Ютуб не идёт при включённом доступе: семь причин
Все семь про одно и то же: часть вашего трафика уходит наружу мимо туннеля. Соединение при этом честно поднято — значок показывает, что труба построена, а не что ваш ролик в неё попал.
Порядок проверки ниже стоит проходить сверху вниз. Половина случаев закрывается на втором шаге и не требует ничего настраивать.
Короткий ответ
Трафик до видео идёт не туда. Причина почти всегда одна из семи, и все семь — про разные дырки, через которые пакеты выходят наружу в обход туннеля.
- Правило накрыло страницу, а не видео. Интерфейс и видеопоток приходят с разных имён; правило на одно имя второе не покрывает.
- Списки адресов устарели. Они лежат отдельными файлами и обновляются не вместе с приложением.
- Вопрос об адресе уходит мимо туннеля. Сам поток шифруется честно, а вопрос «какой адрес у этого сайта» может уйти отдельной дорогой и получить чужой ответ.
- Адреса нового образца идут в обход. У сервисов сейчас два набора адресов — привычный и новый. Если туннель умеет заворачивать только привычные, часть обращений уйдёт мимо него.
- Старые соединения остались открытыми. Они созданы до того, как вы включили доступ, и продолжают идти прежним путём.
- Новый способ связи режут отдельно. Браузеры качают страницы и видео по-новому, короткими порциями; фильтр может оставить обычный путь открытым, а новый молча уронить.
- Приложение не попало в список. На Android туннель можно ограничить набором программ, и всё остальное работает так, будто доступа нет вовсе.
Куда трафик утекает мимо туннеля
Туннель на схеме поднят и работает. Проблема не в нём, а в пяти дорожках, которые идут в обход и в него не заходят.
Порядок проверки
Семь шагов от дешёвых к дорогим. Каждый следующий имеет смысл, только если предыдущий ничего не изменил.
-
1
Выключить доступ и открыть тот же ролик
Открылся — туннель и подписка исправны, разбираем маршрут дальше. Не открылся и без доступа — эта страница не про ваш случай, идите в общий разбор.
-
2
Закрыть старые соединения и подождать минуту
Программы держат постоянные соединения по уже известным адресам, и включение доступа их не разрывает: они созданы раньше и продолжают идти прежним путём, пока не будут закрыты и созданы заново. Проще всего включить на десять секунд режим полёта или закрыть браузер целиком и открыть заново.
Результат разрешения имени хранится не меньше 60 секунд, и такой кеш есть отдельно в браузере, в системе, в домашнем роутере и у провайдера. Первую минуту после включения доступа выводы делать рано.
-
3
Переключиться на «весь трафик» — как на диагностику
В этом режиме в туннель уходит всё без разбора. Ролик пошёл — виноваты правила, чинить надо их. Постоянно так держать неудобно: наружу пойдут и платёжные приложения, и обновления системы, а они начнут задавать вопросы о непривычном адресе.
-
4
Обновить списки адресов
Настройки → Маршрутизация → профиль. Там лежат два файла со списками адресов — они подписаны
geositeиgeoip, — и у каждого показаны размер и дата. Обновляйте по одному, дожидаясь конца загрузки каждого, потом переподключитесь. Дата свежая, а ролик молчит — причина не в списках. -
5
Проверить, кто подсказывает адреса сайтов
Утечка — это когда адрес сайта вам подсказывает не тот сервер, который относится к туннелю, а посторонний. Подсказчиков много: собственный защищённый сервер имён внутри браузера (такой есть у Firefox, Chrome, Brave и Edge), пункт «Частный DNS» в настройках Android, такие же настройки в Windows 11, антивирусы и сетевые программы, настройки домашнего роутера. Выключайте их по очереди и повторяйте проверку.
Масштаб измерен: в разборе 283 приложений для Android, которым разрешено поднимать туннель, адреса утекали мимо него у 66 %.
-
6
Выключить новые адреса и новый способ связи
Оба переключателя лежат в настройках устройства и браузера. Первый — адреса нового образца (в настройках они подписаны IPv6): у сервисов их два набора, и если туннель умеет заворачивать только привычные, часть обращений уходит мимо. Отказ этот описан давно, ещё в документе стандартизации от августа 2014 года. Второй — новый способ качать страницы, короткими порциями (в браузере он называется QUIC): свежие версии Chrome включают его сами, а фильтр может пропускать обычный путь и молча ронять новый.
Признак второго случая — ошибка
ERR_QUIC_PROTOCOL_ERRORна странице. Браузер иногда упорно долбится новым способом, хотя обычный сработал бы: он запомнил, что сайт этот способ поддерживает, и не отступает. -
7
Проверить список приложений (Android)
Туннель работает либо по списку разрешённых программ, либо по списку запрещённых — оба сразу задать нельзя. Если непустой список разрешённых, все не попавшие в него программы ходят в сеть напрямую, как будто доступа нет вовсе. Списки задаются до подключения: чтобы их изменить, соединение придётся поднять заново.
