ProtonVPN nousi elokuussa 2026 yhdeksi Suomen ja koko Pohjolan haetuimmista VPN-palveluista, kun käyttäjät alkoivat etsiä vaihtoehtoja yhdysvaltalaisille ja kiinalaisille palveluntarjoajille. Sveitsiläinen, tiukan tietosuojalain alla toimiva Proton on rakentanut VPN-tuotteestaan protokollavalikoiman, joka ulottuu tavallisesta WireGuardista aina räätälöityyn Stealth-obfuskointiin asti. Tässä oppaassa käydään läpi koko asennus: sovelluksen lataus, WireGuard-määritystiedoston luonti, Kill Switchin ja Secure Coren käyttöönotto sekä yleisimmät sudenkuopat, joihin suomalaiset käyttäjät törmäävät.

Opas on tarkoitettu sekä tavalliselle kotikäyttäjälle että kehittäjälle, joka haluaa ajaa ProtonVPN:ää palvelimella tai reitittimessä ilman virallista sovellusta. Käymme läpi 14 vaihetta, jotka vievät yhteensä noin 45–60 minuuttia riippuen siitä, asennatko pelkän työpöytäsovelluksen vai myös manuaalisen WireGuard-tunnelin.

Suomessa ja muualla Pohjolassa ProtonVPN:ää käytetään tyypillisesti kolmeen tarkoitukseen: julkisten wifi-verkkojen suojaamiseen lentokentillä ja kahviloissa, etätyöhön kytkeytymiseen turvallisesti kotiverkon ulkopuolelta sekä yksinkertaisesti sen varmistamiseen, ettei oma internetoperaattori näe jokaista käyntiä. Koska monet suomalaiset yritykset ovat siirtyneet pysyvään hybridityöhön, VPN-yhteyden luotettavuudesta ja vakaudesta on tullut käytännön kysymys eikä pelkkä teoreettinen tietosuoja-asia. Tässä oppaassa keskitytään juuri niihin asetuksiin, jotka vaikuttavat eniten arjen käytettävyyteen: mikä protokolla toimii lentokentän verkossa, miten Kill Switch käyttäytyy kannettavan herätessä lepotilasta ja miksi reititinasennus kannattaa joissain tapauksissa tehdä sovelluksen sijaan.

Miksi ProtonVPN kiinnostaa suomalaisia juuri nyt

Kysyntä ProtonVPN:lle on kasvanut tasaisesti, kun EU:n tietosuoja-asetuksen valvonta on kiristynyt ja kuluttajat ovat alkaneet kyseenalaistaa, minne heidän selaushistoriansa oikeasti päätyy. Proton on sveitsiläinen yhtiö, joten se ei kuulu EU:n eikä Yhdysvaltojen tiedustelusopimusten piiriin samalla tavalla kuin monet kilpailijansa. Tämä juridinen asema on yksi syy, miksi palvelu nousee toistuvasti esiin, kun suomalaiset vertailevat NordVPN:ää, Mullvadia ja ProtonVPN:ää keskenään.

Toinen syy on läpinäkyvyys. Proton julkaisee säännöllisesti ulkopuolisen tarkastajan, Securitumin, tekemät lokittomuustarkastukset. Securitum kuvailee itseään eurooppalaiseksi tietoturva-alan yritykseksi, joka toteuttaa vuosittain yli 300 tietoturvatestausprojektia suurille yrityksille ja pankeille. Tuorein julkaistu tarkastus valmistui 16. kesäkuuta 2026, ja se jatkoi sarjaa vuosien 2022, 2023, 2024 ja 2025 tarkastuksista. Raporttien mukaan tarkastuksissa ei löytynyt teknistä näyttöä siitä, että Proton VPN:n palvelininfrastruktuuri kirjaisi käyttäjien selaustoimintaa, DNS-kyselyitä, kohdepalveluita, verkkoliikenteen sisältöä tai käyttäjän tunnistavia yhteysmetatietoja.

Kolmas syy liittyy protokolliin. ProtonVPN on ottanut käyttöön Stealth-nimisen oman obfuskointiprotokollan, joka tunneloi WireGuard-liikenteen TLS:n sisään ja saa VPN-yhteyden näyttämään tavalliselta HTTPS-liikenteeltä. Tämä on tehnyt palvelusta houkuttelevan myös niille, jotka joutuvat kiertämään yritys- tai maakohtaisia palomuureja.

Neljäs syy on ihan käytännöllinen: Proton tarjoaa saman kirjautumisen käyttöön koko tuotesarjassaan (Mail, Calendar, Drive, Pass ja VPN), joten monet suomalaiset ovat jo Proton-asiakkaita esimerkiksi salatun sähköpostin vuoksi ja laajentavat käyttöä luontevasti VPN:ään. Tämä ei tee palvelusta automaattisesti parasta jokaiseen tilanteeseen, mutta se selittää osan kasvaneesta hakuvolyymista – käyttäjä, joka jo luottaa Protoniin sähköpostissaan, etsii todennäköisemmin juuri ProtonVPN:n asennusohjeita kuin kilpailijan vastaavia.

Ennen kuin siirrytään itse asennukseen, kannattaa ymmärtää karkealla tasolla, mitä eri tilaustasot avaavat. Taulukko alla ei sisällä täsmällisiä hintoja, koska ne vaihtelevat valuutan, kampanjoiden ja sopimuskauden mukaan – tarkista ne aina suoraan protonvpn.com/pricing-sivulta ennen tilausta.

OminaisuusProton FreeVPN PlusProton Unlimited
Yhtäaikaiset laitteetRajoitettuUseampia laitteitaUseampia laitteita
PalvelinvalikoimaRajoitettu maavalikoimaKoko palvelinverkkoKoko palvelinverkko
Secure CoreEiKylläKyllä
NetShieldEiKylläKyllä
WireGuard-manuaalimäärityksetVain VPN AcceleratorKaikki asetuksetKaikki asetukset
Muut Proton-palvelut (Mail, Drive, Pass, Calendar)Erillinen ilmaistasoEi sisällySisältyy laajemmin

Käydään seuraavaksi läpi, mitä tarvitset ennen asennusta.

Esivaatimukset ja tuetut järjestelmät

Ennen kuin aloitat, varmista että sinulla on seuraavat asiat kunnossa. Opas kattaa sekä virallisen sovelluksen että manuaalisen WireGuard-määrityksen, joten osa vaatimuksista koskee vain jälkimmäistä reittiä.

