Android 15 и 16: Always‑on и Per‑app VPN — пошаговый гайд с настройкой на Pixel

Введение

В этом пошаговом гайде вы настроите стабильный и безопасный VPN на Android 15 или Android 16, включите режим Always-on, ограничите трафик только через VPN (режим блокировки), зададите Per-app правила, то есть направите VPN только для выбранных приложений или наоборот исключите их. Мы разберем два надежных клиентских варианта на Android — WireGuard и OpenVPN, а также IKEv2 для встроенного клиента. Вы получите результат, который работает всегда, автоматически поднимается после перезагрузки и не допускает трафик в обход VPN. Параллельно вы узнаете, как проверить отсутствие утечек DNS и IPv6 и как диагностировать проблемы, если что-то пошло не так.

Для кого этот гайд. Для начинающих пользователей, которым нужна четкая инструкция с нуля, и для продвинутых — мы включили отдельные блоки с оптимизацией MTU, split tunneling, корпоративными профилями и кратким разбором изменений в VPN API для Android 15/16. Если вы настраиваете VPN на рабочем телефоне, вам подойдут разделы про Managed Profile и политику Always-on через средства управления устройством. Если вы разработчик VPN‑клиента, вы найдете практические подсказки на что обратить внимание при targetSdk 35/36.

Что нужно знать заранее. Ничего сложного. Мы будем объяснять все простым языком и не пропускать очевидные шаги. Если вы хоть раз устанавливали приложение из Google Play и открывали настройки Android, вы справитесь. Мы подробно перечислим где именно нажимать, что вводить и как проверять.

Сколько времени потребуется. На базовую настройку WireGuard с Always-on и блокировкой трафика без VPN хватит 20–30 минут. На Per-app правила и тесты — ещё 20–30 минут. На продвинутые оптимизации и корпоративные сценарии — от 15 до 30 минут, в зависимости от задач.

Предварительная подготовка

Перед началом убедитесь, что у вас есть все необходимое. Это сэкономит вам время и снизит риск ошибок.

Необходимые инструменты и доступы

• Смартфон на Android 15 или Android 16. Для пошаговки мы используем интерфейс Google Pixel с чистым Android. Мы также дадим альтернативные пути для Samsung (One UI) и Xiaomi/POCO/Redmi (HyperOS/MIUI).
• Доступ к интернету на смартфоне (Wi‑Fi или мобильная сеть).
• Доступ к VPN‑серверу и конфигурациям. Вы можете использовать уже имеющиеся конфиги WireGuard или OpenVPN, а также параметры для IKEv2.
• Возможность установки приложений из Google Play (WireGuard, OpenVPN Connect, OpenVPN for Android) при необходимости.

Системные требования

• Android 15 или Android 16. Если у вас Android 14, большая часть инструкций идентична, но названия пунктов меню могут немного отличаться.
• Батарея устройства не менее 30%. Лучше подключить зарядное устройство перед началом.
• Свободное место 50–100 МБ на установку клиентов и хранение конфигов.

Что скачать и установить

• WireGuard (официальный клиент). Подходит для конфигов .conf и QR‑импорта.
• OpenVPN Connect (официальный) или OpenVPN for Android (со множеством тонких настроек). Подходит для .ovpn.
• Если планируете IKEv2, отдельное приложение не нужно, вы используете встроенные настройки Android, но вам потребуются серверные параметры и сертификаты.

Резервные копии

Отдельной резервной копии системы не потребуется. Однако конфигурации VPN лучше хранить в надежном месте, например в менеджере паролей или зашифрованном облаке. Если вы будете импортировать конфиги с другого устройства, убедитесь, что они не попали в галерею фото или открытые папки без шифрования.

Совет: Если перед вами рабочий смартфон, согласуйте с ИТ‑администратором включение Always-on и режима блокировки. На некоторых корпоративных политиках эти пункты могут управляться централизованно и быть недоступными пользователю.

