Лучший VPN для удалённого доступа к домашней сети: 5 вариантов

Зачем вообще VPN для домашней сети

Когда говорят «VPN», обычно представляют себе спрятанный IP-адрес и доступ к заблокированным сайтам. Но для домашнего сервера задача совсем другая: безопасно дотянуться до NAS, Proxmox, Home Assistant или камер наблюдения, не выставляя порты наружу. Проброс портов на домашнем роутере — это открытая дверь, которую сканеры в интернете находят за минуты1. А если ваш провайдер использует CGNAT (а в России это сплошь и рядом), то проброс портов вообще невозможен — у вас нет публичного IP.

Классический OpenVPN давно устарел: он тяжёлый, медленный и сложный в настройке. Современная альтернатива — WireGuard и mesh-решения поверх него3.

Что мы сравниваем

Пять сценариев, пять инструментов. Мы оценивали каждый по ключевым параметрам: нужны ли открытые порты, работает ли за CGNAT, насколько проста настройка, можно ли ограничить доступ до конкретных ресурсов (гранулярность) и есть ли зависимость от облачного сервиса.

1. Headscale — mesh-простота без облака

Headscale — это self-hosted альтернатива контрольной плоскости Tailscale. Tailscale — самый простой mesh-VPN на базе WireGuard: не нужно открывать порты, работает за CGNAT, настройка занимает минуты2. Но Tailscale полагается на облачную координационную службу (и SSO через Google/Microsoft). Headscale убирает эту зависимость: вы сами хостите координационный сервер и полностью контролируете свои данные3.

Кому подходит: тем, кто хочет удобство Tailscale, но не готов доверять ключи сети стороннему облаку. Идеален для homelab-энтузиастов.

Минусы: придётся самостоятельно разворачивать и поддерживать сервер Headscale — это требует больше усилий, чем регистрация в Tailscale.

2. WireGuard (ванильный) — максимальный контроль

WireGuard — фундамент, на котором построены Tailscale, Headscale и PiVPN. Это самый быстрый и лёгкий VPN-протокол: кодовая база минимальна, криптография современная, оверхед — копейки3. Нулевая облачная зависимость: вы полностью контролируете туннель.

Но есть цена: WireGuard требует публичного IP-адреса или проброса порта на стороне сервера. За CGNAT он работать не будет без дополнительных костылей (например, VPS-ретранслятора). Сообщество r/selfhosted отмечает, что hub-and-spoke на WireGuard через PiVPN — рабочий вариант, но переход на mesh Tailscale снимает узкое место VPS6.

Кому подходит: тем, у кого есть статический публичный IP и кто хочет полный контроль над каждым байтом туннеля.

3. PiVPN — WireGuard для Raspberry Pi

PiVPN — обёртка над WireGuard для Raspberry Pi. Один скрипт — и у вас готовый VPN-сервер с генерацией QR-кодов для клиентов45. Баланс простоты и функциональности делает его идеальным входом в self-hosted VPN для новичков5.

Кому подходит: владельцам Raspberry Pi, которые хотят удалённый доступ к домашней сети без ручной настройки WireGuard. Как и ванильный WireGuard, требует проброса порта.

Минусы: те же ограничения по CGNAT и публичному IP, что у WireGuard.

4. ZeroTier — L2-сеть со своим протоколом

ZeroTier — не WireGuard. Это собственный протокол, создающий виртуальный L2-коммутатор (Layer 2). Это даёт гибкость, недоступную L3-решениям: можно работать с не-IP протоколами, mDNS, broadcast-доменами2. Бесплатный тариф — 25 устройств (против 100 у Tailscale)2.

Кому подходит: тем, кому нужна Layer 2-семантика, или кто не хочет привязывать аккаунт к Google/Microsoft (в ZeroTier — собственная регистрация).

Минусы: собственный протокол — это дополнительная поверхность для аудита по сравнению с WireGuard, чья криптография проверена годами.

5. Twingate — ZTNA вместо mesh

Twingate — это подход Zero Trust Network Access (ZTNA): не mesh-сеть, а ресурсные ACL. Вы определяете, к каким конкретным сервисам у пользователя есть доступ, без открытых портов и без полного сетевого туннеля1. Поддерживает device posture и гранулярные политики. Бесплатен для 5 пользователей1.

Кому подходит: тем, кто хочет гранулярный доступ к конкретным сервисам (например, только к Home Assistant, но не к Proxmox), а не полный mesh.

Минусы: облачная зависимость. Для чистого self-host это не вариант.

Сравнительная таблица

Что выбрать

• Новичок с Raspberry Pi? PiVPN — самый простой старт.
• Хоумлаб с CGNAT и без облака? Headscale — mesh-простота Tailscale, но под вашим контролем.
• Есть публичный IP и нужен полный контроль? Ванильный WireGuard.
• Нужна Layer 2 или независимость от Google? ZeroTier.
• Гранулярный доступ к конкретным сервисам? Twingate.

Recomate может получать комиссию за переходы по партнёрским ссылкам. Это не влияет на наши оценки — мы рекомендуем только то, что действительно стоит использовать.

Хотите уточнение, которого нет в статье? Спросите движок — он держит контекст статьи.