  • Proton-tili (ilmainen Proton Free -tili riittää perusasennukseen, maksullinen VPN Plus tai Proton Unlimited avaa WireGuard-määritystiedostot, NetShieldin täyden tason ja Secure Coren)
  • Windows 10/11, macOS 13 tai uudempi, tai jokin yleinen Linux-jakelu (Ubuntu, Debian, Fedora) – ProtonVPN tukee kaikkia näitä virallisella sovelluksella
  • Android 8.0+ tai iOS/iPadOS 15+ mobiilisovellusta varten
  • Manuaaliseen WireGuard-asennukseen: wireguard-tools-paketti (Linuxissa sudo apt install wireguard tai vastaava) tai WireGuard-sovellus Windowsille/macOS:lle
  • Reititinasennukseen: reititin, joka tukee WireGuard- tai OpenVPN-asiakasta (esim. OPNsense, pfSense tai DD-WRT-pohjainen laite)
  • Noin 45–60 minuuttia aikaa koko asennukselle mukaan lukien testaukset

Kannattaa myös varata muistiin, mille palvelimelle aiot yhdistää – Proton listaa palvelinverkkonsa kattavan kymmeniä maita, ja parhaan latenssin suomalaiskäyttäjälle saa yleensä Ruotsin tai Suomen palvelimelta.

Yksi usein unohdettu esivaatimus on virtualisointituki, jos aiot testata reititinasennusta ensin virtuaalikoneella ennen tuotantoreititintä. AMD-V- tai Intel VT-x -tuki kannattaa varmistaa BIOS-asetuksista etukäteen, sillä ilman sitä esimerkiksi OPNsense-testiympäristö ei käynnisty kunnolla. Jos taas suunnittelet vain työpöytäasennusta, riittää, että käyttöjärjestelmäsi on ajan tasalla – sekä Windowsin, macOS:n että yleisten Linux-jakelujen tietoturvapäivitykset vaikuttavat suoraan siihen, kuinka hyvin VPN-sovellus toimii yhteen käyttöjärjestelmän oman palomuurin kanssa.

Kannattaa myös päättää etukäteen, mitä ongelmaa olet ratkaisemassa, koska se vaikuttaa siihen, missä järjestyksessä kannattaa edetä. Jos tavoite on suojata yksittäinen kannettava matkatyössä, riittää pelkkä virallinen sovellus ja Kill Switch. Jos taas tavoitteena on suojata koko kotiverkko ja kaikki siihen kytketyt laitteet kerralla, kannattaa edetä suoraan reititinasennukseen ja jättää yksittäiset sovellusasennukset vain niille laitteille, jotka tarvitsevat erillisen, reitittimestä riippumattoman yhteyden esimerkiksi matkoilla.

Vaihe 1–3: Tilin luonti ja sovelluksen lataus

Ensimmäinen vaihe on tilin luonti osoitteessa protonvpn.com. Voit aloittaa ilmaisella Proton Free -tilillä, joka antaa pääsyn rajoitettuun määrään palvelinsijainteja ilman nopeusrajoitusta. Jos tarvitset WireGuard-määritystiedostoja, Secure Corea tai NetShieldin täydet suodatustasot, tarvitset VPN Plus- tai Proton Unlimited -tilauksen. Hinnat vaihtelevat valuutan ja sopimuskauden mukaan (kuukausi-, vuosi- tai kaksivuotistilaus), joten tarkista ajantasainen hinta suoraan Protonin hinnoittelusivulta ennen tilausta.

Kun tili on luotu, lataa virallinen sovellus omalle käyttöjärjestelmällesi Protonin lataussivulta. Sovellus tunnistaa automaattisesti käyttöjärjestelmäsi ja tarjoaa oikean asennuspaketin. Asenna se normaalisti (Windowsissa .exe, macOS:ssä .dmg, Linuxissa .deb/.rpm-paketti tai virallinen repositorio).

# Linux (Debian/Ubuntu): virallisen repositorion lisäys ja asennus
wget https://repo.protonvpn.com/debian/dists/stable/main/binary-all/protonvpn-stable-release_1.0.3-3_all.deb
sudo dpkg -i ./protonvpn-stable-release_1.0.3-3_all.deb
sudo apt update
sudo apt install proton-vpn-gnome-desktop

Kun asennus on valmis, kirjaudu sisään Proton-tunnuksillasi. Jos käytössäsi on kaksivaiheinen tunnistautuminen, sovellus pyytää myös kertakäyttöisen koodin.

Kannattaa käyttää tätä hetkeä myös tilin siivoamiseen: tarkista Proton-tilisi turva-asetuksista, että kaksivaiheinen tunnistautuminen on todella päällä, ja jos hallinnoit useita laitteita, harkitse erillisen palautusavaimen tallentamista salasananhallintaan. Tämä ei ole ProtonVPN-spesifinen vaihe, mutta koska VPN-tili avaa pääsyn koko verkkoliikenteesi reititykseen, sen suojaaminen kaksivaiheisella tunnistautumisella on yhtä tärkeää kuin itse VPN-yhteyden asetukset.

Vaihe 4–5: Ensimmäinen yhteys ja palvelimen valinta

Sisäänkirjautumisen jälkeen sovellus näyttää maalistan. Valitse palvelin sen mukaan, mitä tarvitset: lähin palvelin (usein Ruotsi tai Suomi) antaa parhaan nopeuden tavalliseen selailuun, kun taas kauempana sijaitseva palvelin voi olla tarpeen suoratoistopalvelun alueellisen sisällön avaamiseen. Klikkaa haluamaasi maata tai käytä “Pikayhteys”-painiketta, joka valitsee automaattisesti nopeimman vapaana olevan palvelimen.

Sovelluksen maalistassa jokaisen palvelimen kohdalla näkyy tyypillisesti kuormitusta kuvaava mittari – mitä täydempi palvelin, sitä todennäköisemmin nopeus laskee ruuhka-aikoina. Jos huomaat, että yhteys on hidas tiettynä kellonaikana, kannattaa ensin kokeilla toista samassa maassa sijaitsevaa palvelinta ennen kuin epäilee protokollaa tai omaa laajakaistaliittymää. Monissa sovelluksissa voi myös merkitä suosikkipalvelimia, mikä nopeuttaa arjen käyttöä, kun ei tarvitse selata koko maalistaa joka kerta uudelleen.

Onnistuneen yhteyden jälkeen sovelluksen tilarivi vaihtuu vihreäksi ja näyttää yhdistetyn palvelimen nimen sekä arvioidun nopeuden. Voit tarkistaa julkisen IP-osoitteesi vaihtumisen esimerkiksi komentoriviltä:

curl https://api.ipify.org
# Tuloste ennen yhteyttä: 85.xxx.xxx.xxx (oma operaattorin IP)
# Tuloste yhteyden jälkeen: 185.xxx.xxx.xxx (ProtonVPN-palvelimen IP)

Jos IP-osoite ei vaihdu, sovellus ei todennäköisesti ole muodostanut tunnelia oikein – palaa edelliseen vaiheeseen ja tarkista yhteystila sovelluksen etusivulta ennen kuin jatkat.

Sovellus tarjoaa myös “Smart protocol” -tilan, joka valitsee automaattisesti käytössä olevan verkon kannalta parhaiten toimivan protokollan sen sijaan, että joutuisit itse arvailemaan WireGuardin, OpenVPN:n tai Stealthin välillä. Tämä on hyvä oletusvalinta useimmille käyttäjille, mutta myöhemmin tässä oppaassa käymme läpi tilanteita, joissa protokolla kannattaa valita käsin – esimerkiksi silloin, kun tarvitset split tunnelingia tai olet erityisen rajoittavassa verkossa.

