Обновлено
«Полная анонимность в интернете» — фраза с рекламного баннера, а не из технической документации. Разберёмся, что VPN меняет на самом деле, какие данные продолжают утекать мимо туннеля и как это проверить за пять минут.
Содержание
Три разных слова, которые постоянно смешивают
Безопасность — данные нельзя прочитать или подменить по пути. Этим занимается шифрование.
Приватность — наблюдатель не видит, чем вы заняты, но может знать, что вы существуете и подключены. Примерно как непрозрачные шторы: соседи знают, где вы живёте, но не видят, что происходит в комнате.
Анонимность — невозможно установить, что действие совершили именно вы. Это принципиально более высокая планка.
VPN хорошо работает с первыми двумя. Третью он даёт только частично и только против определённых наблюдателей. Причина простая: вы заключили договор с компанией, обычно заплатили ей карточкой и подключаетесь к её серверу с одного и того же устройства.
От кого именно вы прячетесь
Без ответа на этот вопрос разговор о защите беспредметен. Наблюдатели очень разные.
Оператор связи или владелец Wi-Fi. Скрыть содержание и маршрут — VPN справляется, если нет утечек. Сам факт подключения к VPN, объём и время трафика оператор видит. Подробнее — в разборе, от чего VPN защищает.
Сайты и рекламные сети. Скрыть IP — справляется. Не узнать вас по отпечатку браузера и куки — не справляется совсем.
Ваш VPN-сервис. Он видит ваш реальный адрес и ваши подключения по определению. Единственный рычаг здесь — выбор компании, которая осознанно не хранит лишнего.
Наблюдатель, который видит сеть с обеих сторон. Против него VPN не работает в принципе: достаточно сопоставить тайминги.
Правоохранительные органы при расследовании. Чаще работают не с трафиком, а с людьми, платежами и аккаунтами.
Для большинства людей актуальны первые две строки. Именно поэтому VPN — разумная покупка, и именно поэтому обещания про анонимность — преувеличение.
Утечки: когда туннель включён, но работает не весь трафик
Самая частая техническая проблема. Иконка зелёная, IP поменялся, а часть данных идёт мимо.
DNS
Перед открытием сайта устройство спрашивает, какому адресу соответствует домен. Если этот запрос уходит к серверу провайдера в обход туннеля, список посещённых сайтов остаётся у провайдера — притом что весь остальной трафик защищён.
Причины: кривой клиент, ручные настройки DNS в системе, собственный «безопасный DNS» в браузере и поведение Windows, которая по умолчанию рассылает DNS-запросы через все сетевые подключения сразу.
IPv6
Часть сервисов раздаёт клиентам только IPv4-адрес внутри туннеля, а IPv6 у системы остаётся собственный. Сайт, поддерживающий оба протокола, получает настоящий адрес и видит вас так же, как без VPN.
Решение — либо полноценная поддержка IPv6 у сервиса, либо отключение IPv6 на время подключения. Приличные клиенты делают это сами.
WebRTC
Технология видеозвонков в браузере. Чтобы установить прямое соединение между участниками, она опрашивает вспомогательные серверы и получает список собственных адресов устройства — включая публичный. Скрипт на странице может забрать этот список через JavaScript. Блокировщик рекламы от этого не страхует: он может не пустить известный следящий скрипт, но сам механизм WebRTC не отключает.
Локальные адреса современные браузеры прячут сами. С публичным сложнее: при полном туннеле сайт увидит адрес VPN, но настоящий адрес может засветиться, если часть трафика идёт мимо туннеля — раздельное туннелирование, кривой клиент, несколько активных сетевых подключений. Эти правила описаны в RFC 8828. Поэтому проверка обязательна.
Момент разрыва
Соединение обрывается на две секунды — фоновые приложения успевают сходить в сеть напрямую. От этого спасает kill switch: правило файрвола, которое блокирует весь трафик, пока туннель не поднят. Проверьте, что он включён — по умолчанию бывает выключен.
Раздельное туннелирование
Удобная функция, которая незаметно проделывает дыру: приложения из списка исключений ходят напрямую со всеми вытекающими.
Проверка за пять минут
Делайте по порядку. Первый шаг — без VPN, остальные — с включённым.
- Запомните исходные данные. Отключите VPN, откройте любой сервис определения IP, запишите адрес и город.
- Включите VPN и обновите страницу. Адрес и страна должны смениться. Если нет — туннель не поднялся.
