NEMO VPN
NEMO Blog
← Назад к статьям

Мультихоп VPN (Multi-Hop): как настроить двойной VPN, цепочку прокси и каскадное шифрование для максимальной анонимности в 2026

·
VPNMulti-Hopдвойной VPNцепочка проксианонимностьбезопасностькаскадное шифрованиеобход блокировок
Мультихоп VPN (Multi-Hop): как настроить двойной VPN, цепочку прокси и каскадное шифрование для максимальной анонимности в 2026

Мультихоп VPN — одна из самых мощных техник обеспечения анонимности в интернете, о которой мало говорят в контексте России 2026. Если обычный VPN — это «тоннель» от вашего устройства до сервера, то Multi-Hop — это цепочка из нескольких серверов, через которую проходит ваш трафик. Каждый узел в этой цепи шифрует данные заново, так что ни один из серверов не видит полную картину: кто вы, откуда подключились и куда направляетесь.

В этой статье мы разберём:

  • Что такое мультихоп VPN и зачем он нужен
  • Как работает двойной VPN (Double VPN)
  • Как настроить цепочку из 2-3 серверов на практике
  • Какие протоколы и инструменты поддерживают Multi-Hop
  • Чем отличается цепочка прокси от каскадного шифрования
  • Как использовать Tor через VPN и VPN через Tor
  • Пошаговые инструкции для Windows, Android и серверов
  • Типичные ошибки и как их избежать

Содержание

  1. Что такое мультихоп VPN (Multi-Hop)
  2. Как работает двойной VPN (Double VPN)
  3. Архитектура мультихоп-соединения
  4. Зачем нужен Multi-Hop в 2026
  5. Инструменты и протоколы
  6. Настройка Multi-Hop на Windows
  7. Настройка Multi-Hop на Android
  8. Настройка Multi-Hop на сервере (Linux)
  9. VPN через Tor и Tor через VPN
  10. Ошибки и проблемы
  11. FAQ
  12. Заключение

Что такое мультихоп VPN (Multi-Hop)

Мультихоп (Multi-Hop), также известный как двойной VPN, каскадный VPN или цепочка прокси — это технология, при которой ваш интернет-трафик проходит через два или более VPN-серверов (или прокси-серверов) последовательно, прежде чем попасть в открытый интернет.

Как это работает

Ваше устройство → VPN-сервер 1 (Норвегия) → VPN-сервер 2 (Нидерланды) → Целевой сайт

Каждый сервер в цепочке:

  1. Расшифровывает трафик от предыдущего узла
  2. Применяет новое шифрование для следующего узла
  3. Пересылает данные дальше по цепочке

Это означает, что:

  • Первый сервер знает ваш реальный IP, но не знает, куда вы направляетесь
  • Промежуточный сервер не знает ни вашего IP, ни конечного сайта
  • Последний сервер (exit node) знает, на какой сайт вы заходите, но не знает, кто вы

Отличие от обычного VPN

Характеристика Обычный VPN Мультихоп VPN
Количество серверов 1 2+
Шифрование Однослойное Каскадное (многослойное)
Видимость для первого сервера Знает всё Знает только ваш IP
Видимость для exit-сервера Знает всё Знает только сайт назначения
Анонимность Высокая Максимальная
Скорость Высокая Средняя (потери 20-40%)
Сложность настройки Низкая Средняя - высокая

Простая аналогия

Представьте, что вы хотите отправить письмо анонимно. Обычный VPN — это когда вы даёте письмо курьеру, который сам его доставляет. Курьер знает и вас, и получателя.

Multi-Hop — это когда вы передаёте письмо первому курьеру, тот передаёт второму, второй — третьему, и только третий доставляет письмо получателю. Первый курьер знает вас, но не знает получателя. Второй не знает ни вас, ни получателя. Третий знает получателя, но не знает вас.

Как работает двойной VPN (Double VPN)

Double VPN — это простейшая форма мультихопа, использующая ровно два сервера. Несмотря на кажущуюся простоту, это уже даёт кардинально другой уровень анонимности.

Сценарий: типичная атака на анонимность

Без VPN ваш провайдер видит всё. С односерверным VPN провайдер видит только зашифрованный трафик к одному IP — он понимает, что вы используете VPN, и может попытаться заблокировать это соединение через DPI.