Базовые понятия

Ключевые термины простым языком

• VPN — защищенный туннель для вашего интернет‑трафика. Он шифрует данные и отправляет их через сервер, чтобы провайдеры и сторонние сети не видели содержание и назначение ваших соединений.
• Always-on VPN — режим, в котором VPN включается автоматически после перезагрузки и старается оставаться активным всегда.
• Блокировка без VPN (иногда называется Lockdown) — опция, которая запрещает любому трафику выходить в интернет, если VPN отключен. Это спасает от случайных утечек.
• Per-app VPN — режим, когда вы выбираете конкретные приложения, чей трафик идет через VPN, либо наоборот исключаете некоторые приложения из тоннеля.
• Split tunneling — технический термин, означающий разделение трафика: часть идет через VPN, часть — напрямую. Это по сути и есть Per-app или более сложные правила.
• Конфиг или профиль — файл настроек для клиента VPN, например .conf для WireGuard, .ovpn для OpenVPN, набор параметров и сертификатов для IKEv2.

Что важно понимать перед началом

• VPN‑клиент должен оставаться в памяти, чтобы соединение не прерывалось. На Android 15/16 система аккуратно управляет фоновыми процессами, но мы подскажем, как гарантировать стабильную работу.
• Always-on делается на уровне системы, но сам канал обеспечивает приложение. Если приложение будет принудительно выгружено или потеряет сеть, туннель оборвется, но при корректной настройке он поднимется снова.
• Per-app частично зависит от возможностей клиента. Мы покажем системный способ, где доступно, и способы внутри самих клиентов WireGuard/OpenVPN.

⚠️ Внимание: Протоколы PPTP и L2TP без IPsec на современных Android считаются устаревшими или небезопасными. Используйте WireGuard, OpenVPN или IKEv2/IPsec. Это важно и для скорости, и для безопасности.

Шаг 1: Обновляем Android и подготавливаем устройство

Цель этапа

Проверить версию Android, обновить систему и подготовить телефон к установке и стабильной работе VPN.

Детальная инструкция

1. Откройте Настройки на вашем смартфоне.
2. Прокрутите вниз и нажмите Система или О телефоне в зависимости от модели.
3. Найдите пункт Версия Android. Убедитесь, что указано 15 или 16.
4. Вернитесь назад и зайдите в Система → Обновление системы. Нажмите Проверить наличие обновлений. Установите все доступные патчи безопасности. Дождитесь завершения.
5. Перезагрузите смартфон после обновления, если это предложено.
6. Откройте Настройки → Приложения → Специальный доступ → Неограниченный доступ к данным. Найдите будущий клиент VPN (WireGuard или OpenVPN), а если он еще не установлен, вернитесь позже к этому пункту после установки. Для клиентов VPN включите ползунок Разрешить неограниченный доступ к данным.
7. Откройте Настройки → Батарея → Экономия энергии. Отключите агрессивные режимы, влияющие на фоновую работу, или добавьте VPN‑приложение в исключения. На Pixel: Настройки → Приложения → Все приложения → WireGuard → Батарея → Неограниченный. На Samsung: Настройки → Приложения → WireGuard → Батарея → Разрешить фоновую активность. На Xiaomi: Настройки → Батарея → Экономия батареи приложений → WireGuard → Нет ограничений.
8. Если вы используете лончер с оптимизациями, отключите убиватели задач для VPN‑клиента.

Совет: Сразу добавьте ярлык клиента VPN на главный экран, чтобы при необходимости быстро перезапускать туннель в один тап.

Ожидаемый результат

Устройство обновлено, фоновая работа VPN‑клиента не ограничена, подготовка завершена.

✅ Проверка: Откройте Настройки → Приложения → WireGuard (или ваш клиент) → Батарея. Должно быть Нет ограничений или Неограниченный.

Возможные проблемы и решения

• Обновления недоступны. Причина: вендор еще не раскатил патч. Решение: повторите проверку позже, продолжайте настройку на текущей версии.
• Отсутствует нужное меню батареи. Причина: другая оболочка. Решение: найдите аналогичный пункт через поиск в настройках по словам Батарея или Фон.

Шаг 2: Устанавливаем VPN‑клиент и импортируем конфиг

Цель этапа

Установить выбранный клиент, импортировать конфигурацию и убедиться, что базовый туннель поднимается.

