Коротко: Постоянно включённый VPN — это два независимых механизма вместе: Always-On VPN (автоматически поднимает туннель при старте устройства и смене сети) и «Блокировать подключения без VPN» (kill switch, запрещает трафик в обход туннеля). На Android они включаются двумя тумблерами в системных настройках VPN. На обычном iPhone системного Always-On нет — его функцию выполняет режим On-Demand в приложении (например, WireGuard). Это нужно, чтобы трафик не «утекал» в открытую сеть при перезагрузке телефона, смене Wi-Fi или переключении на мобильные данные. В 2026 году на Android 16 появился специфический дефект, который обходит обе защиты — ниже разберём, что делать.
Что такое постоянно включённый VPN и чем он отличается от kill switch
Многие используют термины «always-on VPN» и «kill switch» как синонимы — это ошибка. Это две разные функции, которые дополняют друг друга:
- Always-On VPN — автоматически запускает и поддерживает VPN-соединение: при включении устройства, при смене Wi-Fi-сети, при возвращении из авиарежима. Туннель поднимается без вашего участия.
- Kill switch («Блокировать подключения без VPN» на Android) — блокирует весь интернет-трафик, пока туннель не готов. Без этого тумблера при кратковременном разрыве VPN ваш реальный IP будет виден.
- Connect On Demand (iOS) — функциональный аналог Always-On для обычных пользователей iPhone: приложение само переподключается по заданным правилам.
Подробнее о том, как работает kill switch сам по себе, — в статье «Что такое kill switch в VPN». Здесь мы рассматриваем оба механизма вместе — как добиться непрерывной защиты.
| Функция | Что делает | Платформа |
|---|---|---|
| Always-On VPN | Авто-подключение при старте и смене сети; туннель не надо включать вручную | Android 8+; iOS только MDM/supervised |
| Блокировать подключения без VPN (kill switch) | Запрещает любой трафик в обход туннеля; при обрыве VPN интернет пропадает до восстановления | Android (системный тумблер) |
| Connect On Demand / On-Demand | Приложение само переподключается по правилам; практический аналог Always-On для iOS | iOS (любой iPhone через WireGuard и аналоги) |
| Per-app VPN | Туннель только для выбранных приложений; остальной трафик идёт напрямую | Android, iOS (обычно корпоративный MDM) |
Зачем включать VPN постоянно: сценарии
Казалось бы, достаточно включить VPN перед «важными» действиями — онлайн-банкингом или работой с конфиденциальными данными. На практике это не работает по нескольким причинам:
- Публичный Wi-Fi и кафе. Телефон автоматически подключается к известной сети, пока вы ещё не успели включить VPN вручную. Несколько секунд незащищённого соединения достаточно для перехвата сессионного токена.
- Переключение Wi-Fi → мобильные данные. При смене сети VPN часто отключается и переподключается — в этот момент трафик идёт в открытую.
- Перезагрузка телефона. Если VPN не настроен на автозапуск, после ребута весь трафик идёт без туннеля до тех пор, пока вы не откроете приложение.
- Фоновые приложения. Мессенджеры, почта, синхронизация фото «просыпаются» сразу после загрузки устройства — ещё до того, как пользователь успевает включить VPN.
- Случайная утечка IP. При работе с удалённым рабочим столом, облачными хранилищами или корпоративными ресурсами реальный IP не должен быть виден на сервере.
- Защита при использовании раздельного туннелирования. Если часть трафика идёт напрямую — важно убедиться, что это осознанный выбор, а не случайная «дыра».
Как настроить постоянный VPN на Android
На Android начиная с версии 8 встроены оба нужных тумблера. Путь в чистом Android:
- Откройте Настройки → Сеть и интернет → VPN.
- Нажмите шестерёнку рядом с нужным VPN-профилем.
- Включите «Постоянный VPN» (Always-on VPN) — туннель будет подниматься автоматически.
- Включите «Блокировать подключения без VPN» — это системный kill switch.
- Перезагрузите телефон и убедитесь, что VPN подключился сам, а интернет работает.
Чтобы настроить LiMP VPN как постоянно включённый сервис, проще всего сделать это прямо из приложения — перейдите на страницу LiMP VPN для Android и следуйте инструкции по установке.
Важно: если включены оба тумблера, при нестабильном соединении интернет может пропасть — это ожидаемое поведение kill switch, он ждёт, пока туннель не поднимется. Что делать в такой ситуации — в статье «Из-за VPN не работает интернет».
Android 8+ и различия оболочек (MIUI/HyperOS, One UI)
На кастомных оболочках путь к настройкам VPN может называться иначе:
- MIUI / HyperOS (Xiaomi): Настройки → Подключения → Другие соединения → VPN → шестерёнка у профиля.
- One UI (Samsung): Настройки → Подключения → Другие настройки сети → VPN → шестерёнка.
- ColorOS (Oppo/Realme): Настройки → Другие сети → VPN.
Сами тумблеры «Always-on VPN» и «Block connections without VPN» присутствуют во всех оболочках на базе Android 8+: производители не убирают эти системные настройки.
Как сделать VPN постоянным на iPhone (и почему это не то же самое)
Здесь важен честный фактчек: системный Always-On VPN на iOS работает только на корпоративных (supervised/MDM) устройствах — тех, которые управляются через Mobile Device Management. На личном iPhone, купленном в магазине, такой функции в системных настройках нет.
Для обычного пользователя iPhone практический аналог — режим On-Demand («Подключать по требованию») в самом VPN-приложении. Как это работает в WireGuard:
- Откройте приложение WireGuard на iPhone.
