Что такое отслеживание через VPN? Как защититься от слежки?

Введение: почему VPN — не «карточка освобождения из тюрьмы»

Типичное представление такое: поставил NordVPN / Surfshark / собственный WireGuard, сменил выходной IP — и «никто уже не поймёт, кто ты». Это мышление 2010-х. Технологии отслеживания давно вышли за пределы «уровня IP»:

• Определить, что «вы используете VPN», — базовая возможность антифрод-систем (проверяется, принадлежит ли IP к ASN VPN-провайдера: почти все диапазоны дата-центров коммерческих VPN уже помечены)
• Чтобы узнать «ваш прежний реальный IP», достаточно уровня IP — утечки WebRTC / IPv6 / DNS, обход CDN к исходному серверу, — а одна ошибка навсегда помечает вас cookie
• Чтобы определить, «кто именно вы», IP вообще не нужен — для этого служат отпечатки браузера, поведенческие паттерны и корреляция между аккаунтами
• В крайних случаях правовая помощь (судебные запросы / трансграничные расследования) может заставить VPN-провайдера передать логи

Иными словами, вас отслеживает не какая-то одна уязвимость, а пересечение N измерений — вам нужно защитить каждое из них, а отслеживающей стороне достаточно преуспеть в любом одном. Поэтому «полная анонимность» инженерно почти недостижима, а вот «значительно снизить связываемость» вполне реально — эта статья объясняет, как.

① Утечки на уровне IP — ваш реальный IP раскрыт напрямую

Самый классический и самый распространённый случай. VPN перехватывает только HTTP / TCP-трафик браузера, но следующие каналы могут полностью обойти VPN и передать ваш домашний публичный IP прямо другой стороне:

1.1 Утечки WebRTC

Встроенный в браузер WebRTC (используется для видеозвонков) по протоколу STUN сам выясняет, какой публичный IP он видит, и JavaScript может прочитать это значение напрямую. HTTP / SOCKS-прокси перехватывают только TCP, а STUN работает поверх UDP и, полностью минуя прокси, уходит через ваш домашний сетевой адаптер, раскрывая реальный IP.

Защита: Используйте VPN в режиме TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale): он перехватывает весь TCP+UDP-трафик на виртуальном сетевом адаптере. Если прокси настроен только в браузере, ограничьте WebRTC политикой, а не удаляйте его: в Chrome / Edge — корпоративная политика WebRtcIPHandling = disable_non_proxied_udp; в Brave — включите «Disable Non-Proxied UDP»; в Firefox — about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Проверьте: Наш детектора утечек /leak покажет, совпадает ли публичный IP, полученный через WebRTC STUN, с вашим HTTP-выходом.

1.2 Утечки через двойной стек IPv6

Ваш VPN проксирует только IPv4, но у домашнего интернета есть и IPv6 — браузер предпочитает выходить через IPv6, полностью минуя VPN. Это крайне распространённая уязвимость у абонентов домашнего интернета China Telecom.

Защита: Либо используйте VPN, который проксирует и IPv4, и IPv6, либо отключите IPv6 на уровне системы / браузера. В Windows — через реестр, в macOS — через networksetup.

1.3 Утечки DNS (отдельный раздел, см. ② Уровень DNS)

1.4 Обход CDN к исходному серверу

Если сайт использует CDN вроде Cloudflare, вы фактически обращаетесь к IP пограничного узла CDN — но если атакующий узнает реальный IP исходного сервера, он сможет обойти CDN и обратиться к сайту напрямую. Обратное верно и для отслеживающих: если узел CDN, к которому вы обращаетесь, находится в Китае, но какой-то статический ресурс в той же сессии загружается напрямую с исходного сервера (не покрыт CDN), ваш реальный IP попадает в журналы доступа исходного сервера.

Защита: В этом пограничном случае всё в основном зависит от строгости настроек самого целевого сайта — со стороны пользователя сделать можно немного.

② Утечки на уровне DNS — запрошенные домены раскрывают вашу личность

IP-трафик идёт через VPN, но DNS-запросы могут по-прежнему уходить к местному провайдеру. Утечка возможна двумя способами:

2.1 Несовпадение страны резолвера

Выход вашего VPN — в Нидерландах, но при DNS-запросах системный stub-резолвер использует DNS, настроенный домашним провайдером (China Telecom). Получив запрос, авторитативный сервер имён видит исходный IP China Telecom — и ваше реальное местоположение становится известно операторам каждого домена, который вы посещаете.

2.2 Утечки подсети через ECS

Публичные рекурсивные резолверы (у Google 8.8.8.8 по умолчанию включён EDNS Client Subnet) передают вашу реальную подсеть /24 целевому авторитативному серверу для «маршрутизации CDN по местоположению». Но в этот момент ваша подсеть уже раскрыта удалённой стороне — это точнее, чем выходной IP резолвера, и указывает на подсеть вашего собственного района.