Vaihe 6: WireGuard-määritystiedoston luonti manuaalista käyttöä varten

Jos haluat käyttää ProtonVPN:ää kolmannen osapuolen WireGuard-asiakkaassa, reitittimessä tai palvelimella ilman graafista sovellusta, tarvitset manuaalisen määritystiedoston. Kirjaudu osoitteeseen account.protonvpn.com ja siirry kohtaan “Lataukset → WireGuard-määritykset”. Anna määritykselle nimi, valitse kohdealusta, halutut VPN-asetukset (NetShieldin suodatustaso, Moderate NAT, VPN Accelerator) sekä palvelin, johon haluat yhdistää.

Klikkaa “Luo”, odota muutama sekunti ja lataa syntynyt .conf-tiedosto. Proton huomauttaa dokumentaatiossaan, että heidän WireGuard-toteutuksensa noudattaa protokollan virallista avoimen lähdekoodin määrittelyä, joten tiedosto toimii minkä tahansa standardin WireGuard-asiakkaan kanssa.

# Esimerkki ladatun .conf-tiedoston rakenteesta (arvot korvattu)
[Interface]
PrivateKey = 
Address = 10.2.0.2/32
DNS = 10.2.0.1

[Peer]
PublicKey = 
AllowedIPs = 0.0.0.0/0
Endpoint = xx-yy.protonvpn.net:51820

Huomaa, että ilmainen Proton Free -tili rajoittaa manuaaliset asetukset lähinnä VPN Accelerator -ominaisuuteen, kun taas muut VPN-asetukset (kuten NetShield-suodatus ja Moderate NAT) vaativat maksullisen tilauksen. Proton suosittelee virallisen sovelluksen käyttöä aina kun mahdollista, koska vain se tukee Kill Switchia, älykästä protokollanvalintaa, DNS-vuotosuojausta ja porttien uudelleenohjausta kokonaisuudessaan.

Käsittele ladattua .conf-tiedostoa samalla varovaisuudella kuin salasanaa. Tiedosto sisältää yksityisen avaimesi selkokielisenä, joten kuka tahansa, joka saa sen käsiinsä, voi muodostaa yhteyden tunnuksillasi ilman erillistä salasanaa. Älä koskaan lähetä .conf-tiedostoa sähköpostilla tai jaa sitä pilvipalvelussa ilman salausta – jos epäilet tiedoston vuotaneen, poista vastaava määritys account.protonvpn.com-hallintapaneelista ja luo uusi.

Vaihe 7: Tunnelin aktivointi Linuxissa wg-quickilla

Kun .conf-tiedosto on ladattu, voit aktivoida sen suoraan komentoriviltä wg-quick-työkalulla. Tämä on hyödyllistä esimerkiksi palvelimilla, joissa ei ole graafista käyttöliittymää.

sudo mv protonvpn-fi.conf /etc/wireguard/protonvpn.conf
sudo wg-quick up protonvpn

# Tarkista tunnelin tila
sudo wg show

# Tuloste onnistuneesta yhteydestä:
# interface: protonvpn
#   public key: AbC123...
#   private key: (hidden)
#   listening port: 51820
# peer: XyZ789...
#   endpoint: 185.xxx.xxx.xxx:51820
#   allowed ips: 0.0.0.0/0
#   latest handshake: 4 seconds ago
#   transfer: 1.24 KiB received, 892 B sent

“latest handshake” -rivi on tärkein merkki siitä, että tunneli todella toimii – jos se puuttuu tai kasvaa jatkuvasti isommaksi eikä nollaudu, kättely epäonnistuu eikä liikenne kulje palvelimen kautta. WireGuard uusii kättelyn normaalisti muutaman minuutin välein, joten arvon “muutama sekunti sitten” pitäisi näkyä toistuvasti komentoa ajaessa uudelleen – jos luku vain kasvaa eikä koskaan nollaudu, tunneli on teknisesti “ylhäällä”, mutta ei tosiasiassa välitä liikennettä.

Vaihe 8–10: Turvallisuusominaisuudet käyttöön

Perusyhteyden jälkeen kannattaa käydä läpi kolme ominaisuutta, jotka erottavat ProtonVPN:n pelkästä IP-osoitteen vaihtamisesta: Kill Switch, Secure Core ja NetShield. Näistä jokainen ratkaisee eri ongelman, joten käymme ne läpi omina alavaiheinaan.

Vaihe 8: Kill Switchin käyttöönotto

Kill Switch on ominaisuus, joka katkaisee laitteen internetyhteyden, jos VPN-tunneli katkeaa yllättäen. Proton tarjoaa kaksi tasoa: tavallinen Kill Switch aktivoituu vain, kun yhteys katkeaa vahingossa, eikä estä internetiä jos katkaiset VPN:n itse tarkoituksella. Edistynyt (Advanced) Kill Switch on tiukempi: se sallii internetyhteyden ainoastaan silloin, kun laite on yhteydessä ProtonVPN:ään, eikä poikkeuksia ole edes laitteen uudelleenkäynnistyksen jälkeen.

Tavallinen Kill Switch on saatavilla kaikilla tuetuilla alustoilla (Windows, macOS, iOS/iPadOS, Android, Linux GUI ja CLI). Edistynyt Kill Switch toimii tällä hetkellä Windowsilla, Linuxin graafisessa sovelluksessa ja iOS/iPadOS:llä beta-tilassa.

AlustaAktivointireittiTuettu taso
WindowsAsetukset → Kill Switch → valitse Standard tai Advanced → KäytäStandard + Advanced
macOSMaat-välilehti → Kill Switch -kuvake → “Kill Switch On”Standard
iOS/iPadOSAsetukset → Suojausasetukset → Kill Switch päälleStandard + Advanced (beta)
AndroidAsetukset → Ominaisuudet → Kill Switch → laitteen asetuksista “Aina päällä” + “Estä yhteydet ilman VPN:ää”Standard
Linux (GUI)Valikko → Asetukset → Ominaisuudet → Kill Switch päälleStandard + Advanced
Linux (CLI)protonvpn config set kill-switch standardStandard

Yksi tärkeä rajoitus: Kill Switch ei toimi yhdessä split tunnelingin kanssa useimmilla alustoilla. Windows on tässä poikkeus, sillä siellä sekä Standard että Advanced Kill Switch toimivat myös split tunneling käytössä.

Käytännön valinta Standardin ja Advancedin välillä riippuu siitä, kuinka paljon olet valmis uhraamaan mukavuutta turvallisuuden vuoksi. Standard sopii useimmille kotikäyttäjille, koska se ei häiritse arkea silloin, kun sammutat VPN:n tarkoituksella esimerkiksi paikallisen pankkipalvelun käyttöä varten. Advanced taas sopii tilanteille, joissa mikään liikenne ei saa koskaan kulkea suojaamattomana – esimerkiksi silloin, kun kannettavalla käsitellään asiakastietoja julkisissa verkoissa eikä poikkeuksille ole tilaa.