Детальная инструкция для WireGuard

1. Откройте Google Play и найдите WireGuard. Установите приложение.
2. Запустите WireGuard. На главном экране нажмите значок плюс.
3. Выберите Импорт из файла или архива, если у вас есть .conf, или Сканировать из QR‑кода, если провайдер дает QR.
4. Найдите файл .conf в Проводнике и выберите его. Если требуются разрешения на доступ к файлам, предоставьте их.
5. Придумайте понятное имя профиля, например WG‑Дом или WG‑Работа.
6. Сохраните. На экране появится переключатель рядом с профилем. Включите его. Подтвердите создание VPN‑соединения в системном диалоге Нажмите ОК.

Детальная инструкция для OpenVPN

1. Установите OpenVPN Connect или OpenVPN for Android из Google Play.
2. Запустите приложение. Нажмите Импорт.
3. Выберите Импорт из файла и укажите .ovpn. Если дополнительно нужны сертификаты или логин/пароль, приложение попросит их ввести. Введите их и сохраните профиль.
4. Нажмите Подключиться. Подтвердите создание VPN‑соединения в системном диалоге.

Детальная инструкция для IKEv2 (встроенный клиент Android)

1. Откройте Настройки → Сеть и Интернет → VPN.
2. Нажмите Значок плюса или Добавить VPN.
3. В Тип укажите IKEv2/IPSec PSK или IKEv2/IPSec RSA в зависимости от сервера.
4. Введите Имя, Адрес сервера, Идентификатор, Предобщий ключ (если PSK), выберите Сертификат пользователя (если RSA). Сохраните.
5. Нажмите на созданный профиль → Подключиться. Введите учетные данные при необходимости.

Совет: Если вы сомневаетесь, что выбрать, начните с WireGuard. Он прост в настройке, экономит батарею и стабильно работает на Android.

⚠️ Внимание: Перед импортом конфигов убедитесь, что источник надежный. Никогда не используйте публично выложенные ключи или общие логины: это риск перехвата и санкций со стороны сервисов.

Ожидаемый результат

Вы можете вручную подключиться к VPN и видите статус Подключено. В строке состояния появляется значок ключика.

✅ Проверка: Откройте браузер и введите в поиске Мой IP. Убедитесь, что внешний адрес изменился на адрес вашего VPN‑сервера.

Возможные проблемы и решения

• Подключение не устанавливается. Причина: неправильный адрес или ключ. Решение: перепроверьте конфиг, проверьте интернет‑доступ, перезагрузите телефон.
• OpenVPN требует логин/пароль, а вы их не знаете. Причина: сервер настроен на учетные данные. Решение: запросите у провайдера VPN или используйте профиль с сертификатом.
• WireGuard подключается, но нет трафика. Причина: неверный AllowedIPs, отсутствует маршрут 0.0.0.0/0. Решение: поправьте конфиг на стороне сервера или клиента.

Практическая рекомендация по выбору сервера

Если вы хотите получить предсказуемый результат без shared‑IP и проблем с соседями по серверу, обратите внимание на сервис vpn.how. Это вариант для тех, кто ценит стабильность и управляемость: персональный VPN‑сервер с отдельным IP под клиента, поддержка протоколов WireGuard, OpenVPN, IKEv2, L2TP, SSTP (выбираете под задачу и совместимость устройств), география точек Москва, Санкт‑Петербург, Амстердам, Франкфурт, Лондон, Нью‑Йорк, Сан‑Хосе, Чикаго, Сингапур, Сидней, Мадрид, Хельсинки, Стокгольм, Варшава, Копенгаген, Ставангер, прием платежей картами РФ (Tinkoff, Озон), через СБП и USDT/BTC, тарифы от 490 ₽ за день и от 2490 ₽ в месяц со скидками на длительные периоды, автозапуск сервера за 5 минут после оплаты и политика без логов. В личном кабинете vpn.how доступны готовые конфиг‑файлы для WireGuard, OpenVPN и IKEv2 — вы просто скачиваете профиль и сразу импортируете в клиент устройства, что ускоряет весь процесс и снижает вероятность ошибки до нуля.