С Double VPN:

  • Провайдер видит шифрованный трафик к серверу 1. Он не может определить, куда сервер 1 перенаправляет данные.
  • Сервер 1 (Норвегия) видит ваш IP и зашифрованный трафик к серверу 2. Он не может расшифровать данные внутри — они снова зашифрованы для сервера 2.
  • Сервер 2 (Нидерланды) получает трафик от сервера 1, расшифровывает «внешний» слой и видит данные, направленные на конечный сайт. IP сервера 1 виден, ваш IP — нет.
  • Целевой сайт видит IP сервера 2. Он не знает о существовании сервера 1 и тем более о вас.

Уровни шифрования

При Double VPN трафик шифруется дважды:

Внешний слой: [Ваш IP → Сервер 1 → (шифрование) → Сервер 2]
Внутренний слой: [Сервер 1 → Сервер 2 → (шифрование) → Сайт назначения]

Сервер 1 расшифровывает внешний слой и передаёт внутренний слой серверу 2. Сервер 2 расшифровывает внутренний слой и отправляет чистый запрос на сайт.

Технически это реализуется двумя последовательными VPN-туннелями:

  1. Туннель 1: Ваше устройство → Сервер 1 (WireGuard, OpenVPN или VLESS)
  2. Туннель 2: Сервер 1 → Сервер 2 (аналогичный или другой протокол)

Когда Double VPN оправдан

Сценарий Обычный VPN Double VPN
Обход блокировки YouTube ✅ Достаточно ✅ Избыточно
Доступ к Instagram ✅ Достаточно ✅ Избыточно
Работа с чувствительными данными ⚠️ Возможны риски ✅ Рекомендуется
Журналистские расследования ⚠️ Недостаточно ✅ Максимум
Обход тотальной слежки провайдера ⚠️ Зависит от протокола ✅ Даже DPI бессилен
Торренты и P2P ✅ Достаточно ⚠️ Медленно

Архитектура мультихоп-соединения

В 2026 году существует несколько архитектур построения мультихоп-цепочки. Рассмотрим основные.

1. Последовательные VPN-серверы (VPN → VPN)

Самая простая архитектура: WireGuard поверх WireGuard или OpenVPN внутри OpenVPN.

[Устройство] → [WG туннель 1] → [Сервер A] → [WG туннель 2] → [Сервер B] → [Интернет]

Плюсы: Надёжно, проверено годами. Минусы: Двойная потеря скорости (каждый слой ~15-30% накладных расходов).

2. Прокси-цепочка (SOCKS5 → VPN или VPN → SOCKS5)

Схема, где трафик сначала проходит через SOCKS5-прокси, а затем через VPN (или наоборот).

[Устройство] → [SOCKS5 прокси] → [VPN-сервер] → [Интернет]

Плюсы: Гибкость, можно использовать резидентные прокси. Минусы: SOCKS5 не шифрует трафик — только туннелирует.

3. Multi-Hop через Sing-Box

Sing-Box — это универсальный прокси-клиент, который поддерживает цепочки из различных протоколов в одном конфиге:

[Устройство] → [VLESS Reality (Сервер 1)] → [Hysteria2 (Сервер 2)] → [Интернет]

Плюсы: Одна программа, один конфигурационный файл, минимальные накладные расходы. Минусы: Требует понимания JSON-конфигурации Sing-Box.

4. Цепочка с использованием iptables и TUN-интерфейсов

Для Linux-серверов — ручное создание цепочки через несколько TUN-интерфейсов.

[Устройство] → [tun0 (WG1)] → [Сервер A] → [tun1 (WG2)] → [Сервер B] → [Интернет]

Плюсы: Полный контроль, максимальная гибкость. Минусы: Сложная настройка, легко ошибиться.

Зачем нужен Multi-Hop в 2026

В 2026 году в России действует тотальная система мониторинга трафика — ТСПУ (Технические средства противодействия угрозам). Эта система установлена на всех уровнях провайдеров и способна:

  • Анализировать TLS-рукопожатия (TLS fingerprinting)
  • Выявлять характерные паттерны VPN-протоколов
  • Блокировать IP-адреса известных VPN-серверов
  • Проводить глубокий анализ пакетов (DPI) на уровне L7

Обычный VPN защищает от провайдера, но не защищает от компрометации самого VPN-сервера. Multi-Hop решает обе проблемы.

