Коротко: TUN и TAP — два типа виртуального сетевого адаптера, который создаёт VPN-клиент на вашем устройстве. TUN работает на третьем уровне OSI и маршрутизирует IP-пакеты (point-to-point) — это стандарт для 99% VPN-сценариев. TAP работает на втором уровне и передаёт Ethernet-кадры, включая широковещательный трафик и non-IP протоколы — нужен только для сетевого моста между двумя локальными сетями. WireGuard поддерживает только TUN; OpenVPN — оба режима, TUN по умолчанию. Подробнее о протоколах: VPN-протоколы: WireGuard, OpenVPN, IKEv2.
Что такое TUN и TAP в VPN простыми словами
TUN и TAP — это виртуальные сетевые адаптеры, которые VPN-клиент создаёт на вашем устройстве поверх физического сетевого интерфейса (Wi-Fi или Ethernet-порта). Операционная система видит их как обычные сетевые карты и передаёт через них трафик в зашифрованный туннель. Физически эти адаптеры не существуют — это программные интерфейсы, которые перехватывают пакеты и передают их VPN-процессу для шифрования.
Аналогия: представьте физическую сеть как шоссе. VPN-клиент строит «виртуальный шлагбаум» на выезде (TUN или TAP), через который проходит весь трафик перед шифрованием. Разница между TUN и TAP — в том, что этот шлагбаум «видит»: только IP-машины или весь транспорт, включая Ethernet-грузовики с нестандартным содержимым. Подробнее о том, что задаёт поведение VPN: конфигурация VPN.
Чем TUN отличается от TAP: уровень 3 против уровня 2
Ключевое различие — уровень модели OSI: TUN работает на третьем (сетевом, IP), TAP — на втором (канальном, Ethernet). Это определяет, что проходит через туннель и какие задачи каждый решает.
| Параметр | TUN | TAP |
|---|---|---|
| Уровень OSI | 3 (сетевой, IP) | 2 (канальный, Ethernet) |
| Единица данных | IP-пакет | Ethernet-кадр |
| Тип интерфейса | Point-to-point (точка–точка) | Виртуальный Ethernet с широковещательным доменом |
| Мосты / бриджинг | Невозможен | Поддерживается |
| Non-IP трафик (ARP, IPX) | Не передаётся | Передаётся |
| Накладные расходы | Ниже (нет L2-заголовков) | Выше (Ethernet-заголовок 14 байт) |
| Типичное применение | Обычный VPN, удалённый доступ, мобильные клиенты | LAN-to-LAN бриджинг, legacy-сети |
Почему TAP умеет бриджинг, а TUN — нет
TAP поддерживает сетевые мосты (bridging), потому что видит Ethernet-кадры — те же, что ходят в физической локальной сети. Виртуальный TAP-интерфейс можно включить в Linux bridge или Windows-мост, и два географически разделённых сегмента LAN начнут вести себя как единая сеть: ARP-запросы, DHCP broadcast, протоколы обнаружения устройств — всё пройдёт через туннель.
TUN этого не умеет: он работает только с IP-пакетами третьего уровня. Широковещательные кадры, ARP-запросы и non-IP трафик в TUN-туннель не попадают. Для объединения сетей через TUN требуются статические маршруты или динамическая маршрутизация — это сложнее настроить, чем мост через TAP.
Какой адаптер используют WireGuard, OpenVPN и другие протоколы
WireGuard использует исключительно TUN — это архитектурное решение протокола, а не настройка пользователя. OpenVPN поддерживает оба режима, но TUN является режимом по умолчанию и рекомендован во всех случаях, кроме бриджинга.
WireGuard работает только через TUN на всех платформах. В Linux — интерфейс wg0 встроен в ядро. На Windows — через Wintun (высокопроизводительный TUN-драйвер от разработчиков WireGuard). На macOS — через utun. Подробнее о протоколе: что такое WireGuard.
