Почему VPN-сервер перестал открываться — шесть причин и как найти свою
Вчера сервер работал, сегодня поддержка завалена сообщениями «не грузит». Причин у этого несколько, и лечатся они по-разному: где-то хватит перезапустить сервис, где-то придётся менять IP, а где-то сервер вообще ни при чём. Разберём шесть частых случаев и то, как отличить их друг от друга.
Сначала: у кого именно не работает
Почти всё решает ответ на один вопрос — у кого не открывается. У всех сразу, у абонентов одного оператора, в одном регионе или только на мобильном интернете. Пока ответа нет, любые действия — гадание.
Проверка со своего телефона на него не отвечает: это один оператор в одном городе. Нужна картина шире — несколько операторов, несколько регионов, мобильный и домашний интернет. Ниже по каждой причине написано, как она выглядит в такой картине.
1. Сервер или сервис на нём упал
Самое простое и самое частое. Процесс Xray или sing-box упал после обновления, закончилось место на диске, хостер перезагрузил машину, истёк сертификат.
Как выглядит. Не открывается ни у кого: ни у операторов, ни с домашнего интернета, ни у вас. Порт не отвечает или отвечает, но соединение сразу закрывается.
Что делать. Зайти на сервер и посмотреть логи сервиса и свободное место. Если сервер на мониторинге, о падении вы узнаете по уведомлению, а не от клиентов.
2. Заблокирован IP или подсеть хостера
Блокируют не только отдельные адреса, но и целые подсети популярных хостеров. Тогда страдает и ваш сервер, хотя вы ничего не меняли.
Как выглядит. Порт не открывается у большинства операторов и в большинстве регионов сразу. При этом сам сервер жив: вы видите его из-за рубежа или с другого сервера.
Что делать. Сменить IP, а если блокируют всю подсеть, то и хостера. Перед переездом проверьте новый адрес: бывает, что он уже под ограничениями.
3. Соединение режут по протоколу или SNI
Порт открыт, пинг идёт, а VPN не подключается. Значит, блокировка срабатывает не на подключение, а позже: по признакам протокола или по SNI, указанному в настройках.
Как выглядит. TCP до порта проходит, а TLS-рукопожатие обрывается. Обычный пинг и проверка порта показывают «всё хорошо», и это сбивает с толку.
Что делать. Проверять не только порт, но и TLS с тем SNI, который реально использует клиент. Если с одним SNI соединение рвётся, а с другим нет, проблема в нём.
4. Белые списки на мобильном интернете
В регионах мобильный интернет всё чаще работает по белому списку: открывается только разрешённое. Если адреса сервера в списке нет, абонент до него не достучится, хотя сервер полностью исправен.
Как выглядит. С домашнего интернета открывается, с мобильного — нет, причём в определённых регионах. Если проверить сервер с белым списком и без, разница видна сразу: без БС открывается, с ним нет.
Что делать. Здесь сервер чинить не нужно. Важно понимать масштаб: в каких регионах и у каких операторов это происходит, чтобы честно ответить клиентам.
5. Проблема у одного оператора
Бывает, что сервер не открывается только у абонентов одного оператора: у МТС, например, всё плохо, а у Билайна и МегаФона нормально.
Как выглядит. В матрице «операторы × округа» гаснет одна строка целиком. Жалобы в поддержке тоже приходят от людей с одним оператором.
Что делать. Записать, с какого момента и в каких округах это началось, и следить: такие ограничения бывают временными. Если строка не загорается несколько дней, стоит думать о другом адресе или маршруте.
6. Ограничения в одном регионе
Обратная ситуация: в одном регионе сервер не открывается ни у кого, а в остальной стране работает.
Как выглядит. В матрице гаснет столбец одного округа, у всех операторов разом. Если проверить сервер из городов с домашнего интернета, проблемный регион видно на карте.
Что делать. Сервер, скорее всего, ни при чём. Полезно понять, затронут только мобильный интернет или домашний тоже: от этого зависит, что отвечать клиентам из этого региона.
Бонус: проблема на стороне клиента
Если не работает у одного-двух человек, а у остальных всё хорошо, стоит проверить и клиентскую сторону: устаревшее приложение, закончившаяся подписка, лимит устройств в панели. Панели, которые привязывают подписку к устройству по HWID, незнакомому клиенту могут вообще ничего не отдать.
Как проверить за пять минут
- Жив ли сервер. Пинг и открытый порт. Не отвечает — причина 1 или 2.
- Проходит ли TLS. Порт открыт, а TLS с вашим SNI обрывается — причина 3.
- Где именно не работает. Проверка с реальных SIM по операторам и округам: строка — оператор, столбец — регион.
- Белый список или нет. Сравните результат с БС и без.
- Регионы с домашнего интернета. FULL GEO проверит сервер из 89 городов за один запуск.
Все пять шагов есть в Просвете: проверка с SIM операторов в 10 округах, пробы ICMP, TCP и TLS-SNI, режимы с белым списком и без, FULL GEO и мониторинг с уведомлениями в Telegram.
Коротко
- Сначала выясните, у кого не работает: у всех, у оператора, в регионе или только на мобильном.
- Не отвечает ни у кого — смотрите на сам сервер. Не отвечает почти везде, но сервер жив — IP или подсеть.
- Порт открыт, а TLS рвётся — дело в протоколе или SNI.
- Без белого списка открывается, с ним нет — сервер исправен, его просто нет в списке.
- Гаснет строка — оператор, гаснет столбец — регион.
Проверить сервер можно в боте @prosvet_bs_bot или на сайте, в кабинете. После регистрации на балансе 500 токенов.