Основные сценарии применения

1. Защита от компрометации VPN-сервера

Если ваш VPN-сервер взломан или конфискован — логи покажут, куда вы ходили (если это exit-сервер) или откуда вы подключились (если это entry-сервер). При Multi-Hop ни один сервер не владеет полной информацией.

2. Обход DPI-блокировок нового поколения

ТСПУ 2026 научились распознавать даже VLESS Reality по таймингам пакетов и энтропии. Multi-Hop с разными протоколами на каждом участке цепи делает анализ трафика практически невозможным: на первом участке — VLESS Reality (маскировка под HTTPS), на втором — WireGuard поверх WebSocket.

3. Резидентные IP через прокси-цепочку

Использование резидентных прокси (IP обычных пользователей) на первом участке + VPN-сервер на втором даёт максимальную анонимность: провайдер видит соединение с обычным домашним IP-адресом, а не с дата-центровым.

4. Обход географических блокировок сервисов

Некоторые сервисы (Netflix, банки, госуслуги) блокируют дата-центровые IP и одновременно проверяют геолокацию. Multi-Hop позволяет выйти через сервер в нужной стране, сохраняя анонимность.

Инструменты и протоколы для Multi-Hop

Сравнение инструментов

Инструмент Поддержка Multi-Hop Сложность Платформы Протоколы
Sing-Box ✅ Встроенная (Chain) Средняя Все (CLI + GUI) VLESS, Hysteria2, WireGuard, SOCKS5, HTTP
Nekoray ✅ Chain routing Средняя Windows, Linux, macOS VLESS, Shadowsocks, SOCKS5
v2Ray / Xray ✅ Routing + Fallback Высокая Все VMess, VLESS, Trojan, Shadowsocks
Mihomo (Clash Meta) ✅ Rule-based chains Средняя Все Все популярные
OpenVPN ❌ Нет нативной поддержки — — Только OpenVPN
WireGuard ❌ Нет нативной поддержки — — Только WireGuard
Proxifier + VPN ⚠️ Через сторонние утилиты Низкая Windows Любые

Почему Sing-Box — лучший выбор для Multi-Hop

Sing-Box — это, пожалуй, самый мощный инструмент для создания мультихоп-цепочек в 2026 году. Его ключевая особенность — механизм Chain (цепочка), который позволяет соединять несколько outbound-подключений последовательно.

Пример конфигурации Sing-Box для Multi-Hop с двумя серверами:

{
  "outbounds": [
    {
      "type": "vless",
      "tag": "server-1",
      "server": "server1.example.com",
      "server_port": 443,
      "uuid": "uuid-1",
      "flow": "xtls-rprx-vision"
    },
    {
      "type": "hysteria2",
      "tag": "server-2",
      "server": "server2.example.com",
      "server_port": 8443,
      "password": "password-2"
    },
    {
      "type": "chain",
      "tag": "multi-hop-chain",
      "outbounds": ["server-1", "server-2"]
    }
  ],
  "route": {
    "rules": [
      {
        "action": "hint",
        "outbound": "multi-hop-chain"
      }
    ]
  }
}

Эта конфигурация заставляет трафик сначала пройти через server-1 (VLESS Reality), а затем через server-2 (Hysteria2), прежде чем выйти в интернет. Каждый сегмент использует свой протокол — это делает анализ трафика практически невозможным для DPI.

Другие инструменты для создания цепочек

Mihomo (бывший Clash Meta) позволяет создавать цепочки через механизм relay:

proxies:
  - name: "Chain-US-DE"
    type: relay
    proxies:
      - "US-Proxy"
      - "DE-Proxy"

Nekoray / NekoBox поддерживает цепочки через встроенный маршрутизатор с правилами. Можно настроить так, чтобы трафик к определённым сайтам шёл через цепочку, а к российским — напрямую.

