Что видит провайдер, когда включён VPN, и что от него скрыто (2026)

Короткий ответ: что идёт внутри VPN, провайдер прочитать не может. Но он видит, что VPN есть, к какому адресу он подключён, когда включался и сколько через него прошло. То же относится к оператору мобильной связи и к владельцу Wi-Fi в кафе. VPN сильно сокращает то, что о вас видно, но не обнуляет — и почти вся путаница живёт в этой разнице.

Что провайдер видит без VPN

Начнём с исходной точки: всё дальнейшее — вычитание из неё. Без VPN провайдер стоит на пути каждого пакета и может записать:

• Адрес и порт каждого сервера, к которому обращается устройство, со временем обращения.
• Запросы DNS, если имена разрешает DNS провайдера: это открытый список сайтов.
• Имя сайта в начале почти каждого соединения HTTPS (поле SNI). Оно видно, даже когда DNS зашифрован. Исключение — Encrypted Client Hello, но до повсеместного он пока далёк.
• Объём, размер пакетов и ритм каждого соединения: видеозвонок отличается от скачивания файла, хотя ни то ни другое не прочитано.
• Содержимое всего, что ходит без шифрования: старых проверок обновлений, почты по старым протоколам, части сетевой болтовни старых устройств.

Что скрывает VPN

Когда VPN включён и пропускает через себя весь трафик, пакеты с устройства адресованы одному серверу — VPN-серверу. Длинный список адресов превращается в один поток. Если ничего не идёт мимо туннеля (об этом ниже), провайдер больше не видит:

• Какие сайты и сервисы вы открываете: их адреса появляются только по ту сторону VPN-сервера.
• Имена этих сайтов — ни через DNS, ни через SNI.
• Адреса страниц, поисковые запросы, сообщения и файлы, которые вы отправляете.
• Какие приложения работают внутри. Не полностью: размер и ритм пакетов подсказывают тип трафика, но подписи на нём больше нет.

Что остаётся видно: сервер, время, объём

Провайдер видит адрес самого VPN-сервера, и этот адрес кое-что говорит. Он принадлежит какой-то сети, а сети дата-центров выглядят иначе, чем домашние и мобильные. Долгое соединение с домашнего интернета к одной машине в дата-центре — узнаваемая картина сама по себе.

Шифрование прячет содержимое, а не конверт. Провайдер по-прежнему записывает, когда соединение открылось и закрылось, сколько байт ушло в каждую сторону и какими порциями. Ровный двусторонний поток на полчаса похож на звонок, несколько гигабайт в одну сторону — на загрузку, редкие пакеты в три часа ночи — на телефон, который что-то синхронизирует. Какой сайт вы открыли, из этого не узнать, а режим дня — можно. Подробнее — в статье почему зашифрованный трафик всё равно узнаётся.

Честная формулировка такая: VPN прячет то, что идёт через него, а не то, что вы им пользуетесь. Обещания сверх этого стоит проверять.

Начало соединения: что видно в рукопожатии

Рукопожатия сайтов, которые вы открываете, едут внутри туннеля. Но у самого туннеля рукопожатие снаружи, и что в нём видно, зависит от протокола:

• VLESS Reality. Рукопожатие направлено на настоящий сторонний сайт и несёт его имя, так что своего домена, который можно записать, у сервера нет. Слабое место в другом: соединение идёт на адрес, которому это имя не принадлежит, и это можно сравнить. Как это устроено — в статье что такое VLESS Reality.
• Hysteria2 и другие протоколы на QUIC. Первое сообщение QUIC защищено ключами, которые выводятся из соли, опубликованной в RFC 9001, поэтому любой на пути может его расшифровать и прочитать имя. QUIC сам по себе имя не прячет. Чем Hysteria2 отличается от VLESS — в сравнении протоколов.
• VLESS или Trojan через обычный TLS со своим доменом. В рукопожатии этот домен открытым текстом. Если он ни для чего другого не используется, это постоянная метка вашего трафика.
• WireGuard. TLS нет, поэтому нет и имени, но это не невидимость: рукопожатие состоит из сообщений в 148 и 92 байта с постоянным первым байтом, и простое правило по длине их узнаёт.

Кроме имени, рукопожатие выдаёт набор шифров и расширений и их порядок — отпечаток TLS. Поэтому клиенты на Xray копируют отпечаток браузера: иначе программа на Go выглядела бы не как Chrome, а как программа на Go.