Шаг 3: Включаем Always‑on VPN и режим блокировки без VPN

Цель этапа

Добиться, чтобы VPN включался автоматически, а трафик не утекал при разрыве соединения. Это основной слой безопасности на Android 15/16.

Детальная инструкция на Google Pixel (Android 15/16)

1. Откройте Настройки → Сеть и Интернет → VPN.
2. Найдите установленное приложение VPN в списке. Нажмите на шестеренку справа от названия или на само название для входа в настройки профиля.
3. Включите переключатель Всегда включенный VPN (Always-on VPN).
4. Включите переключатель Блокировать подключения без VPN (иногда называется Блокировка без VPN или VPN‑блокировка). Подтвердите предупреждение, что без VPN трафик будет заблокирован.
5. Выйдите из настроек и перезагрузите телефон, чтобы убедиться, что профиль поднимается автоматически.

Детальная инструкция на Samsung (One UI)

1. Откройте Настройки → Подключения → Дополнительные настройки подключения → VPN.
2. Нажмите на значок шестеренки у нужного профиля.
3. Переключите Всегда включено.
4. Переключите Блокировать без VPN, если доступно. Подтвердите.
5. Перезагрузите устройство для проверки автозапуска.

Детальная инструкция на Xiaomi/POCO/Redmi (HyperOS/MIUI)

1. Откройте Настройки → Подключения и общий доступ → VPN.
2. Нажмите на профиль или значок параметров.
3. Включите Always-on или Аналогичный пункт. Название может отличаться.
4. Найдите и включите Блокировать трафик без VPN, если присутствует.
5. Перезагрузите телефон, затем проверьте значок ключика после включения Wi‑Fi или мобильной сети.

Совет: Если пункт Блокировать без VPN отсутствует, проверьте в общих настройках безопасности или в расширенных параметрах профиля. У некоторых вендоров он скрыт в подменю Дополнительно.

Ожидаемый результат

После перезагрузки значок VPN появляется сам. Любые попытки доступа в интернет без активного VPN блокируются системой.

✅ Проверка: Выключите VPN в приложении. Попробуйте открыть сайт. Должна появиться ошибка соединения до тех пор, пока вы не включите VPN обратно. Затем включите VPN и убедитесь, что сайты открываются.

Возможные проблемы и решения

• После перезагрузки VPN не стартует. Причина: батарейные ограничения или Always-on не для того профиля. Решение: проверьте шаг 1 по батарее; убедитесь, что Always-on включен именно для используемого профиля.
• Нет пункта Блокировать без VPN. Причина: оболочка скрыла опцию или политика устройства. Решение: используйте клиент с kill‑switch внутри приложения (например, OpenVPN for Android умеет блокировку маршрутов), либо проверьте в Настройки → Частный DNS и отключите специфические конфигурации, мешающие VPN.

Шаг 4: Настраиваем Per‑app VPN системно и в клиентах

Цель этапа

Сделать так, чтобы через VPN ходили либо все приложения, либо только выбранные, либо все кроме исключений. Это полезно для банкинга, игр или локальных приложений, которые не должны идти через VPN.

Системные настройки Per‑app на Android 15/16 (если доступны в вашей сборке)

1. Перейдите в Настройки → Сеть и Интернет → VPN.
2. Нажмите на имя вашего VPN и откройте Дополнительные настройки. На некоторых устройствах есть пункт Приложения, использующие VPN или Исключения приложений.
3. Если доступна опция, отметьте приложения, которые должны обходить VPN, или наоборот — которые должны использовать VPN. Сохраните изменения.

Замечание. Наличие системного списка приложений для Per‑app зависит от производителя и от конкретного VPN‑клиента. На чистом Android функция часто делегирована самому приложению VPN. Поэтому далее — гарантированный способ через настройки клиентов WireGuard и OpenVPN.