Активным может быть только один такой сервис на профиль: запуск второго молча останавливает первый. Если у вас стоит несколько приложений доступа, работает ровно одно — последнее запущенное.
Почему списки адресов подводят чаще всего
Потому что это отдельные файлы со своим расписанием. Приложение хранит два списка: список доменных имён и список диапазонов адресов. Обновляются они не вместе с самой программой, а по событию — вместе с подпиской, и не при каждом её обновлении. Пока файл не обновился, приложение считает мир таким, каким он был на момент его выпуска.
- Правила читаются по порядку, срабатывает первое подходящее. Не самое точное и не последнее — первое.
- Совпадение по имени работает как совпадение по окончанию, а не буква в букву. Правило на
googlevideo.comпокроет и длинные имена конкретных серверов раздачи. Правило наyoutube.comне покроет из них ни одного: это другое окончание. - Правило по имени и правило по адресу — разные механизмы. Первое сверяется с именем, второе требует уже разрешённого числового адреса. Если приложение имя не разрешает, а берёт его как есть, правило по адресу для такого соединения просто не сработает.
- Не подошло ни одно правило — трафик уходит в выход по умолчанию. Отсюда и берётся режим «в туннель только по списку»: имени нет в файле — оно идёт напрямую при внешне исправном подключении.
- Готовые категории вроде «google» — это тоже список, составленный кем-то в какой-то день. Новое имя сервиса в него попадёт не раньше следующего выпуска файла.
Симптом → причина → что делать
| Что видно | Скорее всего это | Что делать |
|---|---|---|
| Сайт открылся, ролик крутится | Правило накрыло имя страницы и не накрыло имена видеосерверов | Проверить на режиме «весь трафик». Пошло — правило цепляет не все адреса сервиса |
| Первую минуту после включения не работает, потом идёт | Кеш имён и соединения, открытые до включения: живут не меньше 60 секунд | Ничего. Подождать минуту или перезапустить браузер |
| В браузере не идёт, в приложении сервиса идёт (или наоборот) | У браузера свой подсказчик адресов, своя память об этих адресах и свой способ связи | Выключить в его настройках защищённый сервер имён и новый способ связи, повторить проверку |
| Вчера работало, сегодня нет, настройки не трогали | Устарели списки: сервис отвечает с имён, которых в файле ещё нет | Обновить оба файла по очереди и переподключиться |
| На телефоне часть программ идёт через туннель, часть нет | Туннель работает по списку программ, и эта в список не попала | Проверить список в настройках и поднять соединение заново — на ходу он не меняется |
| Не идёт вообще ничего, а значок горит | Дело не в маршруте: сам канал не отвечает | Сменить локацию. Помогло — вопрос был к серверу, а не к правилам |
Под ограничением бывают и сами каналы обхода
К концу февраля 2026 года их числилось 469 — против 258 в октябре 2025, 197 в октябре 2024 и 167 в октябре 2023. С декабря 2025 ограничивают не только сами сервисы, но и отдельные способы соединения, на которых они построены: в описаниях эти способы называются SOCKS5, VLESS и L2TP. Практический смысл: если семь шагов выше ничего не дали, а соединение при этом поднимается, проверять надо уже не свои настройки, а сам канал.
Частые вопросы
Почему сразу после включения доступа ничего не меняется?
Из-за кеша имён и старых соединений. Результат разрешения имени хранится не меньше 60 секунд, причём отдельно в браузере, в системе, в домашнем роутере и у провайдера. А соединения, открытые до включения, продолжают идти прежним путём, пока их не закроют и не создадут заново.
Что такое утечка DNS простыми словами?
Это когда адрес нужного сайта вам подсказывает посторонний сервер, а не тот, что относится к вашему туннелю. Сами данные при этом шифруются честно, но вопрос «какой адрес у этого сайта» уходит отдельной дорогой, в открытую — и ответ приходит такой, какой решит дать чужая сторона.
Нужно ли выключать IPv6?
Если ваш туннель их не умеет — да. IPv6 — это адреса нового образца; у сервисов сейчас два набора адресов сразу, старый и новый. Документ стандартизации 2014 года описывает ровно этот отказ: часть обращений уходит по новому адресу, а многие программы заворачивают в туннель только старые и с новыми не делают ничего. Такое обращение идёт открыто и вашим обычным путём.
Почему в браузере не грузится, а в приложении сервиса грузится?
Потому что браузер живёт своим хозяйством: сам спрашивает адреса сайтов у собственного защищённого сервера имён, сам их запоминает и сам решает, каким способом соединяться. Приложение на телефоне всё это берёт у системы. Поэтому при одном и том же включённом туннеле они ведут себя по-разному — это не поломка.
Можно ли пустить в туннель только одно приложение?
На Android — да, но с оговорками. Система позволяет задать либо список тех, кого пускать, либо список тех, кого не пускать, но не оба сразу. Список читается в момент подключения, поэтому после правки соединение придётся поднять заново. И работать может только одна такая программа: запуск второй молча останавливает первую.
Куда дальше
Страница ответила на ваш вопрос?
Спасибо, учтём при следующей правке страницы.