- Проверьте DNS. Сервис вроде dnsleaktest.com в расширенном режиме. В результатах не должно быть вашего провайдера — только серверы VPN-сервиса или выбранного вами резолвера.
- Проверьте WebRTC. Страница browserleaks.com/webrtc показывает адреса, видимые через эту технологию. Вашего настоящего адреса там быть не должно. Имя вида xxxx.local в поле локального адреса — это нормально.
- Проверьте IPv6. Сервис test-ipv6.com. Либо адрес принадлежит VPN, либо IPv6 не определяется вовсе — оба варианта нормальны.
- Проверьте kill switch. Оборвите саму сеть: выключите и включите Wi-Fi или перейдите с Wi-Fi на раздачу с телефона. Пока клиент переподключается, страницы открываться не должны, а сервис определения IP не должен показать ваш настоящий адрес. Это грубая проверка: она ловит явный отказ, но не гарантирует отсутствие коротких утечек.
Повторять стоит после каждого крупного обновления системы, браузера или клиента: настройки иногда сбрасываются.
Что остаётся видимым даже при идеальной настройке
Отпечаток браузера. Версия, разрешение экрана, шрифты, часовой пояс, поведение графической подсистемы. Комбинация часто настолько редкая, что браузер можно узнать без куки — это показало ещё исследование EFF. VPN на неё не влияет. Свой отпечаток можно посмотреть на coveryourtracks.eff.org.
Несоответствия. Немецкий IP при московском часовом поясе и русской локали — сигнал сам по себе.
Поведение. Время активности, темп печати, набор посещаемых сайтов, стиль письма. Против массовой рекламной слежки это, как правило, не используется, против целевого анализа — вполне.
Ритм трафика. Наблюдатель, который видит вход в туннель и выход из него, сопоставит объёмы и паузы. Шифрование содержимого здесь не помогает.
Остальное — аккаунты, куки, приложения на телефоне — разобрано в материале, от чего VPN не защищает.
А если использовать Tor?
Tor решает другую задачу и решает её лучше: трафик идёт через цепочку из трёх узлов, и ни один из них не знает одновременно источник и назначение. Платой становится скорость и постоянные капчи. От наблюдателя, который видит оба конца соединения, не защищает и Tor.
Практическое правило: VPN — для повседневной приватности, когда нужно убрать наблюдателя и не потерять комфорт. Tor — когда цена раскрытия высока и скоростью можно пожертвовать. Комбинации вроде «VPN, потом Tor» дают выигрыш в узких сценариях и часто настраиваются неправильно — сам Tor Project не советует их без понимания настройки.
Промежуточный вариант — собственный сервер, где вы сами контролируете логирование. Он заменяет доверие к VPN-компании доверием к хостингу и добавляет новый вопрос: адрес принадлежит вам одному, и трафик на нём не смешивается с чужим.
Реалистичная картина
Если сформулировать без маркетинга, при грамотно настроенном VPN вы получаете следующее.
Провайдер не знает, какие сайты вы открываете. Владелец Wi-Fi не знает тоже. Сайты видят чужой адрес и чужую страну. Рекламные сети теряют привязку по IP, но сохраняют все остальные способы вас узнать. Сервисы, в которые вы вошли, знают вас как и раньше. Ваш VPN-провайдер видит то, что видел оператор связи, и вопрос упирается в его добросовестность.
Это заметное улучшение по сравнению с открытым каналом. Это не анонимность. Разница между этими двумя утверждениями и есть тема всего раздела.
Короткие ответы
Делает ли VPN меня анонимным?
Нет. Он делает вас менее заметным для наблюдателей между вами и сервером. Аккаунты, отпечаток браузера и сам VPN-сервис остаются.
Что такое утечка DNS простыми словами?
Трафик идёт через туннель, а запросы имён сайтов — мимо, к провайдеру. Он снова видит, куда вы ходите.
Как понять, что всё настроено правильно?
Пять проверок из раздела выше: IP, DNS, WebRTC, IPv6 и kill switch.
Нужно ли отключать WebRTC?
Если не пользуетесь звонками в браузере — можно. Иначе проверьте результат на тестовой странице; если адрес утекает, ограничьте WebRTC в настройках браузера или расширением.
VPN плюс Tor — это лучше?
Обычно нет: сам Tor Project не советует такую связку без понимания настройки. Для повседневных задач хватает чего-то одного.
Почему нельзя просто доверять надписи «мы не ведём логи»?
Потому что это утверждение, а не доказательство. Подтверждают его независимые аудиты, юрисдикция и поведение компании при официальных запросах.