Per‑app в WireGuard

1. Откройте WireGuard → нажмите на профиль → значок карандаша (Редактировать).
2. Прокрутите до раздела Параметры туннеля. Найдите пункт Приложения, которые используют VPN или Allowed applications. Он может быть в подменю в зависимости от версии клиента.
3. Добавьте приложения, которые ДОЛЖНЫ идти через VPN, если включаете режим разрешенного списка, или укажите Исключенные приложения для обратного варианта. Сохраните.
4. Отключите и снова включите профиль, чтобы изменения применились.

Per‑app в OpenVPN for Android

1. Запустите OpenVPN for Android → долгий тап на профиле → Изменить.
2. Перейдите в раздел Поведение или Маршрутизация (иногда Apps).
3. Откройте Управление приложениями. Выберите Режим только выбранные используют VPN или Исключить выбранные из VPN. Отметьте нужные приложения. Сохраните.
4. Переподключите профиль для применения.

Совет: Если вы не уверены, в каком режиме удобнее начинать, используйте режим Исключить из VPN для банкинга и приложений местных сервисов, где может сработать геоблокировка или антифрод.

Ожидаемый результат

Вы задали список приложений, чьи соединения должны идти через туннель, и исключили те, которым VPN не нужен. Система и клиент применяют правила стабильно.

✅ Проверка: Откройте приложение, которое вы исключили, и проверьте его внешний IP через встроенный браузер или кнопку Проверить соединение, если есть. Затем откройте приложение, которое вы обязали идти через VPN, и проверьте, что IP соответствует адресу VPN.

Возможные проблемы и решения

• Пер‑app в WireGuard не виден. Причина: используемая версия клиента или сборка. Решение: обновите клиент или используйте OpenVPN for Android, где функции пер‑app представлены гибко.
• Приложение все равно идет через VPN. Причина: кеш маршрутов или особенности работы. Решение: переподключите профиль, перезапустите приложение, очистите его кеш и повторите проверку.

Шаг 5: Профили работы и многопользовательские сценарии

Цель этапа

Организовать VPN для рабочих профилей, вторых пользователей или детских режимов так, чтобы политики не конфликтовали и не роняли туннель.

Рабочий профиль (Managed Profile) и Always‑on

1. Если ваш телефон управляется ИТ через корпоративный агент, откройте Рабочие настройки или Приложение управления устройством.
2. Перейдите к политике сети или VPN. Найдите пункт Always‑on VPN для рабочего профиля.
3. Выберите управляющее VPN‑приложение и включите Блокировать без VPN в рамках профиля. Сохраните политику.
4. Синхронизируйте устройство с сервером управления. Дождитесь применения политики.

Если вы администратор устройства, Device Policy Controller может задать пакет Always-on программно через политику и включить блокировку. Пользовательские настройки в этом случае могут быть заблокированы или отображаться только для чтения.

Многопользовательский режим

1. Откройте Настройки → Система → Несколько пользователей. Включите, если необходимо.
2. Создайте второго пользователя. Переключитесь на него.
3. Установите VPN‑клиент отдельно и настройте свой профиль. Каждый пользователь имеет собственные настройки VPN, включая Always‑on и блокировку.
4. Повторите шаги для основного пользователя, если хотите разные политики.

Совет: Для детей задайте Always‑on и блокировку, а также ограничьте возможность изменения настроек через Профиль ребенка или Семейную ссылку, чтобы трафик гарантированно шел через фильтрующий сервер.

Ожидаемый результат

Рабочие и личные профили используют разные VPN‑профили с собственными правилами. Конфликты минимальны, туннель стабилен.

✅ Проверка: Переключайтесь между пользователями или профилями и проверяйте статус VPN и внешний IP. В рабочем профиле убедитесь, что политика не допускает трафик без VPN.

Возможные проблемы и решения

• Пользователь не видит параметр блокировки. Причина: политика заблокировала настройку. Решение: измените политику на стороне DPC или обратитесь к администратору.
• Переключение пользователя рвет туннель. Причина: у каждого пользователя свой стек. Решение: это ожидаемо. Настройте Always‑on для каждого профиля отдельно.