- Нажмите на нужный туннель → Edit (редактировать).
- Включите тумблер «On-Demand Activation».
- Укажите правила: например, «включаться на всех сетях» или «включаться на Wi-Fi, кроме домашней».
WireGuard с On-Demand будет переподключаться автоматически при смене сети — поведение максимально близкое к Always-On. Протокол WireGuard использует ChaCha20-Poly1305 для шифрования (не AES-256 — важный нюанс для фактчека), а на iOS работает в userspace-режиме, не на уровне ядра.
Не путайте On-Demand с VPN-профилями конфигурации, которые устанавливает IT-отдел: это разные механизмы. Приложение LiMP VPN поддерживает On-Demand — нужно просто включить соответствующую опцию в его настройках.
А что на компьютере: Windows и Mac
На Windows и macOS нет системного аналога Android-тумблера Always-On. Непрерывность защиты обеспечивается двумя настройками в самом VPN-приложении:
- Автозапуск при входе в систему — приложение запускается вместе с ОС и сразу устанавливает соединение.
- Kill switch в приложении — блокирует трафик при обрыве туннеля (аналог Android-тумблера, но реализован на уровне приложения, а не ОС).
Обе опции есть в большинстве десктопных VPN-клиентов. Для полноценной защиты включите оба параметра в настройках приложения LiMP VPN.
Ограничение 2026: утечка мимо VPN на Android 16
В мае 2026 года исследователи Mullvad и команда GrapheneOS подтвердили уязвимость в Android 16, получившую неофициальное название «Tiny UDP Cannon». Суть: дефект в компоненте ConnectivityManager позволяет вредоносному приложению «протолкнуть» часть UDP/QUIC-трафика мимо VPN-туннеля — даже при одновременно включённых Always-On и «Block connections without VPN».
Позиция Google: «Won't Fix (Infeasible)» — компания сослалась на Play Protect как на основной барьер. GrapheneOS выпустил собственный патч. Mullvad предложил временный ADB-воркэраунд: отключение уязвимой QUIC-функции.
Насколько это опасно на практике? Только при наличии вредоносного приложения на устройстве. Если вы устанавливаете приложения исключительно из Google Play и не даёте лишних разрешений — риск минимален. Тем не менее этот кейс наглядно показывает: Always-On необходим, но не заменяет гигиену установки приложений. О симптомах VPN-проблем на Android подробнее — в статье «VPN не работает на Android».
Чек-лист: включаем постоянную защиту
- Android: Настройки → Сеть и интернет → VPN → шестерёнка → включить «Always-on VPN» и «Block connections without VPN».
- iPhone: Открыть приложение LiMP VPN → найти опцию On-Demand → включить, указать правила для нужных сетей.
- Windows / Mac: В настройках VPN-приложения включить «Запускать при старте системы» и kill switch.
- Выбрать надёжного провайдера. Тумблеры Android системные и работают с любым VPN-приложением, но провайдер без no-logs политики сводит защиту на нет.
- Устанавливать приложения только из проверенных источников. «Tiny UDP Cannon» срабатывает только при наличии вредоносного приложения — не давайте ему точку входа.
- Проверить, что kill switch работает. При включённом kill switch выключите VPN вручную: интернет должен пропасть. Включите снова — интернет вернётся.
- Периодически проверять утечки. Даже при включённом Always-On полезно раз в несколько недель проверять IP и DNS-утечки через специальные сервисы.
Частые вопросы
Съедает ли постоянно включённый VPN заметно больше батареи?
Немного — туннель активен всегда, шифрование выполняется непрерывно. Современные протоколы, в первую очередь WireGuard (ChaCha20-Poly1305), значительно экономичнее OpenVPN. На практике для большинства пользователей разница незначительна.
Можно ли включить постоянный VPN только для одного приложения?
Да — через per-app VPN или функцию раздельного туннелирования. В этом случае Always-On можно комбинировать с исключениями: туннель постоянный, но часть трафика (например, стриминг) идёт напрямую.
Почему после включения «Block connections without VPN» пропал интернет?
Это ожидаемое поведение kill switch: пока туннель не поднялся, весь трафик заблокирован. Обычно соединение восстанавливается за несколько секунд. Если интернет пропал надолго — проверьте, активен ли VPN-профиль.
Защищает ли Always-On от утечки IP на Android 16?
От обычных сценариев — да. От дефекта «Tiny UDP Cannon» — только если на устройстве нет вредоносного приложения. Google не планирует патч, GrapheneOS уже закрыл уязвимость. Устанавливайте приложения только из Google Play.
Есть ли постоянный VPN у бесплатных сервисов?
Тумблеры Android системные и работают с любым VPN-приложением, в том числе бесплатным. Проблема в другом: у бесплатных провайдеров выше риск логирования трафика, что делает Always-On бессмысленным с точки зрения приватности.
Чем On-Demand на iPhone отличается от системного Always-On?
Системный Always-On работает на уровне ОС и доступен только на MDM/supervised-устройствах (корпоративный парк). On-Demand реализован на уровне приложения: оно само решает, когда поднять туннель. Для обычного пользователя iPhone результат аналогичный — туннель всегда активен на нужных сетях.
Нужен ли kill switch, если уже включён Always-On?
Да, нужен — это разные вещи. Always-On поднимает туннель, kill switch («Block connections without VPN») блокирует трафик в момент переподключения. Без kill switch возможна кратковременная утечка реального IP. Включайте оба.