Меню документации

Начало

Основы прокси

API для прокси

Кеш ответов

Litport API

MCP-сервер

VPN-доступ

VPN-профиль — это идентификатор WireGuard для одного устройства, привязанный к одному из ваших токенов прокси. Всё, что отправляет устройство, выходит через этот прокси. Позже можно привязать профиль к другому токену, не сканируя новый QR-код и не меняя конфигурацию на устройстве.

Создайте профиль в разделе Мой аккаунт → VPN-профили или нажмите Использовать с VPN-профилем у прокси. Используйте один профиль на одно устройство.

Создание профиля#

  1. Нажмите Создать профиль или нажмите Использовать с VPN-профилем у прокси и выберите Создать новый профиль.
  2. Назовите профиль и выберите устройство.
  3. Выберите токен для привязки. Для токена с оплатой за ГБ также выберите локацию и срок сохранения IP.
  4. Нажмите Показать конфигурацию. На телефоне отсканируйте QR-код. На компьютере скачайте файл. В Linux скопируйте фрагмент.
  5. Выполните шаги из раздела для вашего устройства ниже.
  6. Проверьте настройку на странице проверки.

Выберите сервер: США, Европа или Сингапур. Обычно быстрее всего работает сервер, ближайший к устройству. Если позже сменить сервер, устройству понадобится новая конфигурация: отсканируйте новый QR-код или скачайте файл снова.

Профиль без привязанного токена или с просроченным или отключённым токеном ничего не отправляет. Его трафик блокируется и никогда не уходит мимо туннеля. Выберите токен, чтобы запустить профиль снова.

Поддерживаемые варианты настройки#

Устройство Приложение Kill switch Проверено на утечки
iOS Официальное приложение WireGuard On-Demand переподключает туннель, но это не kill switch Нет
Android Официальное приложение WireGuard Always-on VPN и Block connections without VPN Да
Windows Официальное приложение WireGuard Block untunneled traffic (kill-switch) Да
macOS Официальное приложение WireGuard On-Demand переподключает туннель, но это не kill switch Нет
Linux wg-quick Фрагмент для брандмауэра Да, с фрагментом. Без него: поддерживается, не проверено на утечки
Роутер Клиент WireGuard в GL.iNet или OpenWrt Kill switch роутера Да

«Проверено на утечки» означает, что мы записали сетевой трафик устройства при запуске, переходе в спящий режим и выходе из него, переключении с Wi-Fi на мобильную сеть, перезапуске шлюза и сбое точки выхода и не нашли трафика вне туннеля. Отсутствие утечек DNS и IP мы обещаем только для вариантов с пометкой «Да». Остальные работают, но временами трафик может уходить с устройства мимо туннеля.

iOS#

  1. Установите WireGuard из App Store.
  2. В Litport откройте профиль и нажмите Показать конфигурацию.
  3. В приложении WireGuard нажмите +, затем Create from QR code. Отсканируйте код, назовите туннель и разрешите добавить конфигурацию VPN.
  4. Включите туннель.
  5. По желанию: откройте туннель, нажмите Edit и включите On-Demand Activation для сетей, которыми вы пользуетесь.

Поддерживается, но не проверено на утечки. On-Demand заново поднимает туннель при смене сети. Это не kill switch: пока туннель переподключается, трафик может уходить с устройства мимо туннеля.

Android#

  1. Установите WireGuard из Google Play.
  2. В Litport откройте профиль и нажмите Показать конфигурацию.
  3. В приложении WireGuard нажмите +, затем Scan from QR code. Отсканируйте код, назовите туннель и разрешите запрос VPN.
  4. Включите туннель.
  5. Откройте системные настройки VPN в Android, нажмите значок шестерёнки рядом с WireGuard и включите Always-on VPN и Block connections without VPN.
  6. Откройте настройку Private DNS в Android и выберите Automatic или Off. Вариант Private DNS provider hostname ломает DNS в туннеле.

Поддерживается и проверено на утечки при выполнении шагов 5 и 6.

Windows#

  1. Установите WireGuard с wireguard.com/install.
  2. В Litport откройте профиль, нажмите Показать конфигурацию и скачайте файл.
  3. В WireGuard нажмите Import tunnel(s) from file и выберите файл.
  4. Выберите туннель, нажмите Edit и отметьте Block untunneled traffic (kill-switch). Этот флажок появляется, потому что конфигурация направляет весь трафик через туннель.
  5. Нажмите Activate.

Поддерживается и проверено на утечки при включённом kill switch.

macOS#

  1. Установите WireGuard из Mac App Store.
  2. В Litport откройте профиль, нажмите Показать конфигурацию и скачайте файл.
  3. В WireGuard выберите Import tunnel(s) from file и укажите файл.
  4. Нажмите Activate.
  5. По желанию: измените туннель и включите On-Demand для сетей, которыми вы пользуетесь.

Поддерживается, но не проверено на утечки. On-Demand заново поднимает туннель при смене сети. Это не kill switch: пока туннель переподключается, трафик может уходить с Mac мимо туннеля.