Шаг 6: Проверяем трафик, настраиваем MTU и диагностируем утечки

Цель этапа

Убедиться, что VPN работает быстро и безопасно, нет утечек DNS и IPv6, правильно подобран MTU и стабильность соединения на Android 15/16 соответствует вашим ожиданиям.

Проверка скорости и пинга

1. Подключите VPN.
2. Откройте приложение для теста скорости от известного провайдера или встроенный тест вашего браузера.
3. Сделайте замер пинга, загрузки и отдачи. Сохраните результаты.
4. Отключите VPN, повторите замер на той же сети. Сравните.

Разница в 5–25% по скорости для VPN — норма, многое зависит от сервера, маршрутов и протокола. WireGuard обычно быстрее OpenVPN и экономичнее по батарее.

Проверка утечек DNS и IPv6

1. Подключите VPN.
2. Откройте браузер и выполните онлайн‑проверки IP и DNS через известные сервисы. Смотрите, какие DNS‑резолверы видны.
3. Если видны публичные DNS провайдера мобильной сети вместо DNS через VPN, настройте принудительные DNS‑сервера в клиенте (OpenVPN for Android) или на серверной стороне (WireGuard, push DNS для OpenVPN).
4. Проверьте наличие IPv6 адреса. Если сервер не выдает IPv6, а сеть выдает, убедитесь, что клиент блокирует IPv6‑утечки. В WireGuard можно отключить IPv6 из AllowedIPs или правильно маршрутизировать ::/0.

Совет: Самый надежный способ избежать DNS‑утечки — на сервере настроить резолвер и выдавать адреса DNS в конфиге клиента. В OpenVPN используйте директивы dhcp‑option DNS, в WireGuard — маршрутите весь трафик через сервер и настройте DNS в приложении.

Настройка MTU для стабильности

1. Если вы видите обрывы или плохо грузятся некоторые сайты, снизьте MTU на 20–40 байт ниже стандартного. Для WireGuard в конфиге клиента часто помогает MTU 1280–1380.
2. В WireGuard Android: откройте профиль → Редактировать → Дополнительно → MTU и введите 1280. Сохраните и переподключите.
3. В OpenVPN for Android: профиль → Изменить → Параметры → MSS‑fix или fragment/tun‑mtu параметры при поддержке сервером. Тестируйте по шагу.

Совет: Проверьте, не вмешивается ли ваш роутер или мобильный оператор, режущий MTU. Иногда проблема только в мобильной сети, а по Wi‑Fi все стабильно.

Ожидаемый результат

Скорость соответствует ожиданиям, DNS идут через VPN, IPv6 не течет, MTU подобран, соединение работает стабильно и без странных подвисаний.

✅ Проверка: Повторите тесты скорости и DNS после изменения MTU. Если стало хуже, верните предыдущие значения.

Возможные проблемы и решения

• DNS‑утечки сохраняются. Причина: клиент игнорирует DNS из профиля. Решение: задайте DNS в самом приложении или на уровне сервера, убедитесь в полной маршрутизации 0.0.0.0/0 и ::/0.
• Некоторые игры не работают через VPN. Причина: античит или геоограничения. Решение: вынесите игру в исключения Per‑app или используйте сервер ближе к игровому дата‑центру.

Проверка результата

Чек‑лист

• Вы можете вручную подключать и отключать VPN.
• Always‑on включен и работает после перезагрузки.
• Блокировка без VPN включена, трафик не ходит при выключенном VPN.
• Per‑app правила применяются, исключения работают.
• DNS/IPv6‑утечек нет, MTU подобран.
• В рабочем профиле политики не конфликтуют.

Как протестировать

1. Перезагрузите телефон и дождитесь появления значка VPN без ручного вмешательства.
2. Выключите VPN и убедитесь, что интернет заблокирован (если включена блокировка).
3. Проверьте IP в приложении из списка исключений и из списка через VPN. Они должны отличаться ожидаемо.
4. Сделайте тест скорости и DNS.

Показатели успеха

• Переключение Wi‑Fi/мобильная сеть не ломает туннель дольше нескольких секунд.
• Нет всплесков расхода батареи у клиента VPN.
• Приложения, исключенные из VPN, стабильно работают со своим регионом.