Настройка Multi-Hop на Windows

Способ 1: Через Sing-Box (рекомендуется)

Шаг 1: Установка Sing-Box

  1. Скачайте последнюю версию Sing-Box для Windows с официального GitHub
  2. Распакуйте архив в C:\Program Files\sing-box
  3. Добавьте путь в системную переменную PATH

Шаг 2: Создание конфигурации

Создайте файл config.json:

{
  "log": {
    "level": "info"
  },
  "dns": {
    "servers": [
      {
        "tag": "dns-remote",
        "address": "tls://1.1.1.1",
        "detour": "multi-hop-chain"
      },
      {
        "tag": "dns-direct",
        "address": "https://94.140.14.14/dns-query"
      }
    ],
    "rules": [
      {
        "rule_set": ["geosite-category-ads"],
        "server": "dns-direct"
      },
      {
        "outbound": "any",
        "server": "dns-remote"
      }
    ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "inet4_address": "10.0.0.1/30",
      "auto_route": true,
      "mtu": 1500
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "server-1",
      "server": "SERVER_1_IP",
      "server_port": 443,
      "uuid": "ВАШ_UUID_1",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "cloudflare.com"
      }
    },
    {
      "type": "wireguard",
      "tag": "server-2",
      "server": "SERVER_2_IP",
      "server_port": 51820,
      "local_address": "10.0.1.2/32",
      "private_key": "ВАШ_PRIVATE_KEY_2",
      "peer_public_key": "PUBLIC_KEY_SERVER_2"
    },
    {
      "type": "chain",
      "tag": "multi-hop-chain",
      "outbounds": ["server-1", "server-2"]
    }
  ],
  "route": {
    "rules": [
      {
        "action": "hint",
        "outbound": "multi-hop-chain"
      }
    ]
  }
}

Шаг 3: Запуск

sing-box run -c config.json

Sing-Box создаст TUN-интерфейс и весь трафик Windows пойдёт через мультихоп-цепочку.

Шаг 4: Проверка

Откройте 2ip.ru или whoer.net — вы должны видеть IP сервера 2 (последнего в цепочке). Проверьте утечки DNS на dnsleaktest.com — должны отображаться DNS-серверы Cloudflare.

Способ 2: Через Proxifier + VPN (для начинающих)

Если Sing-Box кажется сложным, вот простой способ:

  1. Установите Proxifier
  2. Настройте SOCKS5-прокси на локальный порт (например, 1080)
  3. Запустите первый VPN до сервера A
  4. В Proxifier укажите цепочку: SOCKS5 → Direct
  5. Запустите второй VPN (на самом сервере A) до сервера B

Этот метод работает, но менее надёжен, чем Sing-Box.

Способ 3: Через WSL2 и Linux-инструменты

Если вы используете WSL2, можно запустить Sing-Box или Xray в Linux-окружении и пробросить TUN-интерфейс в Windows. Подробнее — в разделе о настройке на сервере.

Настройка Multi-Hop на Android

На Android мультихоп VPN настраивается через NekoBox (форк Nekoray для Android) или Sing-Box для Android.

Через NekoBox

NekoBox — самый удобный инструмент для Multi-Hop на Android в 2026.

Шаг 1: Установка

Установите NekoBox из Google Play или скачайте APK с GitHub.

Шаг 2: Импорт конфигурации

Создайте профиль с цепочкой через JSON:

{
  "outbounds": [
    {
      "protocol": "vless",
      "tag": "hop-1",
      "settings": {
        "vnext": [{
          "address": "сервер1.com",
          "port": 443,
          "users": [{"id": "uuid-1", "flow": "xtls-rprx-vision"}]
        }]
      },
      "streamSettings": {
        "network": "tcp",
        "security": "reality",
        "realitySettings": {
          "serverName": "cloudflare.com",
          "fingerprint": "chrome"
        }
      }
    },
    {
      "protocol": "shadowsocks",
      "tag": "hop-2",
      "settings": {
        "servers": [{
          "address": "сервер2.com",
          "port": 8443,
          "method": "chacha20-ietf-poly1305",
          "password": "password-ss"
        }]
      }
    }
  ],
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "outboundTag": "hop-1",
        "enabled": true
      }
    ]
  }
}

Однако для настоящей цепочки в NekoBox нужно использовать механизм Chain. Настройка:

  1. Создайте первое подключение (VLESS Reality до сервера 1)
  2. Создайте второе подключение (Shadowsocks до сервера 2)
  3. В настройках маршрутизации укажите: весь трафик → первое подключение, а в прокси-настройках первого подключения укажите, что оно идёт через второе

Этот подход требует понимания внутренней архитектуры NekoBox. Альтернатива — использовать Sing-Box для Android.