Linux#

  1. Установите WireGuard и resolvconf. В Debian и Ubuntu: sudo apt install wireguard resolvconf. resolvconf нужен, чтобы wg-quick мог задать DNS-сервер.
  2. В Litport откройте профиль, нажмите Показать конфигурацию и сохраните конфигурацию как /etc/wireguard/litport-vpn.conf.
  3. Запустите туннель:
sudo wg-quick up litport-vpn

Без фрагмента для брандмауэра поддерживается, но не проверено на утечки: когда туннель выключен, трафик может уходить мимо туннеля.

Для kill switch добавьте эти две строки в раздел [Interface] конфигурации. Они взяты из справочной страницы wg-quick(8). Они отклоняют весь исходящий трафик, который идёт не через туннель, включая вашу локальную сеть, и убирают правило, когда туннель останавливается.

PostUp = iptables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT && ip6tables -I OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT
PreDown = iptables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT && ip6tables -D OUTPUT ! -o %i -m mark ! --mark $(wg show %i fwmark) -m addrtype ! --dst-type LOCAL -j REJECT

Проверено на утечки с фрагментом. Остановите туннель командой sudo wg-quick down litport-vpn.

Роутер#

Эти шаги подходят для роутеров GL.iNet и OpenWrt. Все устройства за роутером работают через профиль.

  1. В Litport откройте профиль, нажмите Показать конфигурацию и скачайте файл.
  2. GL.iNet: откройте панель администратора роутера, перейдите в VPN → WireGuard Client и добавьте скачанный файл как новую конфигурацию. Подключите её.
  3. OpenWrt: в LuCI перейдите в Network → Interfaces, нажмите Add new interface, выберите WireGuard VPN и вставьте файл через Load configuration.
  4. Включите kill switch роутера. В GL.iNet это Block Non-VPN Traffic в настройках VPN. В OpenWrt разрешите пересылку из зоны LAN только в зону VPN и никогда в WAN.

Поддерживается и проверено на утечки при включённом kill switch.

Сеть и DNS#

  • Порт. Конфигурация использует UDP-порт 51830. Если сеть его блокирует, выберите порт 443 через Показать конфигурацию и импортируйте конфигурацию заново. WireGuard работает по UDP, поэтому сеть, которая блокирует весь UDP, блокирует и VPN.
  • MTU. Конфигурация сама задаёт MTU 1280. Не меняйте его.
  • IPv6. Внутри туннеля IPv6 отклоняется, поэтому приложения используют IPv4.
  • DNS. DNS остаётся внутри туннеля. Litport сам не разрешает имена: они разрешаются через точку выхода прокси, поэтому сайт обычно видит резолвер, который соответствует точке выхода. Где обрабатывается запрос, зависит от провайдера, поэтому результат может отличаться.
  • Адреса-заглушки. nslookup показывает адреса вроде 198.18.x.x. Это нормально. Настоящий запрос выполняется на точке выхода. Несуществующее имя проявляется как неудачное подключение, а не как «не найдено».
  • Защищённый DNS в браузерах. Браузер со своим защищённым DNS (DNS over HTTPS) всё равно идёт через туннель, но не использует резолвер Litport.
  • UDP. UDP работает через прокси, которые передают UDP, например через пулы с оплатой за ГБ и пометкой UDP. См. UDP в руководстве по прокси с оплатой за ГБ. Остальные прокси отклоняют UDP, и приложения переходят на TCP. Насколько хорошо это работает, зависит от приложения.
  • Порты. Разрешён TCP к обычным веб-портам, а также к SSH (22), почте (465, 587, 993, 995) и RDP (3389). Порт 25 закрыт. Остальные порты TCP отклоняются. Если приложению нужен другой порт, обратитесь в поддержку.

Трафик с оплатой за ГБ#

VPN передаёт всё, что отправляет устройство: обновления приложений, резервные копии фото, видео. На токене с оплатой за ГБ каждый байт оплачивается по цене пула, поэтому следите за балансом. Отдельного лимита расходов на VPN пока нет.

В сессии с ротацией при оплате за ГБ DNS-запрос имени и подключение к нему могут пройти через разные точки выхода в одной локации. Чтобы они шли через одну точку выхода, выберите в профиле срок сохранения IP.

Смена точки выхода#

Привяжите профиль к другому токену или нажмите Новый IP. Открытые соединения закрываются в течение нескольких секунд, а приложения переподключаются через новую точку выхода. IP устройства меняется, поэтому приложения и сайты видят новый IP.

Проверка настройки#

Откройте страницу проверки на устройстве при включённом туннеле. Она показывает IP и местоположение, которые видят сайты, где отвечают на DNS-запросы этого браузера и показывают ли IPv6 или WebRTC другой адрес. Она проверяет только этот браузер, а не другие приложения.

Если профиль не подключается:

  • Убедитесь, что к профилю привязан токен и что токен активен.
  • Убедитесь, что профиль не приостановлен.
  • Если у профиля по-прежнему указано Ни разу не подключался, туннель так и не дошёл до Litport. Попробуйте порт 443.
  • В Android установите Private DNS в Automatic или Off.

Допустимое использование#

Используйте профиль только на своих устройствах. Запрещено то же, что и для прокси: P2P-файлообмен и торренты, рассылка спама, атаки на сети и их сканирование, мошенничество. Litport записывает адреса назначения VPN-трафика так же, как для трафика прокси, и то, какой токен использовал профиль. Профиль, которым злоупотребляют, может быть приостановлен. См. Условия использования и Политику допустимого использования.

MarkdownOpenAPI