включён. Порядок проверки тот же: смена протокола, затем сервера, затем настроек сети.

ОБРАТНЫЙ СЛУЧАЙ: НЕ ПУСКАЕТ WI-FIГостевая или рабочаятолько веб на стандартныхпортах, UDP режут целикомWireGuard не подниметсяTCP на порту HTTPS пройдётСтраница входатуннель не поднимется,пока портал не пройденсначала вход,потом туннельДомашний роутер«жёсткий» межсетевой экранили нет VPN PassthroughVPN Passthrough обычновключён по умолчаниюПорядок тот же: сначала протокол, затем сервер, затем настройки сети.
Если не пускает Wi-Fi, виновата сама сеть: портал, порты или роутер.

Коротко

На Wi‑Fi туннель работает, потому что домашняя сеть простая. На мобильном интернете ему мешают общий адрес оператора, особенности UDP, сети только по IPv6, размер пакета и экономия батареи. Лечение по порядку: протокол поверх TCP, keepalive, меньший MTU, «Частный DNS» в автоматический режим, приложение вне ограничений энергосбережения, и, если ничего не помогло, другой сервер. Настроив это один раз, о разнице между сетями можно забыть.

404 VPN в приложениях для Android, Windows, macOS и Linux работает на VLESS поверх TCP, то есть на транспорте, которому не мешают ограничения UDP у оператора; DNS идёт внутри туннеля, в приложениях для Android и Linux есть Kill Switch. Пробного дня (24 часа бесплатно) хватит, чтобы пройти проверку выше на своём операторе. Начать можно на главной.

Частые вопросы

Почему на мобильном интернете VPN отключается через минуту?

Скорее всего, мешает CGNAT: оператор прячет абонентов за общим адресом и быстро забывает о «тихом» соединении, поэтому туннель рвётся, хотя приложение пишет «подключено». Помогает keepalive в приложении или протокол поверх TCP, например VLESS.

Почему VPN совсем не подключается через мобильный интернет?

Возможно, оператор выдаёт телефону только IPv6, а сервер VPN доступен только по IPv4. Помогает сервер с адресом IPv6 или протокол, который подключается по доменному имени, а не по адресу.

Какой MTU поставить для VPN на телефоне?

Обычно помогают значения от 1280 до 1400: начните с меньшего и поднимайте, пока работает. В клиентах WireGuard это строка MTU = 1280 в разделе [Interface] файла .conf.

Нужно ли выключать «Частный DNS» на Android при VPN?

Да, если в нём указан чужой адрес: он уводит DNS-запросы мимо туннеля и ломает часть сайтов. Поставьте «Автоматически» или выключите его на время работы VPN.

Какой протокол выбрать, если VPN не работает на мобильном интернете?

Протокол поверх TCP, например VLESS: для сети он выглядит как обычное HTTPS-соединение, и ограничения UDP у оператора ему не мешают. WireGuard и OpenVPN по UDP в мобильных сетях страдают первыми.