Шаг 3: Проверка на Android

После подключения:

  1. Откройте браузер и зайдите на 2ip.ru
  2. Убедитесь, что IP соответствует последнему серверу в цепочке
  3. Проверьте DNS: dnsleaktest.com — должны быть видны только DNS удалённого сервера
  4. Проверьте WebRTC: browserleaks.com/webrtc — реальный IP не должен утекать

Через Sing-Box для Android

Sing-Box доступен в F-Droid и Google Play. Конфигурация аналогична Windows-версии — используйте chain outbound.

Важно для мобильных устройств

На Android мультихоп даёт заметную нагрузку на батарею (на 15-25% больше расхода, чем обычный VPN), так как процессор выполняет двойное шифрование/дешифрование. Рекомендуется включать Multi-Hop только для чувствительных операций, а для повседневного серфинга использовать обычный VPN.

Настройка Multi-Hop на сервере (Linux)

Если у вас есть два VPS-сервера (или один VPS + облачный сервер), вы можете настроить полноценную цепочку Multi-Hop на уровне ОС.

Требования

  • Два VPS-сервера в разных юрисдикциях (например, Норвегия + Нидерланды)
  • Ubuntu 22.04+ или Debian 12+ на обоих
  • Open ports: 443/TCP, 51820/UDP (или любые другие)

Архитектура

[Клиент] → WireGuard (шифр 1) → [Сервер A: entry] → WireGuard (шифр 2) → [Сервер B: exit] → [Интернет]

Шаг 1: Настройка WireGuard на обоих серверах

Сервер B (exit):

# Установка
apt update && apt install -y wireguard

# Создание ключей
cd /etc/wireguard
wg genkey | tee server-b.key | wg pubkey > server-b.pub

# Конфиг /etc/wireguard/wg0.conf
cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
Address = 10.0.2.1/24
ListenPort = 51820
PrivateKey = <сервер-B-private-key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <сервер-A-public-key>
AllowedIPs = 10.0.2.0/24
EOF

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Сервер A (entry):

# Установка WireGuard
apt update && apt install -y wireguard

# Генерация ключей
cd /etc/wireguard
wg genkey | tee server-a.key | wg pubkey > server-a.pub

# Конфиг для подключения к серверу B
cat > /etc/wireguard/wg1.conf << 'EOF'
[Interface]
Address = 10.0.2.2/24
PrivateKey = <сервер-A-private-key>

[Peer]
PublicKey = <сервер-B-public-key>
Endpoint = <IP-сервера-B>:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF

# Конфиг для клиентов (чтобы клиенты подключались к A)
cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
Address = 10.0.1.1/24
ListenPort = 443
PrivateKey = <клиент-приватный-ключ-сервера-A>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o wg1 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o wg1 -j MASQUERADE

[Peer]
# Клиент
PublicKey = <публичный-ключ-клиента>
AllowedIPs = 10.0.1.2/32
EOF

# Включаем IP Forwarding
echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

systemctl enable wg-quick@wg0
systemctl enable wg-quick@wg1
systemctl start wg-quick@wg0
systemctl start wg-quick@wg1

Шаг 2: Настройка клиента

# На клиенте (ваше устройство)
cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
Address = 10.0.1.2/24
PrivateKey = <приватный-ключ-клиента>
DNS = 1.1.1.1

[Peer]
PublicKey = <публичный-ключ-сервера-A>
Endpoint = <IP-сервера-A>:443
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF

Шаг 3: Проверка цепочки

На клиенте:

# Проверяем, что трафик идёт через два сервера
traceroute 8.8.8.8
# Первый хоп — 10.0.1.1 (сервер A)
# Второй хоп — 10.0.2.1 (сервер B)
# Третий хоп — 8.8.8.8 (Google)

# Проверяем внешний IP
curl ifconfig.me
# Должен показывать IP сервера B

Вариант с Sing-Box на сервере

Вместо ручной настройки WireGuard цепочек можно использовать Sing-Box на сервере, который поддерживает механизм Chain нативно:

{
  "inbounds": [
    {
      "type": "vless",
      "tag": "in",
      "listen": "0.0.0.0",
      "listen_port": 443,
      "users": [{"uuid": "UUID", "flow": "xtls-rprx-vision"}],
      "tls": {
        "enabled": true,
        "server_name": "cloudflare.com",
        "reality": {
          "enabled": true,
          "handshake": {
            "server": "cloudflare.com",
            "server_port": 443
          },
          "private_key": "PRIVATE_KEY",
          "short_id": ["1234567890ab"]
        }
      }
    }
  ],
  "outbounds": [
    {
      "type": "wireguard",
      "tag": "wg-out",
      "server": "SERVER_B_IP",
      "server_port": 51820,
      "local_address": "10.0.3.2/24",
      "private_key": "PRIVATE_KEY",
      "peer_public_key": "PEER_PUBLIC_KEY",
      "allowed_ips": ["0.0.0.0/0"]
    },
    {
      "type": "direct",
      "tag": "direct-out"
    }
  ],
  "route": {
    "rules": [
      {
        "action": "hint",
        "outbound": "wg-out"
      }
    ]
  }
}

VPN через Tor и Tor через VPN

Два самых мощных, но и самых сложных сценария анонимизации. Рассмотрим оба.

VPN через Tor (VPN → Tor)

Здесь вы сначала подключаетесь к VPN, а затем направляете трафик через Tor.

[Ваше устройство] → [VPN-сервер] → [Tor Entry Node] → [Tor Middle Node] → [Tor Exit Node] → [Целевой сайт]

Как это работает: VPN скрывает от вашего провайдера факт использования Tor. Tor-сеть видит подключение от VPN-сервера, а не от вас. Если какой-либо из Tor-узлов скомпрометирован, он увидит только IP вашего VPN-сервера, а не ваш реальный IP.

Когда использовать: Когда Tor заблокирован в вашей стране (как в России в 2026) — VPN «доставляет» ваш трафик до входа в Tor.

Недостаток: Очень медленно. Tor сам по себе медленный, а VPN сверху добавляет ещё ~20-30% задержки.

Tor через VPN (Tor → VPN)

Обратная схема: вы подключаетесь к Tor, а через него — к VPN-серверу.

[Ваше устройство] → [Tor Entry Node] → [Tor Middle Node] → [Tor Exit Node] → [VPN-сервер] → [Целевой сайт]

Как это работает: Tor-сеть не знает, куда вы направляетесь — она видит только VPN-сервер. VPN-сервер не знает ваш IP — он видит IP Tor-выхода.

Когда использовать: Когда нужно скрыть от VPN-провайдера ваш реальный IP. Полезно, если вы не доверяете своему VPN-провайдеру.

Недостаток: Большинство VPN-провайдеров блокируют подключения от Tor-выходов (слишком много спама и атак).

Практическая реализация через Sing-Box

Sing-Box поддерживает Tor как один из outbound-протоколов:

{
  "outbounds": [
    {
      "type": "vless",
      "tag": "vpn-server",
      "server": "MY_VPN_SERVER",
      "server_port": 443,
      "uuid": "UUID"
    },
    {
      "type": "tor",
      "tag": "tor-out",
      "executable_path": "/usr/bin/tor"
    },
    {
      "type": "chain",
      "tag": "vpn-thru-tor",
      "outbounds": ["tor-out", "vpn-server"]
    },
    {
      "type": "chain",
      "tag": "tor-thru-vpn",
      "outbounds": ["vpn-server", "tor-out"]
    }
  ]
}
  • vpn-thru-tor: Tor через VPN (скрываем от провайдера использование Tor)
  • tor-thru-vpn: VPN через Tor (скрываем от VPN свой IP)

Ошибки и проблемы при настройке Multi-Hop

Ошибка 1: Петля маршрутизации

Самая распространённая ошибка — весь трафик зацикливается между серверами. Проявляется как полная потеря интернета.

Решение: Всегда проверяйте, что на каждом сервере включён net.ipv4.ip_forward = 1 и правильно настроены iptables-правила NAT.