Vaihe 9: Secure Coren käyttöönotto kaksinkertaista suojaa varten

Secure Core on Protonin arkkitehtuuri, jossa liikenne reititetään ensin yhden Protonin omistaman, kovennetun palvelimen kautta ennen varsinaista poistumissolmua. Secure Core -palvelimet sijaitsevat kolmessa maassa: Islannissa, Sveitsissä ja Ruotsissa. Ruotsin infrastruktuuri on sijoitettu maanalaiseen konesaliin, ja Islannin palvelimet toimivat entisellä sotilastukikohta-alueella.

Käytännössä tämä tarkoittaa, että kun yhdistät esimerkiksi Yhdysvaltoihin sijoitettuun palvelimeen Secure Core -tilassa, liikenteesi kulkee ensin näiden kolmen maan kautta. Tämä suojaa niin sanotuilta ajoitus- ja korrelaatiohyökkäyksiltä, joissa hyökkääjä valvoo VPN-palvelinta yrittäen yhdistää käyttäjän liikenteen tiettyyn IP-osoitteeseen. Jos joku valvoisi Protonin palvelinta esimerkiksi Yhdysvalloissa, hän pääsisi jäljittämään liikenteen vain Secure Core -verkon reunalle asti, mikä tekee todellisen IP-osoitteen ja sijainnin selvittämisestä huomattavasti vaikeampaa.

Secure Core kannattaa ottaa käyttöön erityisesti silloin, kun yhdistät palvelimiin maissa, joissa on rajoittava internetsääntely (esimerkiksi Kiina, Venäjä, Iran, Turkki) tai laajat valvontavaltuudet (esimerkiksi Yhdysvallat, Iso-Britannia). Aktivoi se sovelluksessa valitsemalla maalistasta Secure Core -kuvakkeella merkityt reitit tavallisten maapalvelinten sijaan.

Tavalliseen kotimaan sisäiseen selailuun Secure Core on usein tarpeeton lisä, koska se pidentää reittiä ja siten myös yhteyden vasteaikaa. Journalistille, ihmisoikeustyöntekijälle tai kenelle tahansa, joka käsittelee tietoja, jotka voisivat kiinnostaa valtiollista toimijaa, ylimääräinen viive on kuitenkin pieni hinta siitä, että jäljittäminen palvelimen tasolla muuttuu huomattavasti vaikeammaksi.

Vaihe 10: NetShieldin suodatustason valinta

NetShield on Protonin DNS-tason suodatin, joka estää mainoksia, seurantaevästeitä ja haittaohjelmia jo ennen kuin ne latautuvat selaimeen. Se toimii tarkistamalla jokaisen verkkotunnuksen omia tietokantoja vasten, jotka listaavat haittaohjelmien, mainosten tai seurantatyökalujen käyttämät domainit.

  • Vain haittaohjelmien esto – estää lataukset tunnetuilta haittasivustoilta, ei koske mainoksia
  • Mainokset, seuranta ja haittaohjelmat – oletusasetus useimmille käyttäjille
  • Mainokset, seuranta, haittaohjelmat ja aikuissisältö – toistaiseksi vain Windowsilla, muille alustoille tulossa myöhemmin
  • Pois päältä – ei suodatusta

NetShield sisältyy VPN Plus -tilaukseen ja kaikkiin muihin maksullisiin ProtonVPN-tilauksiin, ja se on käytössä kaikilla tuetuilla alustoilla (Windows, macOS, Android, iOS, Linux, Android TV, Apple TV). Ilmaisessa Proton Free -tilissä ominaisuutta ei mainita saatavilla olevaksi.

Käytännössä NetShield toimii samalla periaatteella kuin selaimeen asennettava mainostenesto-ohjelma, mutta koska suodatus tapahtuu DNS-tasolla ennen liikenteen saapumista laitteelle, se suojaa myös sovelluksia, joihin ei voi asentaa erillistä selainlaajennusta – esimerkiksi älytelevision suoratoistosovellusta tai pelikonsolia, jos ne on yhdistetty reitittimen kautta kulkevaan ProtonVPN-tunneliin.

Kun Kill Switch, Secure Core ja NetShield ovat kaikki asetettu omaan käyttötarkoitukseensa sopivalla tasolla, olet käynyt läpi ProtonVPN:n tärkeimmät suojausominaisuudet. Seuraavaksi katsotaan, miten liikennettä voi reitittää vielä tarkemmin sovelluskohtaisesti tai poikkeuksellisissa verkoissa.

Vaihe 11–12: Edistyneet reititysominaisuudet

Kolme ominaisuutta laajentaa perusyhteyttä tilanteisiin, joissa pelkkä “yhdistä ja unohda” ei riitä: split tunneling, Stealth-protokolla ja sisäänrakennettu Tor-tuki. Nämä koskettavat erityisesti kehittäjiä ja matkalla työskenteleviä käyttäjiä.

Vaihe 11: Split tunneling ja Stealth-protokolla

Split tunneling antaa sinun valita, mitkä sovellukset kulkevat VPN-tunnelin läpi ja mitkä eivät. Ominaisuus on maksullisilla tilauksilla kaikkien käytettävissä, mutta se toimii vain WireGuard- ja Stealth-protokollien kanssa – IKEv2:n kanssa se ei toimi. Tämä on hyvä tietää etukäteen, jos suunnittelet esimerkiksi jättäväsi pankkisovelluksen VPN:n ulkopuolelle mutta haluat silti muun liikenteen kulkevan tunnelin läpi.

Stealth puolestaan on Protonin oma obfuskointiprotokolla, joka tunneloi WireGuard-liikenteen TLS:n sisään saadakseen VPN-yhteyden näyttämään tavalliselta HTTPS-liikenteeltä. Se on suunniteltu erityisesti tilanteisiin, joissa verkko yrittää aktiivisesti tunnistaa ja estää VPN-liikennettä esimerkiksi syväpakettitarkastuksella. Vaihda protokolla sovelluksen asetuksista kohdasta “Protokolla” ja valitse Stealth, jos tavallinen WireGuard-yhteys ei muodostu tai katkeaa toistuvasti rajoittavassa verkossa.

Käytännön esimerkki: jos työskentelet toimistoverkossa, joka on määritelty sallimaan vain tavallinen HTTPS-liikenne portissa 443, tavallinen WireGuard-yhteys UDP-portissa 51820 ei todennäköisesti pääse läpi lainkaan. Stealth kiertää tämän, koska liikenne näyttää verkon näkökulmasta identtiseltä minkä tahansa muun salatun verkkosivun kanssa. Hidastumista tapahtuu jonkin verran ylimääräisen TLS-kerroksen vuoksi, mutta useimmille käyttötarkoituksille (sähköposti, selailu, videopuhelut) ero ei ole huomattava.

Vaihe 12: Tor-yhteyden reitittäminen VPN:n kautta

ProtonVPN sisältää sisäänrakennetun Tor-tuen: osa palvelimista on yhdistetty suoraan Tor-verkkoon, jolloin koko laitteen liikenne voidaan reitittää Tor-verkon kautta ilman erillistä Tor-selainta. Tämä on yksi Protonin lisäsuojatyökaluista, ja se sopii tilanteisiin, joissa haluat sekä VPN:n että Tor-verkon tarjoaman anonymiteetin samanaikaisesti ilman että joudut ajamaan kahta erillistä sovellusta.

