Что видит провайдер при использовании VPN
Команда Nebula Link
Без туннеля провайдер видит адреса серверов, к которым вы обращаетесь, ваши DNS-запросы, а часто и имя сайта в начале TLS-соединения. С туннелем он видит одно соединение с одним адресом: объём и время обмена, но не страницы и не запросы внутри него.
Это верно, пока ничего не утекает мимо туннеля. Чаще всего мимо уходит DNS, и тогда провайдер снова видит список доменов. Ниже по порядку: что видно в каждом случае, что остаётся скрытым и как это проверить за несколько минут.
Что видно провайдеру без туннеля
Содержимое страниц по HTTPS провайдер прочитать не может, но обёртка вокруг него открыта. RFC 7626 о приватности DNS отмечает, что почти весь DNS-трафик сегодня идёт без шифрования, а рекурсивный резолвер, которым обычно служит сервер провайдера, видит практически все запросы. Полное имя в запросе показывает, чем вы занимаетесь: по нему видно, какой сайт вы открыли.
Второй источник - начало TLS-соединения. RFC 9849 о шифровании ClientHello называет открытое имя сервера в SNI, возможно, самой чувствительной информацией, которая остаётся незашифрованной в TLS 1.3. Третий - адреса: IP-адрес сервера в любом случае виден в заголовке пакета. К этому добавляются метаданные: RFC 9446 включает в них источник, получателя и время обмена.
Что видно, когда туннель включён
Для провайдера соединение выглядит как обмен с одним сервером. Он видит адрес этого сервера, время, когда вы подключились, и объём переданных данных. Имена сайтов, адреса страниц и содержимое запросов внутри туннеля зашифрованы. Что именно шифруется и чем, объясняет страница про шифрование интернет-трафика.
Сам факт туннеля скрыть сложнее. Колонка на SecurityLab от 19 мая 2026 года, личное мнение автора, пишет, что система анализа трафика смотрит на порты, типы шифрования и поведенческие признаки. Поэтому провайдер может понять, что вы пользуетесь туннелем, даже не видя его содержимого. По документации Xray, VLESS работает поверх внешнего слоя защиты, обычно TLS, то есть его внешний вид определяется этим слоем. Сколько и что хранит конкретный оператор, зависит от закона и условий его договора: проверенных цифр у нас нет, поэтому их здесь нет.
Утечка DNS: как провайдер снова видит домены
Туннель защищает только то, что идёт в него. Если система или приложение отправляет DNS-запрос напрямую резолверу провайдера, получается утечка: данные страниц шифруются, а список имён уходит открытым текстом. По RFC 7626 такой запрос видит и сам резолвер, и любой наблюдатель на пути.
Бывает и обратное: запросы идут внутри туннеля, и тогда имена видит только сервер на другом конце. Для запросов вне туннеля есть шифрованный DNS: RFC 9446 пишет, что DNS over TLS и DNS over HTTPS появились ради защиты от наблюдения за запросами. Но и тут RFC 9849 оговаривает: домен может быть виден и по IP-адресу сервера.
Чего провайдер не видит, и кому вы доверяете вместо него
Внутри туннеля провайдер не видит адреса страниц, поисковые запросы, отправляемые формы и пароли: внутри туннеля всё это для него закрыто. Он не видит, какие именно приложения общаются через туннель.
Наблюдатель не исчезает, а меняется. RFC 9446 замечает, что скрытие метаданных часто означает доверие другой стороне. Теперь адреса сайтов видит сервер, на котором заканчивается туннель. Поэтому смотрите на условия самого сервиса: политика логов есть на странице про политику без логов. Туннель не делает вас анонимным: сайты, в которые вы вошли под своей учётной записью, знают, кто вы.
Как проверить утечки
Проверка не требует особых навыков. Порядок такой:
- Выключите туннель и откройте любой сервис проверки DNS: запомните, чьи резолверы он показывает. Обычно это серверы вашего провайдера.
- Включите туннель и повторите проверку в том же браузере. Резолверы провайдера в списке означают утечку.
- Повторите проверку в другом браузере и в приложении, которое ходит в сеть само: утечки бывают у части программ.
- Если утечка есть, включите в клиенте режим TUN и отправку DNS через туннель. На ПК это описано на странице про VPN на ПК.
Как начать с Nebula Link
Мы продаём собственный сервис на протоколе VLESS, так что это пример одного из вариантов, а не рейтинг. Своего приложения у нас нет: ключ работает в бесплатных клиентах VLESS.
Порядок такой: откройте Telegram-бот @owlink_service_bot - получите персональный VLESS-ключ и 10 дней можно не платить. Импортируйте ключ в клиент и включите соединение, один ключ действует на 5 устройств одновременно. После подключения выполните проверку DNS из предыдущего раздела.
Текст подготовлен брендом Nebula Link с помощью ИИ по открытым стандартам и источникам из списка ниже.