Где трафик идёт мимо VPN

Чаще всего то, что принимают за «VPN не скрывает», — трафик, который в туннель вообще не попал. Четыре частых случая:

• DNS мимо туннеля. Если клиент не берёт разрешение имён на себя, запросы уходят на DNS провайдера, а это почти весь список сайтов, который VPN должен был спрятать.
• IPv6. Если туннель везёт только IPv4, а у линии работает IPv6, сайты с IPv6 открываются напрямую. Крупные сайты поддерживают оба, так что случай не редкий.
• Исключения. Сайты и приложения, которые вы направили мимо VPN, провайдер видит как обычно. Это выбор, а не ошибка, но о нём забывают.
• Включение и переподключение. Пока туннель поднимается — при включении и после каждой смены сети — трафик идёт обычным путём. Без блокировки при обрыве эти секунды видны.

WebRTC в этот список не входит: он показывает адреса сайту, который вы открыли, а не провайдеру — тот их и так знает.

Как это устроено в нашем приложении

• Российские сайты. На экране «Где вы сейчас?» два режима. «Я в России»: российские сайты, банки и Госуслуги открываются напрямую — их провайдер видит так же, как без VPN, а остальное идёт через туннель. «Я за границей»: через нас идёт весь интернет, включая российские сайты.
• DNS на iPhone и iPad. Имена сайтов разрешает Cloudflare по DNS-over-HTTPS через VPN-сервер. Имена сайтов, которые открываются напрямую, — публичный DNS Яндекса, мимо VPN.
• DNS на компьютере. Имена разрешают Cloudflare и Google, запросы к ним идут через VPN-сервер; IPv6 приложение направляет в туннель вместе с IPv4.
• Адрес сервера. Его приложение узнаёт через DNS вашей сети ещё до подключения — иначе подключаться было бы не к чему. Этот один запрос провайдер видит.
• Обрыв. На iPhone и iPad есть переключатель «Блокировать интернет, если VPN оборвался»: пока VPN включён, мимо него ничего не идёт.

Наблюдатель не исчезает, а переезжает

Всё, что перестал видеть провайдер, начинает видеть кто-то другой. Ваш трафик выходит в интернет с VPN-сервера, и его владелец оказывается на месте, где раньше стоял провайдер. У коммерческого сервиса вы доверяете его правилам, у своего сервера — хостеру. Поэтому вопрос «что видит провайдер» всегда стоит задавать вместе с вопросом «что видит VPN-сервис». Как бесплатные сервисы зарабатывают на этом месте — в статье чем платит пользователь бесплатного VPN.

Что обязан хранить провайдер, решает закон страны. В России с поправками 2016 года к закону о связи («пакет Яровой») операторы хранят сведения о соединениях три года, а содержимое — до шести месяцев. С VPN в этих записях остаются соединения с VPN-сервером и их объём, а содержимое — зашифрованный поток. VPN не способ обойти обязанности, которые закон возлагает на вас самих.

Как проверить своё подключение

1. 1Включите VPN и откройте нашу проверку утечек: она покажет, какой адрес и какую страну видят сайты, утечку через WebRTC и часовой пояс. DNS она пока не проверяет. В нашем приложении для компьютера строка «Утечек нет» на экране «Проверка» смотрит IPv6, а в Windows — ещё и DNS.
2. 2Проверьте IPv6 отдельно. С включённым VPN на компьютере выполните curl -6 https://ifconfig.co: ваш домашний адрес в ответе значит, что IPv6 идёт мимо туннеля, а ошибка соединения — что IPv6 нет совсем, это тоже нормально.
3. 3Проверьте переподключение: выключите и включите Wi-Fi и сразу откройте проверку ещё раз. Именно в эти секунды видно, есть ли блокировка при обрыве.
4. 4Если умеете, посмотрите на внешний интерфейс роутера: tcpdump -n -i <интерфейс> not host <адрес-сервера>. Всё, что останется, кроме локальной служебной болтовни, провайдер видит.
5. 5Повторяйте проверку после смены клиента, обновления системы или переезда в сеть с другим IPv6, а не каждую неделю.

Что делать, если проверка что-то нашла, — в статье как проверить VPN на утечки. Что видит владелец чужой точки и как подключаться в кафе или гостинице — в статье о публичном Wi-Fi.

Частые вопросы

Что стоит запомнить: VPN превращает подробный список ваших адресов в один поток к одному серверу, а время, объём и сам факт подключения остаются видны. В чужой сети это большая разница, а анонимности это не заменяет.