Tämä eroaa siitä, että käyttäisit tavallista Tor Browseria VPN-yhteyden päällä: ProtonVPN:n Tor-palvelimet reitittävät koko laitteen liikenteen, kun taas erillinen Tor Browser suojaa vain kyseisen selainikkunan sisällä tapahtuvan selailun. Kumpikin lähestymistapa on pätevä, ja valinta riippuu siitä, tarvitsetko Tor-suojan koko laitteelle vai riittääkö se yhdelle sovellukselle kerrallaan.

Ota ominaisuus käyttöön valitsemalla maalistasta Tor-kuvakkeella merkitty palvelin. Huomaa, että Tor-reititys hidastaa yhteyttä merkittävästi verrattuna tavalliseen VPN-yhteyteen, joten se kannattaa varata tilanteisiin, joissa anonymiteetti on nopeutta tärkeämpää – esimerkiksi arkaluontoisten tietojen lähettämiseen tai sensuroidun sisällön tavoittamiseen. Jos tarvitset vielä vahvempaa anonymiteettiä kuin mitä VPN-yhdistetty Tor-palvelin tarjoaa, kannattaa tutustua myös erilliseen Tor Browserin asennukseen, joka reitittää liikenteen suoraan Tor-verkon kautta ilman väliin tulevaa VPN-palvelinta.

Vaihe 13–14: Reititinasennus ja yhteyden testaus

Jos haluat suojata koko kotiverkkosi kerralla, voit asentaa ProtonVPN:n WireGuard-yhteytenä suoraan reitittimeen. Tämä vaatii reitittimen, joka tukee WireGuard- tai OpenVPN-asiakasta, kuten OPNsense tai pfSense. Lataa määritystiedosto samalla tavalla kuin vaiheessa 6, mutta valitse kohdealustaksi reititin. Jos olet aiemmin pystyttänyt oman WireGuard-palvelimen Linuxille, komentorivisyntaksi on tuttua – erona on vain se, että nyt yhdistät Protonin valmiiseen palvelinverkkoon oman palvelimen sijaan.

# OPNsense: WireGuard-instanssin luonti komentoriviltä (esimerkki)
configctl wireguard client add \
  --name protonvpn-fi \
  --pubkey "" \
  --endpoint "xx-yy.protonvpn.net:51820" \
  --allowedips "0.0.0.0/0"
configctl wireguard start

Viimeisenä vaiheena testaa yhteys perusteellisesti. Tarkista DNS-vuodot, IP-osoitteen vaihtuminen ja tunnelin vakaus vähintään viiden minuutin ajan ennen kuin luotat asennukseen tuotannossa.

# DNS-vuototesti komentoriviltä
curl https://dnsleaktest.com/api/v1/test

# Tunnelin vakauden seuranta 5 minuutin ajan
watch -n 10 'sudo wg show protonvpn latest-handshakes'

Mobiiliasennus: Android ja iOS erikseen

Työpöytäasennus ja reititinasennus kattavat suurimman osan liikenteestä, mutta puhelin ansaitsee oman huomionsa, koska se liikkuu mukana vaihtelevien wifi-verkkojen välillä. Android- ja iOS-sovellukset toimivat samalla periaatteella kuin työpöytäversiot, mutta käyttöjärjestelmän omat asetukset vaikuttavat siihen, kuinka luotettavasti Kill Switch todella toimii.

Androidilla tärkein lisävaihe on käydä laitteen omissa VPN-asetuksissa (Asetukset → Verkko ja internet → VPN → ProtonVPN) aktivoimassa “Aina päällä” -tila sekä “Estä yhteydet ilman VPN:ää”. Ilman näitä käyttöjärjestelmätason asetuksia sovelluksen oma Kill Switch ei saa täyttä valtaa estää liikennettä, jos sovellus esimerkiksi kaatuu taustalla. iOS/iPadOS:llä vastaava suoja löytyy sovelluksen omista Suojausasetuksista, ja koska Advanced Kill Switch on iOS:llä vielä beta-tilassa, kannattaa testata sen toimivuus huolellisesti ennen kuin luottaa siihen kriittisessä käytössä.

Molemmilla mobiilialustoilla kannattaa myös tarkistaa, ettei käyttöjärjestelmä sammuta VPN-sovellusta taustalla akunsäästösyistä. Androidilla tämä tarkoittaa ProtonVPN-sovelluksen lisäämistä akunsäästön poikkeuslistalle, ja iOS:llä sen varmistamista, että sovellukselle on annettu lupa toimia taustalla. Jos yhteys katkeaa toistuvasti puhelimen lukittuessa, tämä on useimmiten ensimmäinen paikka, josta kannattaa etsiä syytä ennen kuin epäilee itse VPN-protokollaa.

Mobiilisovelluksissa kannattaa myös hyödyntää NetShieldiä oletuksena päällä olevana suojana, koska puhelimella selataan usein hetkellisesti tuntemattomissakin verkoissa esimerkiksi kaupoissa tai tapahtumissa. Koska VPN Accelerator on oletuksena päällä Android- ja iOS-sovelluksissa, mobiilikäyttäjän ei useinkaan tarvitse säätää nopeusasetuksia erikseen – riittää, että protokollaksi valitaan Stealth silloin, kun verkko vaikuttaa estävän tavallisen WireGuard-yhteyden.

Nopeuden optimointi: VPN Accelerator ja Moderate NAT

Kaksi vähemmän tunnettua asetusta vaikuttaa suoraan siihen, miltä ProtonVPN tuntuu arjessa: VPN Accelerator ja Moderate NAT. Kumpikin näkyi jo vaiheessa 6 WireGuard-määritystä luodessa, mutta ne kannattaa ymmärtää tarkemmin ennen kuin ottaa ne käyttöön tai jättää pois.

VPN Accelerator on Protonin oma teknologia, jonka Proton kertoo voivan nostaa VPN-nopeutta jopa 400 % pitkillä etäisyyksillä palvelimeen. Se on oletuksena päällä Windows-, macOS-, iOS- ja Android-sovelluksissa, ja sen voi tarvittaessa kytkeä pois sovelluksen asetuksista. Suomalaiselle käyttäjälle tämä näkyy käytännössä eniten silloin, kun yhdistät kaukaisempaan palvelimeen esimerkiksi Aasiassa tai Yhdysvalloissa suoratoistopalvelun avaamiseksi – lähempiin, esimerkiksi Ruotsin tai Saksan palvelimiin, ero on huomattavasti pienempi.

Moderate NAT puolestaan ratkaisee eri ongelman: se poistaa käytöstä VPN-palvelimen ja laitteesi välisen osoitekartoituksen satunnaistamisen, mikä helpottaa suorien yhteyksien muodostamista muihin käyttäjiin. Käytännössä tämä tarkoittaa, että moninpeleissä yleiset “strict NAT” -ongelmat vähenevät. Ominaisuus on kaikkien maksullisten tilausten käytettävissä, mutta sitä ei voi käyttää yhtä aikaa porttien uudelleenohjauksen kanssa – jos tarvitset molempia, joudut valitsemaan kumpi on tärkeämpi kyseiselle laitteelle.

