Что такое VPN?

VPN-приложение на вашем устройстве открывает соединение с одним из серверов провайдера и согласовывает с ним ключ шифрования по протоколу вроде WireGuard, OpenVPN или IKEv2/IPsec. С этого момента каждый пакет, который отправляет устройство, упаковывается внутрь этого зашифрованного соединения — туннеля. Ваш домашний роутер, Wi-Fi кафе, ваш интернет-провайдер и каждый маршрутизатор между вами и VPN-сервером видят только зашифрованный трафик, идущий на один адрес — сервер. Сервер распаковывает каждый пакет и отправляет его настоящему адресату, подставляя в качестве источника собственный адрес; ответы возвращаются тем же путём.

Отсюда три следствия. Для сайта вы — VPN-сервер: его адрес, его страна, его провайдер. Для вашего интернет-провайдера вы — кто-то, обменивающийся зашифрованными данными с VPN-сервером; адреса назначения и DNS-запросы спрятаны в туннеле. А для VPN-провайдера вы видны ровно так же, как раньше были видны своему провайдеру: он видит каждый адрес назначения, и именно ему вам придётся доверять. Первые VPN были корпоративными: ноутбук дома подключался к сети офиса, как будто воткнут там в розетку, — именно на это до сих пор указывает «частная сеть» в названии. Потребительские VPN используют ту же технологию, чтобы изменить место, где ваш трафик выходит в публичный интернет.

Протоколы значат меньше, чем внушает маркетинг. WireGuard — современный выбор: небольшая кодовая база, быстрые рукопожатия, современные шифры (ChaCha20-Poly1305). OpenVPN старше, медленнее и поддерживается везде. IKEv2/IPsec встроен в телефоны и хорошо переподключается при переходе между Wi-Fi и мобильной сетью. Все три безопасны при правильной настройке; разница, которую вы заметите, — скорость и то, как быстро туннель восстанавливается после смены сети.

Скрыто от сайтов и сервисов: ваш IP-адрес, а вместе с ним примерное местоположение, провайдер и тип подключения. Вместо них они видят данные VPN-сервера, и многие сайты распознают его как VPN-адрес, потому что диапазоны коммерческих VPN опубликованы и находятся в сетях хостинга.

Скрыто от вашего провайдера и локальной сети: каждый адрес назначения, каждый DNS-запрос, каждое имя сервера. Они видят объём зашифрованного трафика и VPN-сервер, с которым вы общаетесь, — и ничего больше. Это самый сильный эффект VPN и причина пользоваться им в публичном Wi-Fi.

Не скрыто:

• Кто вы для сайтов, на которых входите в аккаунт. Ваш аккаунт, cookie и отпечаток браузера идентифицируют вас независимо от адреса, с которого вы пришли. VPN меняет адрес, а не человека.
• Что угодно от VPN-провайдера. Он видит то, что раньше видел ваш провайдер. Провайдер с убедительной, прошедшей аудит политикой отсутствия логов ничего не хранит; бесплатный обычно окупается вашими данными.
• Содержимое трафика после сервера. Между VPN-сервером и сайтом защиту даёт HTTPS, ровно как и без VPN. Шифрование VPN заканчивается на его сервере.
• Трафик, идущий в обход туннеля. DNS-запрос, отправленный резолверу вашего провайдера, запрос WebRTC с реального интерфейса браузера или IPv6-трафик, который VPN не несёт, — всё это выходит в интернет с вашим настоящим адресом. Это утечки, они нередки, и именно их ищут тесты на этом сайте: две самые частые разобраны в статьях что такое утечка DNS и что такое WebRTC.
• Ваш часовой пояс и язык. Браузер по-прежнему сообщает часовой пояс и языки устройства; VPN-адрес в одной стране при часах устройства в другой — сигнал, которым пользуются антифрод-системы и стриминговые сервисы.

Одним предложением: VPN скрывает ваше сетевое местоположение от сайтов и ваши адреса назначения от сети — и больше ничего.

Стоит:

• В публичном или общем Wi-Fi: отели, аэропорты, кафе, конференц-площадки. Туннель убирает метаданные, которые могла бы собрать сеть, и обезвреживает трюки с поддельными сетями (безопасность в публичном Wi-Fi).
• Когда вы не хотите, чтобы провайдер, работодатель или сеть арендодателя видели, куда вы подключаетесь.
• Когда вам нужно выглядеть находящимся в другой стране для сервиса, которым вы вправе пользоваться, — например, для собственной подписки на стриминг или сайта вашего банка в поездке.
• Для удалённого доступа к корпоративной или домашней сети — исходное назначение.
• Когда домашнее подключение находится за NAT операторского класса и вам нужен стабильный, доступный снаружи адрес; некоторые VPN-провайдеры предлагают для этого выделенный адрес.

Не стоит:

• Как общий «слой безопасности» в доверенной домашней сети, где HTTPS и так повсюду: защищать ему почти нечего.
• Ради анонимности. VPN переносит доверие от провайдера к VPN-провайдеру, но не убирает сторону, которая вас видит. Для этого существует Tor — со своими компромиссами.
• Потому что реклама сказала, что ваши данные «открыты». Ваш IP-адрес всегда виден сайтам, которыми вы пользуетесь, — так устроен интернет, и раскрывает он меньше, чем намекает реклама (что можно сделать, зная ваш IP).

Что взвесить: ежемесячную плату, несколько меньшую скорость (крюк плюс шифрование; небольшие потери с близким сервером и WireGuard, большие — с далёким или перегруженным), капчи и блокировки на сайтах, подозрительно относящихся к VPN-адресам, и необходимость выбрать провайдера, которому вы доверяете больше, чем своему интернет-провайдеру. Бесплатные VPN, за которыми не стоит организация, которую вы можете назвать, обычно сами и являются продаваемым товаром.

Подключите VPN, затем посмотрите на карточку ниже. В первой строке должен быть адрес VPN-сервера и его провайдер, а не ваш интернет-провайдер; если показан ваш провайдер, приложение вообще не несёт ваш трафик (обычное дело после спящего режима или смены сети). Строка WebRTC должна показывать либо ничего, либо тот же адрес, что и первая строка; второй, другой адрес — это ваш настоящий, утекающий из браузера. Строка DNS должна перечислять резолвер VPN или публичный, доступный через туннель; резолвер вашего провайдера там — утечка DNS. Строка IPv6 должна быть пустой или относиться к той же сети, что и VPN-адрес; IPv6-адрес от вашего домашнего провайдера означает, что VPN туннелирует только IPv4.

Полный тест VPN выполняет те же проверки подробнее и называет решение для каждого провала: чаще всего это настройка в VPN-приложении («блокировать DNS вне туннеля», «kill switch», «отключить IPv6») или настройка браузера для WebRTC. Проверяйте каждое устройство и каждый браузер отдельно, потому что результат относится к этому устройству, и проверяйте заново после каждого обновления приложения. VPN, который прошёл проверку однажды, а потом начал протекать, встречается чаще, чем VPN, который не работал никогда.