Ютуб не идёт при включённом доступе: семь причин
Все семь про одно и то же: часть вашего трафика уходит наружу мимо туннеля. Соединение при этом честно поднято — значок показывает, что труба построена, а не что ваш ролик в неё попал.
Порядок проверки ниже стоит проходить сверху вниз. Половина случаев закрывается на втором шаге и не требует ничего настраивать.
Короткий ответ
Трафик до видео идёт не туда. Причина почти всегда одна из семи, и все семь — про разные дырки, через которые пакеты выходят наружу в обход туннеля.
- Правило накрыло страницу, а не видео. Интерфейс и видеопоток приходят с разных имён; правило на одно имя второе не покрывает.
- Списки адресов устарели. Они лежат отдельными файлами и обновляются не вместе с приложением.
- Запросы имён уходят мимо туннеля. Поток шифруется честно, а вопрос «какой адрес у этого имени» может уйти чужим путём и получить чужой ответ.
- IPv6 идёт в обход. Если у сервиса есть адреса обоих поколений, а туннель умеет только старые, часть обращений пойдёт мимо.
- Старые соединения остались открытыми. Они созданы до того, как вы включили доступ, и продолжают идти прежним путём.
- QUIC поверх UDP режется отдельно. Обычный порт открыт, а тот же номер по UDP — нет.
- Приложение не попало в список. На Android туннель можно ограничить набором программ, и всё остальное работает так, будто доступа нет вовсе.
Куда трафик утекает мимо туннеля
Туннель на схеме поднят и работает. Проблема не в нём, а в пяти дорожках, которые идут в обход и в него не заходят.
Порядок проверки
Семь шагов от дешёвых к дорогим. Каждый следующий имеет смысл, только если предыдущий ничего не изменил.
-
1
Выключить доступ и открыть тот же ролик
Открылся — туннель и подписка исправны, разбираем маршрут дальше. Не открылся и без доступа — эта страница не про ваш случай, идите в общий разбор.
-
2
Закрыть старые соединения и подождать минуту
Программы держат постоянные соединения по уже известным адресам, и включение доступа их не разрывает: они созданы раньше и продолжают идти прежним путём, пока не будут закрыты и созданы заново. Проще всего включить на десять секунд режим полёта или закрыть браузер целиком и открыть заново.
Результат разрешения имени хранится не меньше 60 секунд, и такой кеш есть отдельно в браузере, в системе, в домашнем роутере и у провайдера. Первую минуту после включения доступа выводы делать рано.
-
3
Переключиться на «весь трафик» — как на диагностику
В этом режиме в туннель уходит всё без разбора. Ролик пошёл — виноваты правила, чинить надо их. Постоянно так держать неудобно: наружу пойдут и платёжные приложения, и обновления системы, а они начнут задавать вопросы о непривычном адресе.
-
4
Обновить списки адресов
Настройки → Маршрутизация → профиль. У строк
geositeиgeoipпоказаны размер и дата файла. Обновляйте по одному, дожидаясь конца загрузки каждого, потом переподключитесь. Дата свежая, а ролик молчит — причина не в списках. -
5
Проверить, кто отвечает на запросы имён
Утечка запросов — это когда имена разрешает не тот сервер, который относится к туннелю. Каналов много: собственный шифрованный резолвер внутри браузера (есть у Firefox, Chrome, Brave и Edge), «Частный DNS» в настройках Android, шифрованные резолверы в Windows 11, антивирусы и сетевые утилиты, настройки на домашнем роутере. Выключайте их по очереди и повторяйте проверку.
Масштаб проблемы измерен: в разборе 283 Android-приложений с правами на туннель утечку запросов имён допускали 66 %.
-
6
Убрать из уравнения IPv6 и QUIC
Про IPv6 есть отдельный документ стандартизации — RFC 7359 от августа 2014 года, посвящённый ровно этому классу отказа: при наличии у сервиса адресов обоих поколений часть обращений уходит по новому, а многие туннели заворачивают только старый и с новым не делают ничего. QUIC работает поверх UDP на том же номере порта 443 и в свежих версиях Chrome включён по умолчанию; фильтр может резать UDP и оставлять обычный TCP открытым.
Признак второго случая — ошибка
ERR_QUIC_PROTOCOL_ERRORв браузере. При молчаливом отбрасывании пакетов браузер может упорно ломиться по новому протоколу из-за запомненного признака его поддержки, хотя откат на обычный сработал бы. -
7
Проверить список приложений (Android)
Туннель работает либо по списку разрешённых программ, либо по списку запрещённых — оба сразу задать нельзя. Если непустой список разрешённых, все не попавшие в него программы ходят в сеть напрямую, как будто доступа нет вовсе. Списки задаются до подключения: чтобы их изменить, соединение придётся поднять заново.