Yleisimmät sudenkuopat asennuksessa

Vaikka ProtonVPN:n asennus on suoraviivainen, viisi virhettä toistuu käyttäjäfoorumeilla ja tukipyynnöissä muita useammin.

  • Kill Switch ja split tunneling päällä yhtä aikaa väärällä alustalla. Vain Windows tukee molempia samanaikaisesti – muilla alustoilla toinen ominaisuuksista pitää sammuttaa.
  • IKEv2 valittuna split tunnelingin kanssa. Ominaisuus ei toimi IKEv2:n kanssa lainkaan, vain WireGuardin ja Stealthin kanssa.
  • Ilmaisen tilin käyttäjä yrittää ladata WireGuard-määritystiedostoa täysillä VPN-asetuksilla. Proton Free rajoittaa manuaaliset asetukset lähinnä VPN Acceleratoriin – muut vaativat maksullisen tilauksen.
  • Manuaalinen wg-quick-tunneli ilman kill switch -sääntöjä. Raaka WireGuard-määritys ei automaattisesti tuo Protonin sovelluksen hallinnoimaa Kill Switchia mukanaan – palomuurisäännöt pitää kirjoittaa itse tai käyttää virallista sovellusta.
  • Vanhentunut .conf-tiedosto käytössä pitkään. Jos palvelin vaihtuu tai avaimet vanhenevat, vanha tiedosto lakkaa toimimasta ilman selkeää virheilmoitusta – lataa tuore tiedosto, jos handshake ei koskaan onnistu.

Näistä virheistä suurin osa syntyy siitä, että käyttäjä yhdistää useita edistyneitä ominaisuuksia keskenään testaamatta niitä yksi kerrallaan. Kun otat käyttöön Kill Switchin, Secure Coren, split tunnelingin tai Stealth-protokollan, kannattaa testata jokainen muutos erikseen ja varmistaa yhteyden toimivuus ennen seuraavan ominaisuuden aktivointia. Tämä säästää huomattavasti aikaa verrattuna siihen, että yrittää selvittää jälkikäteen, mikä neljästä samaan aikaan käyttöön otetusta asetuksesta aiheutti ongelman.

Kannattaa myös pitää mielessä, että osa näistä virheistä toistuu erityisesti silloin, kun asennus tehdään kiireessä ennen matkaa tai tärkeää etätyöpäivää. Jos aikataulu on tiukka, testaa Kill Switch ja protokollavalinta jo hyvissä ajoin etukäteen tutussa verkossa, älä vasta lentokentällä tai asiakkaan tiloissa – silloin virheiden selvittäminen on sekä hitaampaa että stressaavampaa, kun taustalla on aikataulupaine.

Vianmääritys: 8 yleistä ongelmaa ja ratkaisua

Jos yhteys ei toimi odotetusti, kannattaa edetä järjestelmällisesti alhaalta ylöspäin: ensin verkkotason ongelmat (portit, palomuurit), sitten sovellustason asetukset (protokolla, Kill Switch) ja vasta viimeiseksi ominaisuuskohtaiset rajoitukset (split tunneling, NetShield). Tämä järjestys säästää aikaa, koska verkkotason ongelma (esimerkiksi estetty portti) näyttää usein täsmälleen samalta kuin sovellustason virhe – molemmissa tapauksissa yhteys vain ei muodostu eikä sovellus välttämättä osaa kertoa, kummasta on kyse.

Alla oleva taulukko kokoaa kahdeksan yleisintä ongelmaa, jotka nousevat esiin ProtonVPN:n käyttäjätuessa ja foorumeilla.

OngelmaTodennäköinen syyRatkaisu
Yhteys ei muodostu lainkaanPalomuuri tai reititin estää UDP-portin 51820Tarkista reitittimen porttiasetukset tai vaihda Stealth-protokollaan
“latest handshake” ei koskaan ilmestyVanhentunut tai virheellinen .conf-tiedostoLataa uusi määritystiedosto account.protonvpn.com-sivulta
IP-osoite ei vaihdu testissäSovellus näyttää yhdistettynä, mutta tunneli ei ole aktiivinenKatkaise ja muodosta yhteys uudelleen, tarkista sovelluksen tilarivi
DNS-vuoto testissäKäyttöjärjestelmä käyttää omaa DNS-palvelinta tunnelin ohiOta käyttöön Kill Switch tai pakota DNS-reititys VPN-sovelluksen asetuksista, tai vertaa asetuksia DNS over HTTPS -oppaaseen
Split tunneling ei toimiProtokollaksi valittu IKEv2Vaihda protokolla WireGuardiin tai Stealthiin
Kill Switch estää kaiken liikenteen myös VPN:n ollessa pois päältäAdvanced Kill Switch on jäänyt päälleVaihda Standard-tasoon tai sammuta Kill Switch asetuksista
Yhteys katkeaa toistuvasti rajoittavassa verkossaDPI (syväpakettitarkastus) tunnistaa WireGuard-liikenteenVaihda Stealth-protokollaan, joka naamioi liikenteen HTTPS:ksi
Reititinasennus ei käynnisty komennon jälkeenVäärä julkinen avain tai endpoint-osoite kopioituKopioi arvot uudelleen suoraan ladatusta .conf-tiedostosta, älä kirjoita käsin

Protokollavertailu: WireGuard, OpenVPN, IKEv2 ja Stealth

ProtonVPN tukee useampaa protokollaa, ja oikean valinta riippuu käyttötilanteesta. Moni käyttäjä jättää protokollan oletusasetukseen eikä koskaan vaihda sitä, vaikka väärä valinta voi selittää sekä hitauden että katkeilevat yhteydet. Alla oleva taulukko kokoaa protokollien pääasialliset ominaisuudet ja rajoitukset, jotka nousivat esiin Protonin omasta dokumentaatiosta.

ProtokollaSplit tunnelingTyypillinen käyttötilanneHuomio
WireGuardKylläYleiskäyttö, nopeusProtonin oletusprotokolla, avoimen lähdekoodin määrittely
StealthKylläSensuurin kiertäminen, rajoittavat verkotWireGuard tunneloituna TLS:n sisään, näyttää HTTPS-liikenteeltä
OpenVPNAlustariippuvainenYhteensopivuus vanhempien laitteiden kanssaVakaa mutta yleensä WireGuardia hitaampi
IKEv2EiMobiiliyhteydet, verkonvaihdotEi tue split tunnelingia lainkaan

Käytännön nyrkkisääntönä: pidä WireGuard oletuksena kotona ja toimistossa, vaihda Stealthiin lentokentillä, hotelliverkoissa ja yritysverkoissa, joissa VPN-liikenne saatetaan estää aktiivisesti, ja käytä OpenVPN:ää vain, jos jokin vanhempi laite tai reititin ei tue kumpaakaan edellä mainituista.