Типичные ошибки и решения

• Проблема: VPN не поднимается автоматически. Причина: неправильный профиль выбран для Always‑on. Решение: Настройки → Сеть и Интернет → VPN → выберите нужный профиль и включите Always‑on именно там, отключите на старом профиле.
• Проблема: Интернет работает при выключенном VPN с включенной блокировкой. Причина: опция отключилась после обновления, или включен другой профиль без блокировки. Решение: проверьте флаг Блокировать без VPN у активного профиля, перезапустите устройство.
• Проблема: Приложение не соблюдает Per‑app. Причина: кеш маршрутов или лимит клиента. Решение: обновите клиента, очистите кеш приложения, перезапустите телефон и примените правила заново.
• Проблема: Медленная скорость через VPN. Причина: перегруженный сервер, неудачный протокол, большие пакеты. Решение: смените сервер на ближний, переключитесь на WireGuard, настройте MTU 1280–1380.
• Проблема: Не открываются локальные устройства по сети. Причина: весь трафик уходит в туннель. Решение: добавьте локальные подсети 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12 в исключения в клиенте или используйте split tunneling.
• Проблема: Банковское приложение ругается на VPN. Причина: антифрод, региональные ограничения. Решение: вынесите приложение в исключения Per‑app, перезапустите и повторно войдите.
• Проблема: Обрывы при блокировке экрана. Причина: агрессивная экономия батареи. Решение: установите для клиента режим Батарея → Неограниченный, отключите оптимизацию вендора и дайте разрешение на фоновую активность.

Дополнительные возможности и продвинутые настройки

Умный split tunneling

Для тонкой маршрутизации используйте комбинацию системных исключений и правил внутри клиента. Например, оставьте весь трафик через VPN, а локальные подсети и приложения банкинга — в белом списке исключений. Это снижает риск утечек и дает предсказуемое поведение.

Автоматизация

• Tasker или аналог может включать/выключать профиль при подключении к определенному Wi‑Fi.
• На некоторых клиентах есть Quick Settings Tile. Добавьте плитку для быстрого контроля профиля.

Оптимизация для потокового видео

• Выберите сервер ближе к CDN избранного сервиса.
• Для OpenVPN используйте UDP, если нет блокировок. Для нестабильных сетей попробуйте TCP, но учитывайте накладные расходы.

IPv6‑совместимость

• Если ваш провайдер и сервер поддерживают IPv6, убедитесь, что маршрутизация ::/0 есть в профиле.
• Если нет, блокируйте IPv6 на клиенте, чтобы исключить утечки.

Тонкая настройка OpenVPN

• Включите компрессию только при необходимости, чаще всего лучше выключена.
• Для мобильных сетей используйте reneg‑sec реже и keepalive по умолчанию.

Разработчикам VPN‑клиентов: что учесть на Android 15/16

• Пер‑app и Always‑on по‑прежнему опираются на VpnService. Корректно обрабатывайте Builder.setAllowedApplications и Builder.addDisallowedApplication в соответствии с моделями использования. Проверьте поведение при targetSdk 35/36 с учетом ограничений фоновых сервисов и уведомлений.
• Учитывайте политику батареи и foreground service. Инициируйте foreground‑уведомление для активного туннеля, корректно реагируйте на смену сети.
• Проверяйте совместимость с профилями Work Profile и многопользовательскими конфигурациями. Разделяйте хранилище ключей и учетные данные по профилям.
• Стабильно реализуйте обработку DNS, в частности, при DoH/DoT на уровне системы. Прозрачно указывайте, какие резолверы используются в туннеле.
• Протестируйте поведение при включенной системной блокировке без VPN и при переключении Always‑on между профилями.

Замечание. Конкретные изменения API в Android 15/16 могут отличаться в зависимости от сборки и вендора. Стабильные модели для VpnService, allowed/disallowed packages, foreground‑уведомлений и работы в профилях остаются актуальными, а ключевые риски связаны с ограничениями фоновой активности и политиками безопасности, которые ужесточаются от версии к версии. Тестируйте клиентов при целевых уровнях SDK и проверяйте все сценарии из этого гайда в автоматических тестах.