Активным может быть только один такой сервис на профиль: запуск второго молча останавливает первый. Если у вас стоит несколько приложений доступа, работает ровно одно — последнее запущенное.
Почему списки адресов подводят чаще всего
Потому что это отдельные файлы со своим расписанием. Приложение хранит два списка: список доменных имён и список диапазонов адресов. Обновляются они не вместе с самой программой, а по событию — вместе с подпиской, и не при каждом её обновлении. Пока файл не обновился, приложение считает мир таким, каким он был на момент его выпуска.
- Правила читаются по порядку, срабатывает первое подходящее. Не самое точное и не последнее — первое.
- Совпадение по имени работает как совпадение по окончанию, а не буква в букву. Правило на
googlevideo.comпокроет и длинные имена конкретных серверов раздачи. Правило наyoutube.comне покроет из них ни одного: это другое окончание. - Правило по имени и правило по адресу — разные механизмы. Первое сверяется с именем, второе требует уже разрешённого числового адреса. Если приложение имя не разрешает, а берёт его как есть, правило по адресу для такого соединения просто не сработает.
- Не подошло ни одно правило — трафик уходит в выход по умолчанию. Отсюда и берётся режим «в туннель только по списку»: имени нет в файле — оно идёт напрямую при внешне исправном подключении.
- Готовые категории вроде «google» — это тоже список, составленный кем-то в какой-то день. Новое имя сервиса в него попадёт не раньше следующего выпуска файла.
Симптом → причина → что делать
| Что видно | Скорее всего это | Что делать |
|---|---|---|
| Сайт открылся, ролик крутится | Правило накрыло имя страницы и не накрыло имена видеосерверов | Проверить на режиме «весь трафик». Пошло — правило цепляет не все адреса сервиса |
| Первую минуту после включения не работает, потом идёт | Кеш имён и соединения, открытые до включения: живут не меньше 60 секунд | Ничего. Подождать минуту или перезапустить браузер |
| В браузере не идёт, в приложении сервиса идёт (или наоборот) | У браузера свой шифрованный резолвер, свой кеш имён и своё управление QUIC | Выключить в браузере собственный резолвер и QUIC, повторить проверку |
| Вчера работало, сегодня нет, настройки не трогали | Устарели списки: сервис отвечает с имён, которых в файле ещё нет | Обновить оба файла по очереди и переподключиться |
| На телефоне часть программ идёт через туннель, часть нет | Раздельное туннелирование: программа не попала в список разрешённых | Проверить список в настройках и поднять соединение заново — на ходу он не меняется |
| Не идёт вообще ничего, а значок горит | Дело не в маршруте: сам канал не отвечает | Сменить локацию. Помогло — вопрос был к серверу, а не к правилам |
Под ограничением бывают и сами каналы обхода
К концу февраля 2026 года их числилось 469 — против 258 в октябре 2025, 197 в октябре 2024 и 167 в октябре 2023. С декабря 2025 под ограничение попадают и отдельные протоколы: SOCKS5, VLESS, L2TP. Практический смысл: если семь шагов выше ничего не дали, а соединение при этом поднимается, проверять надо уже не свои настройки, а сам канал.
Частые вопросы
Почему сразу после включения доступа ничего не меняется?
Из-за кеша имён и старых соединений. Результат разрешения имени хранится не меньше 60 секунд, причём отдельно в браузере, в системе, в домашнем роутере и у провайдера. А соединения, открытые до включения, продолжают идти прежним путём, пока их не закроют и не создадут заново.
Что такое утечка DNS простыми словами?
Это когда имена разрешает не тот сервер, который относится к вашему туннелю. Сам поток данных при этом шифруется честно, но вопрос «какой у этого имени адрес» уходит отдельной дорогой — и ответ приходит такой, какой решит выдать чужая сторона.
Нужно ли выключать IPv6?
Если ваш туннель его не поддерживает — да. Документ стандартизации 2014 года описывает ровно этот отказ: при наличии у назначения адресов обоих поколений часть обращений уйдёт по новому протоколу, а многие реализации заворачивают в туннель только старый и с новым не делают ничего. Такой трафик не получает ни защиты, ни подмены маршрута.
Почему в браузере не грузится, а в приложении сервиса грузится?
Потому что у браузера свой сетевой обиход: собственный шифрованный резолвер, собственный кеш имён и собственное управление QUIC. У приложения всё это системное. Разное поведение при одном и том же туннеле — обычное дело, а не поломка.
Можно ли пустить в туннель только одно приложение?
На Android — да, но с оговорками. Система позволяет задать либо список разрешённых программ, либо список запрещённых, но не оба сразу. Список задаётся до подключения, поэтому менять его придётся с переподключением. И активным может быть только один такой сервис: запуск второго останавливает первый.