Не работает VPN на Мегафоне: наши замеры и что решает на самом деле

На Мегафоне соединение либо не поднимается вовсе — минуту висит «Подключение…» — либо поднимается за секунду и работает на полной скорости. Разница между этими двумя случаями одна, и это не порт и не адрес сервера. Ниже — наши собственные замеры в Москве 28 июля 2026 года: девять вариантов подряд, в каждом менялась ровно одна вещь.

Что именно происходит на Мегафоне

Обычный профиль (порт 51820, без маскировки) на мобильном интернете Мегафона не подключается вообще: рукопожатия нет, приложение минуту показывает «Подключение…» и сдаётся. Это отличается от того, что мы видели у МТС, где рукопожатие проходило, а трафик умирал через две-три секунды — разбор МТС отдельно. У Мегафона режут раньше и жёстче: до соединения дело не доходит.

При этом дома, на Wi-Fi, тот же самый профиль на том же телефоне поднимается за секунду. Значит дело не в телефоне и не в настройках — почему мобильная сеть ведёт себя иначе, чем домашняя.

Порт 443 не помогает — проверено отдельным замером

Первое, что советуют в интернете, — «переехать на 443, там же ходит весь веб». Мы это проверили прямо: профиль noise-443 отличался от неработающего ровно портом.

Читается это однозначно. Порт 443 без маскировки не помог. Маскировка на обычном высоком порту 51822 сработала, и быстрее, чем на 443. Порт не значит ничего; значение имеет то, как выглядит первый пакет.

Смотрят на содержимое первого пакета, а не на его размер

Следующий вопрос: маскировка помогает потому, что меняет размер пакета, или потому, что меняет его узнаваемую подпись? Это разделяется одним замером. Профиль rand-big отправлял 1200 случайных байт — ровно столько же, сколько рабочий вариант, но без какой-либо подписи.

• rand-big, 1200 байт, подписи нет — не подключается;
• sip-hi, ~150 байт с настоящей подписью SIP — подключается;
• stun-hi, 20 байт с подписью STUN — подключается, 109 Мбит/с вниз, джиттер в покое 6.

Двадцать байт с узнаваемой подписью проходят там, где 1200 случайных не проходят. Значит фильтр читает содержимое первого пакета, а размер ему безразличен.

Адрес сервера при этом не при чём

Отдельная проверка, отвечающая на вопрос «может, просто наш сервер в чёрном списке». С того же телефона, с того же Мегафона: обычный запрос по http:// к нашему адресу не проходит (ERR_TIMED_OUT), а UDP-туннель к тому же самому адресу работает и качает больше ста мегабит. Адрес не в списке — различают протокол и форму трафика.

По IPv6 тот же профиль поднимается без маскировки

Ещё один разделяющий замер: профиль v6-baseline — тот самый, который по IPv4 не подключался вообще, — по IPv6 поднялся за секунду и без всякой маскировки. Отличие ровно одно: до сервера идём по шестой версии протокола. В связке с предыдущим это и объясняет, почему у Маяка первой ступенью идёт именно IPv6.

Сколько получается на Мегафоне, когда соединение поднялось

Замеры в один день, Москва, 4G+:

• с маскировкой на высоком порту — 127 Мбит/с вниз, 27,9 вверх, пинг покоя 71 мс;
• через наш боевой выход в Нидерландах — 96,9 вниз, 35,5 вверх;
• без туннеля вовсе (контроль) — 139,5 вниз, задержка 20 мс.

Падение со 139 до 97 — это цена плеча до Нидерландов и обратно, а не подавление. ⚠️ И сразу оговорка, которая стоила нам целого разбора: на мобильной сети один замер ничего не доказывает. Два соседних прогона на одном туннеле в тот день дали 2,91 и 41,98 Мбит/с — почему тест скорости показывает разное.

Что делать, если на Мегафоне не подключается

1. Не менять порт. Замер выше показывает, что это не лечит.
2. Проверить, поднимается ли на Wi-Fi. Если на Wi-Fi всё встаёт — дело в мобильной сети, а не в телефоне и не в учётной записи.
3. Дать приложению отработать лестницу. Маяк перебирает пути сам и показывает, каким вы подключены — как устроен этот перебор.
4. Убедиться, что соединение действительно поднялось. Значок «подключено» не доказывает ничего — четыре проверки за минуту.