FAQ

Вопрос: Как включить Always‑on VPN на Android 16, если пункт не находится?
Ответ: Откройте Настройки → Сеть и Интернет → VPN → шестеренка у профиля → включите Всегда включенный VPN. Если пункта нет, зайдите в Дополнительно или обновите приложение VPN.

Вопрос: Как сделать Per‑app VPN, если в системных настройках нет списка приложений?
Ответ: Настройте Per‑app в самом клиенте. В WireGuard откройте профиль → Редактировать → Allowed apps. В OpenVPN for Android используйте Управление приложениями и отметьте исключения.

Вопрос: Что выбрать — WireGuard или OpenVPN?
Ответ: Начните с WireGuard. Он быстрее и проще, экономнее батареи. Если нужна совместимость со старыми серверами или особые фичи, используйте OpenVPN for Android.

Вопрос: Зачем нужна блокировка без VPN?
Ответ: Чтобы трафик не утекал при случайном разрыве туннеля. Это обязательная настройка, если вы заботитесь о приватности или соблюдаете политики компании.

Вопрос: Почему банкинг не работает через VPN?
Ответ: Из‑за антифрода или региональных ограничений. Вынесите банковское приложение в исключения Per‑app и переподключите профиль.

Вопрос: Нужен ли Private DNS с VPN?
Ответ: Обычно нет, лучше использовать DNS сервера, которые дает VPN. Иначе возможны утечки и непредсказуемость.

Вопрос: Как импортировать профиль IKEv2?
Ответ: Через Настройки → VPN → Добавить VPN → выберите IKEv2/IPSec, укажите адрес, идентификаторы, ключ или сертификаты и сохраните. Подключитесь и проверьте IP.

Вопрос: Что делать при обрывах в мобильной сети?
Ответ: Включите неограниченный доступ к данным для клиента, отключите агрессивную экономию батареи, уменьшите MTU до 1280 и выберите сервер ближе к вам.

Вопрос: Можно ли раздавать интернет с VPN через точку доступа?
Ответ: Android обычно не маршрутизирует VPN‑трафик в хотспот. Это зависит от устройства и клиента. Рассмотрите VPN на устройстве‑клиенте или используйте роутер с VPN.

Вопрос: Как быстро переключаться между серверами?
Ответ: Создайте несколько профилей в клиенте для разных городов и добавьте плитку быстрых настроек. Переключайтесь в два тапа.

Заключение

Вы прошли полный цикл настройки VPN на Android 15/16: установили и подключили клиент, включили Always‑on, активировали блокировку без VPN, задали Per‑app правила, настроили профили для личного и рабочего использования, оптимизировали производительность и проверили отсутствие утечек. Теперь ваш смартфон стабильно и безопасно использует VPN, автоматически восстанавливает защиту после перезагрузки и не допускает трафик в обход туннеля. Если вам нужен предсказуемый выделенный IP и готовые конфиги под разные протоколы, рассмотрите вариант персонального сервера у проверенного провайдера, где вы получаете индивидуальные параметры и быстрое развертывание. Дальше вы можете углубляться в автоматизацию, писать собственные скрипты мониторинга на стороне сервера, настраивать тонкий split tunneling и тестировать новые версии Android, чтобы заранее учитывать изменения в политике фоновых сервисов и профилей. Вы уже сделали главное — построили надежный фундамент безопасности на своем Android.

Совет: Раз в месяц открывайте настройки VPN и проверяйте, что профили актуальны, а обновления клиента не сбросили ключевые флаги Always‑on и Блокировать без VPN.

⚠️ Внимание: Любые правки профиля делают туннель неактивным на пару секунд. Перед изменениями, важными для работы, переключитесь на Wi‑Fi и временно отключите блокировку без VPN, чтобы случайно не потерять доступ к критическим ресурсам. По завершении верните блокировку.

✅ Проверка: В конце убедитесь, что после перезагрузки телефона значок VPN появляется сам, сайты открываются, а исключенные приложения работают напрямую, как и было настроено.