Ошибка 2: Разрыв MTU

При двойном шифровании реальный MTU может уменьшиться до 1200-1300 байт. Если сайты открываются частично или зависают — проблема в MTU.

Решение: На клиенте установите MTU = 1300:

# WireGuard
MTU = 1300

# Sing-Box
"mtu": 1300

Ошибка 3: DNS-утечка через второй сервер

Если DNS-запросы не завернуты в цепочку, они могут утекать через первый сервер напрямую в интернет, раскрывая ваши реальные DNS-запросы.

Решение: В Sing-Box настройте "detour": "multi-hop-chain" для DNS-сервера. Проверьте через dnsleaktest.com после настройки.

Ошибка 4: Разные протоколы несовместимы

Не все протоколы можно комбинировать. Например, OpenVPN плохо работает внутри другого OpenVPN из-за конфликта TUN-интерфейсов.

Решение: Используйте разные протоколы на разных участках цепи: например, VLESS Reality на первом участке и WireGuard на втором.

Ошибка 5: Падение скорости ниже acceptable

Мультихоп может снизить скорость на 40-60%. Если для вас критична скорость — используйте Multi-Hop только для отдельных сайтов через правило маршрутизации.

Решение: В Sing-Box настройте маршрутизацию: для YouTube и соцсетей — прямой VPN (один сервер), для чувствительных операций — Multi-Hop.

Ошибка 6: Истечение таймаута на промежуточном сервере

Если сервер A теряет соединение с сервером B, вся цепочка падает. Пользователь видит «соединение разорвано».

Решение: Настройте PersistentKeepalive = 25 на всех WireGuard-пирах. Для VLESS используйте heartbeat-пакеты.

FAQ: 7 вопросов о мультихоп VPN

Вопрос 1: Нужен ли Multi-Hop обычному пользователю?

Обычному пользователю, который хочет посмотреть YouTube или зайти в Instagram, Multi-Hop не нужен — достаточно одного качественного VPN с VLESS Reality или Hysteria2. Multi-Hop оправдан, если вы:

  • Журналист или активист, работающий с чувствительными данными
  • Хотите максимально защититься от наблюдения за вашим трафиком
  • Используете Tor, но Tor заблокирован вашим провайдером
  • Храните и передаёте данные, компрометация которых критична

Вопрос 2: На сколько падает скорость при Multi-Hop?

В среднем скорость падает на 30-50% по сравнению с односерверным VPN:

  • Double VPN (WireGuard + WireGuard): потеря ~30-40%
  • VLESS Reality + WireGuard: потеря ~20-30% (оптимально)
  • Tor через VPN: потеря ~60-80% (Tor — узкое место)
  • Тройной VPN: потеря ~50-70%

Для просмотра YouTube в 1080p достаточно 5-10 Мбит/с — большинство мультихоп-конфигураций это обеспечивают.

Вопрос 3: Можно ли сделать Multi-Hop на одном сервере?

Нет, для Multi-Hop нужно минимум два физически разных сервера в разных юрисдикциях. Один сервер с двумя IP-адресами не даёт той же защиты — администратор сервера всё равно видит и входящий, и исходящий трафик.

Вопрос 4: Какой протокол лучше для первого участка цепи?

Лучший выбор для первого участка (от вашего устройства до сервера A) — VLESS Reality. Он маскирует трафик под обычный HTTPS к cloudflare.com, так что даже DPI не может определить, что это VPN. Подробнее о VLESS Reality — в нашей статье.

Вопрос 5: Какой протокол лучше для второго участка?

Для второго участка (от сервера A до сервера B) подходят:

  • WireGuard — если не требуется маскировка (соединение между серверами в разных странах обычно не блокируется)
  • Hysteria2 — если соединение нестабильное или высокий пинг
  • VLESS Reality — максимальная маскировка на всём пути

Вопрос 6: Можно ли использовать Multi-Hop с коммерческим VPN-сервисом?