OpenVPN позволяет выбрать режим директивой: --dev tun (по умолчанию) или --dev tap. Режим TUN — для удалённого доступа и стандартного VPN; режим TAP — только для LAN-to-LAN бриджинга. Подробнее: что такое OpenVPN. Сменить протокол целиком: как изменить протокол VPN.
IKEv2/IPsec и L2TP/IPsec создают собственный виртуальный интерфейс, скрытый от пользователя. Выбирать TUN или TAP не нужно — тип туннеля задан самим протоколом. Разбор всех протоколов: VPN-протоколы: WireGuard, OpenVPN, IKEv2.
Когда нужен TAP, а когда TUN
TUN — правильный выбор в 99% случаев: приватность, удалённый доступ к ресурсам, мобильные приложения и всё на WireGuard. TAP — специализированный инструмент для конкретных сетевых сценариев.
Выбирайте TUN когда:
- Нужна приватность и защита трафика — любой потребительский VPN-сценарий;
- Удалённый доступ к корпоративным ресурсам (серверы, веб-приложения, API);
- WireGuard — поддерживает только TUN;
- Мобильные устройства iOS и Android — TAP на них недоступен.
Выбирайте TAP только когда:
- Требуется объединить два офисных сегмента LAN в единый Ethernet-домен (LAN-to-LAN бридж);
- Приложения используют широковещательные запросы (DHCP broadcast, NetBIOS, Bonjour);
- Нужна поддержка игр по локальной сети, требующих Ethernet-адресацию уровня 2;
- Используются legacy-протоколы уровня 2 (старые IPX/SPX или AppleTalk).
TUN и TAP в Windows, macOS, Linux и на телефоне
Реализация TUN/TAP различается на каждой платформе, но суть одинакова: VPN-клиент регистрирует виртуальный сетевой интерфейс, через который ОС передаёт зашифрованный трафик.
Windows: исторически OpenVPN использовал TAP-Windows Adapter V9 — NDIS-драйвер виртуального Ethernet-интерфейса (уровень 2). С OpenVPN 2.5+ и в официальном клиенте WireGuard применяется Wintun — TUN-драйвер уровня ядра. Проверить установленные адаптеры: Win + R → ncpa.cpl, найдите «TAP-Windows Adapter V9» или «WireGuard Tunnel».
macOS: использует встроенный механизм utun (user-space TUN-интерфейс). Большинство VPN-клиентов работают через него без дополнительных драйверов.
Linux: TUN/TAP реализован в ядре через /dev/net/tun. VPN-процесс открывает это устройство и создаёт интерфейс tunN или tapN. WireGuard на Linux 5.6+ встроен в ядро напрямую и создаёт интерфейс wg0.
iOS и Android: мобильные ОС предоставляют VPN-приложениям системный API, создающий TUN-интерфейс. Установить TAP-драйвер на смартфон невозможно — мобильные ОС не дают нужного уровня доступа к ядру для TAP-интерфейса.
Wintun vs классический TAP-Windows Adapter V9
Wintun превосходит TAP-Windows Adapter V9 по производительности, чистоте установки и компактности кода. TAP-Windows V9 — зрелый NDIS 6-драйвер уровня 2 из 2000-х; он работает, но установка иногда требует ручного подтверждения и может конфликтовать с определёнными конфигурациями антивируса.
Wintun — минималистичный TUN-драйвер уровня ядра от команды WireGuard. Включён в официальный клиент WireGuard для Windows и поддерживается OpenVPN 2.5+. Преимущества: выше пропускная способность (меньше переключений контекста ядро/пользователь), устанавливается без перезагрузки, кодовая база значительно меньше и легче для аудита безопасности. Включить Wintun в OpenVPN 2.5+: добавьте строку windows-driver wintun в файл .ovpn.
Влияет ли выбор адаптера на скорость и безопасность
На безопасность шифрования тип адаптера не влияет — защиту обеспечивает протокол и шифр, а не виртуальный интерфейс. Зато на пропускную способность и задержку влияет: TUN в большинстве сценариев быстрее TAP.