IKEv2 kannattaa varata tilanteisiin, joissa laite vaihtaa usein verkkoa (esimerkiksi wifin ja mobiilidatan välillä) eikä split tunneling ole tarpeen – protokolla on suunniteltu säilyttämään yhteys sujuvasti verkon vaihtuessa, mutta hinta siitä on split tunnelingin puuttuminen kokonaan. Jos molemmat ominaisuudet ovat tärkeitä samalle laitteelle, WireGuard on ainoa vaihtoehto, joka tukee kumpaakin yhtä aikaa useimmilla alustoilla.

Edistyneet vinkit kokeneemmille käyttäjille

Kun perusasennus on kunnossa, kannattaa hienosäätää muutama lisäasetus. Ensinnäkin, jos käytät ProtonVPN:ää palvelimella tai kotiverkon reitittimessä, aseta wg-quick-tunneli käynnistymään automaattisesti järjestelmän käynnistyksen yhteydessä systemd-palveluna, jotta yhteys palautuu myös sähkökatkon jälkeen.

sudo systemctl enable wg-quick@protonvpn
sudo systemctl start wg-quick@protonvpn
systemctl status wg-quick@protonvpn

Toiseksi, jos yhdistät useista laitteista samaan tiliin, luo jokaiselle laitteelle oma nimetty WireGuard-määritys sen sijaan, että jaat saman .conf-tiedoston kaikkialle. Tämä helpottaa vianmääritystä, koska näet Proton-tilisi hallintapaneelista, mikä laite on kulloinkin yhteydessä. Kolmanneksi, jos käytät Secure Corea yhdessä Stealth-protokollan kanssa rajoittavassa verkossa, testaa yhteys ensin ilman Secure Corea – kaksinkertainen reititys yhdistettynä obfuskointiin voi nostaa viivettä huomattavasti hitaammissa mobiiliverkoissa.

Kannattaa myös harkita erillisen palvelutilin luomista, jos jaat ProtonVPN-tilin perheen tai pienen tiimin kesken. Vaikka sama tili riittää tekniseltä kannalta usealle laitteelle, erilliset nimetyt WireGuard-määritykset jokaiselle käyttäjälle helpottavat sekä vianmääritystä että sitä, että voit tarvittaessa perua yhden laitteen pääsyn poistamalla vain sen määrityksen muiden pysyessä koskemattomina.

Neljänneksi, jos ajat ProtonVPN:ää palvelinympäristössä osana laajempaa tietoturva-arkkitehtuuria, yhdistä Kill Switch-säännöt iptables– tai nftables-tason omiin varmistussääntöihin, sillä pelkkä wg-quick ei tuo mukanaan Protonin sovelluksen hallinnoimaa automaattista lukitusta.

Viidenneksi, seuraa tunnelin liikennemäärää säännöllisesti erityisesti reititin- ja palvelinasennuksissa, joissa et näe graafista sovellusta. Yksinkertainen vnstat-työkalu Linuxissa riittää huomaamaan, jos liikenne pysähtyy kokonaan tai kasvaa yllättävän suureksi – jälkimmäinen voi viitata siihen, että joku toinen laite käyttää samaa tunnelia vahingossa.

sudo apt install vnstat
vnstat -i protonvpn --live

# Esimerkkituloste:
#    rx     10.4 KiB/s    tx      3.1 KiB/s
#    rx        4.86 MiB   tx      1.42 MiB   since 21:04:12

Valmis esimerkkiprojekti: koti- ja etätyöverkon suojaus

Kootaan lopuksi yhteen täysi, toimiva kokonaisuus, jossa reititin ajaa jatkuvaa ProtonVPN-tunnelia ja kotiverkon laitteet kulkevat automaattisesti sen kautta, kun taas kannettava tietokone käyttää erillistä Stealth-yhteyttä matkoilla.

  • Reititin (OPNsense): pysyvä WireGuard-tunneli Ruotsin palvelimelle, VPN Accelerator päällä nopeuden takia
  • Kotitoimiston työasema: virallinen Linux-sovellus, Advanced Kill Switch päällä, NetShield tasolla “mainokset, seuranta ja haittaohjelmat”
  • Kannettava tietokone matkoilla: Stealth-protokolla lentokenttä- ja hotelliverkoissa, Standard Kill Switch (koska split tunneling on käytössä pankkisovellusta varten)
  • Puhelin: Android-sovellus, “Aina päällä” -VPN ja “Estä yhteydet ilman VPN:ää” aktivoituna laitteen omista asetuksista

Tällainen kerrostettu asennus tarkoittaa, että vaikka yksi laite jäisi hetkeksi ilman VPN-suojaa (esimerkiksi reitittimen uudelleenkäynnistyksen aikana), muut laitteet pysyvät edelleen suojattuina omilla, toisistaan riippumattomilla Kill Switch -asetuksillaan.

Ennen kuin julistat projektin valmiiksi, käy läpi lyhyt tarkistuslista: varmista, että jokainen laite näkyy erillisenä yhteytenä Proton-tilisi hallintapaneelissa, testaa DNS-vuototesti jokaiselta laitteelta erikseen, sammuta reititin hetkeksi ja tarkista, että kotitoimiston työasema todella menettää internetyhteyden Advanced Kill Switchin ansiosta, ja lopuksi vertaa mitattua nopeutta ilman VPN:ää ja sen kanssa, jotta tiedät, mihin nopeuteen sovellusten pitäisi asettua arjessa.

Tämän kaltainen projekti kannattaa dokumentoida myös itselleen – kirjaa ylös, minkä palvelimen valitsit reitittimeen, mitkä laitteet käyttävät mitäkin protokollaa ja miksi. Kuuden kuukauden päästä on helppo unohtaa, miksi juuri Ruotsin palvelin valittiin oletukseksi tai miksi kannettavalla on Standard eikä Advanced Kill Switch käytössä. Lyhyt muistiinpano säästää aikaa seuraavalla kerralla, kun jokin asetus pitää tarkistaa tai laite vaihtuu uuteen.

ProtonVPN Suomessa ja Pohjolassa: mitä kannattaa huomioida

Suomalaisille ja pohjoismaisille käyttäjille erityisen kiinnostavaa on Secure Core -verkon sijainti: Ruotsin maanalainen konesali ja Islannin entinen sotilastukikohta tarjoavat lähialueen reitityksen, joka ei vaadi liikenteen kiertämistä Keski-Euroopan tai Yhdysvaltojen kautta. Tämä pitää viiveen kohtuullisena samalla kun liikenne kulkee kahden ylimääräisen, kovennetun solmun läpi.

Kansallisen kyberturvallisuuden näkökulmasta VPN-yhteyden protokollavalinnalla on väliä myös yritysympäristöissä. Traficomin Kyberturvallisuuskeskus on toistuvasti muistuttanut, että salattujen yhteyksien ja päivitettyjen protokollien käyttö on yksi perustason suojautumiskeino sekä kotikäyttäjille että organisaatioille. Samaa linjaa noudattaa EU:n kyberturvallisuusvirasto ENISA, joka on nostanut VPN-palveluiden läpinäkyvyyden ja riippumattomat tarkastukset esiin osana verkkoinfrastruktuurin luottamuksen rakentamista.