Некоторые VPN-сервисы (NordVPN, ProtonVPN, Mullvad) предлагают встроенный Multi-Hop (Double VPN). В 2026 году:

Сервис Multi-Hop Протоколы Цена
NordVPN ✅ Double VPN NordLynx (WireGuard) ~$5/мес
ProtonVPN ✅ Secure Core WireGuard + OpenVPN ~$10/мес
Mullvad ❌ (через socks5) WireGuard €5/мес
NEMO VPN* ✅ Индивидуальная настройка VLESS + Hysteria2 Индивидуально

*Настраиваем индивидуально под задачи клиента в нашем Telegram.

Вопрос 7: Может ли провайдер обнаружить Multi-Hop?

Обнаружить Multi-Hop намного сложнее, чем обычный VPN:

  • DPI видит только первый участок цепи (от вас до сервера A)
  • Если первый участок использует VLESS Reality с маскировкой под cloudflare.com — DPI видит обычный HTTPS
  • Провайдер не может заглянуть внутрь туннеля и увидеть, что трафик перенаправляется на второй сервер

Даже если провайдер каким-то образом обнаружит первый туннель — он не сможет определить конечную точку вашего соединения.

Заключение

Мультихоп VPN — это не «повседневная» технология. Она нужна для сценариев, где анонимность и защита от наблюдения критически важны. В 2026 году, когда ТСПУ покрывает всю Россию, а DPI-системы стали умнее, Multi-Hop — это последний рубеж обороны для тех, кому нужно быть уверенным в своей цифровой безопасности.

Когда какой уровень защиты выбрать

┌──────────────────────────────────────────────────────────────┐
│  Уровень 1: Обычный VPN (VLESS Reality / Hysteria2)          │
│  └→ Для повседневных задач: YouTube, соцсети, мессенджеры    │
│                                                               │
│  Уровень 2: Double VPN (2 сервера, 2 протокола)              │
│  └→ Для чувствительных данных: работа, банки, переписка      │
│                                                               │
│  Уровень 3: Multi-Hop + Tor (VPN через Tor или Tor через VPN)│
│  └→ Для максимальной анонимности: журналистика, активизм     │
│                                                               │
│  Уровень 4: OPSEC-режим (Multi-Hop + отдельная ОС + Tails)   │
│  └→ Для критических сценариев с высокими рисками             │
└──────────────────────────────────────────────────────────────┘

Ключевые выводы

  1. Multi-Hop ≠ Double VPN — Double VPN это частный случай Multi-Hop (цепочка из двух серверов)
  2. Разные протоколы на разных участках цепи повышают защиту от DPI
  3. Sing-Box — лучший инструмент для создания цепочек в 2026
  4. Скорость — плата за анонимность: готовьтесь к потере 30-50%
  5. Проверяйте DNS: двойное шифрование бесполезно, если DNS утекает
  6. Не используйте OpenVPN для Multi-Hop — он слишком заметен для DPI и плохо работает в цепочках
  7. Начинайте с Double VPN: реальная потребность в 3+ серверах возникает редко

Хотите настроить собственный мультихоп VPN или получить доступ к готовой цепочке серверов? Мы поможем — от подбора серверов в разных юрисдикциях до полной настройки Sing-Box с каскадным шифрованием.

🔒 NEMO VPN — многоуровневая защита вашего трафика

Мы не просто даём VPN — мы проектируем индивидуальные схемы защиты под ваши задачи. VLESS Reality, Hysteria2, XHTTP и настройка Multi-Hop цепочек любой сложности.

Что вы получаете:

  • ✅ Multi-Hop цепочки (2-3 сервера) с каскадным шифрованием
  • ✅ VLESS Reality с маскировкой под популярные сайты
  • ✅ Серверы в 5+ юрисдикциях, включая РФ-дружественные
  • ✅ Индивидуальная настройка Sing-Box, Mihomo или WireGuard
  • ✅ Оплата картами РФ, СБП, криптовалютой

🌐 Настроить Multi-Hop VPN →

Читайте также

Читайте также

🔥 ГорячееVPN после 1 мая 2026: полное руководство📖 ГайдVLESS Reality: полное руководство по настройке📱 НастройкаКак настроить VPN на Android и iPhone🔒 БезопасностьKill Switch и DNS Leak: почему VPN может подвести⚖️ ЗаконШтрафы за VPN: мифы и реальность

Попробуйте NEMO VPN бесплатно

24 часа. VLESS Reality, оплата МИР, живая поддержка.

Открыть в Telegram →