Почему TUN быстрее:
- Нет L2-оверхеда: TAP добавляет Ethernet-заголовок (14 байт) к каждому кадру и обрабатывает широковещательный трафик — TUN этого не делает;
- Меньше фрагментации: TAP сокращает эффективный MTU туннеля, увеличивая частоту фрагментации и накладные расходы на пересборку пакетов;
- Проще MTU/MSS: без Ethernet-заголовков вычислить корректный MTU для TUN-туннеля проще, а число пересборок ниже.
На потребительских каналах (50–300 Мбит/с) разница минимальна. На гигабитных и корпоративных соединениях разрыв заметнее. Подробнее о факторах скорости: почему VPN замедляет интернет.
Как исправить частые ошибки TAP-адаптера в Windows
Две самые частые ошибки TAP на Windows: «All TAP-Windows adapters are currently in use» и «An error occurred installing the TAP device driver». Обе решаются за пять шагов.
Шаг 1. Диагностика. Закройте VPN-клиент и откройте «Сетевые подключения» командой ncpa.cpl (Win + R). Посмотрите, сколько адаптеров TAP-Windows Adapter V9 отображается в списке.
Шаг 2. «All TAP adapters are in use». Запустите утилиту Add a new TAP virtual ethernet adapter из комплекта OpenVPN. Удалите лишние неиспользуемые адаптеры или добавьте новый, если текущий занят другим процессом.
Шаг 3. Ошибка установки драйвера. Запустите установщик OpenVPN от имени администратора (правой кнопкой → «Запуск от имени администратора»). В диалоге безопасности Windows разрешите установку драйвера.
Шаг 4. Переключитесь на Wintun. В OpenVPN 2.5+ добавьте строку windows-driver wintun в файл .ovpn. Wintun устанавливается без диалогов подтверждения и работает стабильнее.
Шаг 5. Перезагрузите ПК и подключитесь заново. Перезагрузка гарантированно завершает зависшие процессы, удерживающие адаптер.
Нужно ли обычному пользователю выбирать TUN или TAP?
Нет. В LiMP VPN и любом другом современном VPN-приложении адаптер выбирается автоматически: WireGuard всегда создаёт TUN-интерфейс, никакого выбора нет и не нужно. Ручной выбор между TUN и TAP нужен только при самостоятельной настройке OpenVPN-сервера для LAN-to-LAN бриджинга — это задача сетевого администратора, не рядового пользователя.
Если вы пользуетесь готовым приложением, можно не задумываться об адаптерах: тип интерфейса, протокол и оптимальный MTU уже настроены. Все возможности LiMP VPN: функции и возможности. Тарифные планы: цены и подписки LiMP VPN.
Часто задаваемые вопросы
В чём разница между TUN и TAP?
TUN работает на третьем уровне OSI и передаёт IP-пакеты (маршрутизация, point-to-point). TAP работает на втором уровне и передаёт Ethernet-кадры, включая non-IP трафик и широковещательные запросы. TUN — для обычного VPN; TAP — для сетевого моста между локальными сетями.
Какой адаптер лучше — TUN или TAP?
Для большинства задач TUN: меньше накладных расходов, проще маршрутизация, поддерживается на мобильных устройствах. TAP нужен только при объединении двух сегментов LAN в один Ethernet-домен (бриджинг) или при необходимости передавать non-IP трафик через туннель.
Что такое TAP-Windows Adapter V9?
Виртуальный сетевой драйвер OpenVPN для Windows, создающий Ethernet-интерфейс уровня 2. Устанавливается вместе с OpenVPN и виден в «Сетевых подключениях». Начиная с OpenVPN 2.5+ его заменяет Wintun — более быстрый TUN-драйвер уровня ядра от разработчиков WireGuard.
Использует ли WireGuard TAP?
Нет. WireGuard архитектурно работает только через TUN (уровень 3) на всех платформах: Linux, Windows (Wintun), macOS (utun), iOS и Android. Режима TAP в WireGuard не предусмотрено.