EU:n tietosuoja-asetuksen (GDPR) näkökulmasta VPN-palvelun kotimaa vaikuttaa siihen, minkä lainsäädännön piirissä käyttäjän liikennetiedot teoriassa ovat, vaikka palveluntarjoaja ei niitä lokittaisikaan. Sveitsi ei ole EU-jäsen, mutta maan tietosuojalainsäädäntö on Euroopan komission arvioimana riittävän tasoinen, mikä on osaltaan vahvistanut Protonin asemaa eurooppalaisten yritysten ja yksityishenkilöiden silmissä. Tämä on eri asia kuin tekninen suojaus – riippumattomat lokittomuustarkastukset ja avoimen lähdekoodin protokollat ratkaisevat sen, mutta juridinen konteksti selittää osan siitä, miksi ProtonVPN nousee toistuvasti esiin nimenomaan eurooppalaisissa vertailuissa amerikkalaisten ja aasialaisten kilpailijoiden sijaan.

Käytännön tasolla monissa suomalaisissa yrityksissä VPN-käyttö on osa laajempaa etätyöpolitiikkaa, jossa työntekijän odotetaan käyttävän salattua yhteyttä aina, kun hän kytkeytyy yrityksen järjestelmiin kotiverkon tai julkisen verkon kautta. Tässä kontekstissa Advanced Kill Switch ja Secure Core eivät ole ylimitoitettuja lisäominaisuuksia, vaan käytännön keinoja varmistaa, ettei arkaluontoinen liikenne pääse koskaan kulkemaan suojaamattomana edes hetkellisen yhteyskatkon aikana.

VPN on kuitenkin vain yksi osa laajempaa yksityisyyden suojaamisen kokonaisuutta. Jos haluat täydentää ProtonVPN-asennuksen muilla toimenpiteillä, kannattaa tutustua myös selaimen omiin yksityisyysasetuksiin ja seurannanestoon – esimerkiksi Mullvad Browserin koventamiseen – sillä VPN suojaa liikenteen reitin, mutta ei estä selaimen omaa sormenjälkeä tai evästeisiin perustuvaa seurantaa. Katso myös yksityisyys-aiheiden koko sisältökokonaisuus, jos haluat rakentaa kattavamman suojauskokonaisuuden VPN:n ympärille.

Tämän oppaan kaikki vaiheet toimivat sekä Suomessa että muissa Pohjoismaissa, sillä ProtonVPN ei sovella alueellisia rajoituksia protokollien tai ominaisuuksien saatavuuteen. Lisätietoa Protonin WireGuard-toteutuksesta löytyy virallisesta dokumentaatiosta, Kill Switchin toiminnasta tukisivulta, Secure Coresta arkkitehtuurikuvauksesta, NetShieldistä suodatinsivulta, split tunnelingista ohjeesta, Stealth-protokollasta esittelyartikkelista ja lokittomuustarkastuksista Securitumin raporttien yhteenvedosta.

Usein kysytyt kysymykset

Toimiiko ProtonVPN ilmaiseksi?
Kyllä, Proton Free -tili on olemassa ja siihen kuuluu rajoitettu määrä palvelinsijainteja ilman nopeusrajoitusta. WireGuard-määritystiedostot, Secure Core ja NetShieldin täydet tasot vaativat kuitenkin maksullisen VPN Plus- tai Proton Unlimited -tilauksen.

Onko ProtonVPN turvallisempi kuin kilpailijat, koska se on sveitsiläinen?
Sveitsin lainsäädäntö poikkeaa EU:n ja Yhdysvaltojen tiedustelusopimuksista, mikä on yksi syy Protonin suosioon. Tämä ei kuitenkaan yksinään takaa turvallisuutta – sen sijaan kannattaa tarkastella riippumattomia lokittomuustarkastuksia, kuten Securitumin toistuvasti julkaisemia raportteja, sekä sitä, käyttääkö palvelu avoimen lähdekoodin protokollia, joita ulkopuoliset tutkijat voivat tarkastaa itse.

Mitä eroa on Standard- ja Advanced Kill Switchillä?
Standard aktivoituu vain, kun yhteys katkeaa vahingossa. Advanced sallii internetyhteyden ainoastaan silloin, kun laite on aktiivisesti yhteydessä ProtonVPN:ään, eikä tee poikkeusta edes laitteen uudelleenkäynnistyksen jälkeen.

Voinko käyttää split tunnelingia kaikkien protokollien kanssa?
Et. Split tunneling toimii vain WireGuard- ja Stealth-protokollien kanssa. IKEv2 ei tue sitä lainkaan.

Mihin Stealth-protokollaa kannattaa käyttää?
Stealth on hyödyllinen verkoissa, jotka aktiivisesti yrittävät tunnistaa ja estää VPN-liikennettä syväpakettitarkastuksella. Se tunneloi WireGuard-liikenteen TLS:n sisään, jolloin yhteys näyttää tavalliselta HTTPS-liikenteeltä.

Voiko ProtonVPN:n asentaa suoraan reitittimeen?
Kyllä, jos reititin tukee WireGuard- tai OpenVPN-asiakasta (esimerkiksi OPNsense tai pfSense). Tällöin koko kotiverkko kulkee VPN-tunnelin kautta ilman erillistä sovellusta jokaisella laitteella.

Miksi tunneli ei muodosta handshakea koskaan?
Yleisin syy on vanhentunut tai virheellisesti kopioitu .conf-tiedosto. Lataa tuore määritystiedosto account.protonvpn.com-sivulta ja varmista, että julkinen avain ja endpoint-osoite on kopioitu suoraan tiedostosta käsin kirjoittamisen sijaan. Toinen yleinen syy on reitittimen tai palomuurin estämä UDP-liikenne, joten tarkista myös porttiasetukset ennen kuin epäilet itse määritystiedostoa.

Kannattaako Secure Core ottaa käyttöön aina?
Ei välttämättä. Secure Core lisää viivettä, koska liikenne kulkee ylimääräisen palvelimen kautta. Se kannattaa ottaa käyttöön erityisesti silloin, kun yhdistät palvelimiin maissa, joissa on rajoittava internetsääntely tai laajat valvontavaltuudet – tavalliseen kotikäyttöön tavallinen palvelinvalinta riittää useimmiten.

Toimiiko ProtonVPN normaalisti suomalaisten operaattoreiden verkoissa?
ProtonVPN ei sovella maakohtaisia rajoituksia protokollien tai ominaisuuksien saatavuuteen, joten kaikki tässä oppaassa läpikäydyt vaiheet (WireGuard, Stealth, Kill Switch, Secure Core, NetShield) toimivat samalla tavalla Suomessa kuin muuallakin. Jos yhteys silti katkeilee tietyssä operaattoriverkossa, kannattaa ensin kokeilla protokollan vaihtoa Stealthiin ennen kuin epäilee operaattorin estävän VPN-liikennettä kokonaan.