Защита:

• Принудительно задайте в VPN-клиенте свой DNS — используйте собственный DNS VPN-провайдера (он есть у NordVPN / Mullvad / ProtonVPN)
• Не допускайте утечки DNS-запросов за пределы туннеля — тогда резолвер увидит ваш реальный IP, который не совпадёт с веб-трафиком и сразу вас выдаст. Учтите, что 1.1.1.1 / 8.8.8.8 работают по anycast: если запрос идёт через туннель, он попадает на узел рядом с выходом VPN и ничего не раскрывает. Настоящая проблема — когда система обращается к ним напрямую в обход туннеля
• Если всё же выбираете публичный рекурсивный резолвер, он как минимум должен быть в той же стране, что и выход VPN
• Используйте DoH (DNS-over-HTTPS), чтобы принудительно шифровать DNS-запросы и не допустить их перехвата провайдером по схеме «человек посередине»

Проверьте: Наш детектор утечек DNS /leak использует собственный авторитативный сервер имён и действительно направляет запросы вашего браузера на наш сервер, чтобы вы увидели IP резолвера + подсеть ECS. Подробности механизма см. в полном руководстве по публичным DNS-резолверам.

③ Отпечаток TLS (ja3 / ja4) — кто ваш клиент

Во время HTTPS-рукопожатия клиент отправляет серверу пакет ClientHello со списком поддерживаемых версий TLS, наборов шифров, расширений, эллиптических кривых и прочего. Точный порядок и содержимое этих полей различаются у каждого клиента (Chrome 124, Firefox 123, curl, Python requests), а получаемый из их комбинации отпечаток в отрасли называют ja3 / ja4.

Сайты могут записывать отпечаток ja3 / ja4 каждого посетителя и сверять его с User-Agent: если UA заявляет Chrome 124, а отпечаток ja3 соответствует Python requests, это бот или скриптовый трафик. Это также один из ключевых сигналов антибот-сервисов вроде Cloudflare и Akamai.

Защита:

• Используйте настоящий популярный браузер (Chrome / Firefox / Edge) — не запускайте Selenium / Puppeteer «как есть»: их отпечатки ja3 крайне характерны
• Если нужна автоматизация, используйте undetected-chromedriver / Playwright + curl-impersonate
• Не ставьте в браузер расширения «против отпечатков» — из-за них ваш ja3 становится даже характернее, чем у обычного Chrome, и вы фактически сами помечаете себя как пользователя средств защиты от слежки

④ Отпечатки HTTP / браузера — Canvas / WebGL / шрифты / часовой пояс

Отпечатки на прикладном уровне богаче, и защититься от них сложнее:

Главная ловушка: Несовпадение часового пояса / языка / шрифтов со страной выхода VPN — очень сильный сигнал «использует VPN». VPN выводит вас через США, а часовой пояс браузера по-прежнему Asia/Shanghai и язык zh-CN — это видно сразу.

Защита:

• «Выглядеть обычно» — не ставьте в браузер расширения против отпечатков, это само по себе аномалия. Обычный отпечаток Chrome рядового пользователя — лучшая маскировка.
• Разделяйте сценарии: основной браузер — для реальной личности, а отдельный профиль браузера / виртуальная машина / Tails / Whonix — для действий, требующих приватности
• Страна выхода VPN, системный часовой пояс и язык браузера должны совпадать — как минимум не допускайте утечки выдающего сигнала «я пользователь из Китая, выходящий через американский VPN»
• Tor Browser создан именно для этого — все пользователи выглядят одинаково, но ценой производительности

Проверьте: С помощью нашей проверки отпечатка браузера /fingerprint оцените уникальность 14 измерений своего отпечатка.

⑤ Отпечатки уровня TCP/IP — Initial Window / TTL / MTU

Ещё до прикладного уровня отпечатки существуют на сетевом уровне. Реализация стека TCP/IP в каждой операционной системе немного отличается:

• Начальный TTL: Windows по умолчанию 128, Linux 64, macOS 64, iOS 64
• Начальный размер окна TCP: Windows 64 КБ, Linux 14600, macOS 65535
• Порядок опций TCP: разные ОС отправляют опции MSS / SACK / Timestamp в разном порядке
• MTU: у обычного домашнего интернета 1500, у PPPoE 1492, у VPN-туннелей обычно 1380-1450

Именно эти поля использует утилита p0f (пассивное определение ОС по отпечатку): она определяет операционную систему собеседника, не отправляя ни одного пакета. Сайты могут собирать эти данные и сравнивать с заявленным UA — если UA говорит Mac Safari, а TTL равен 128 и Initial Window соответствует значениям Windows, значит, у вас на самом деле Windows с подменённым Mac UA.

Через MTU тоже может утечь признак «вы используете VPN» — у VPN-туннелей MTU обычно меньше 1500, поэтому трафик заметно отличается от обычного широкополосного подключения.

Защита:

• Используйте VPN в режиме TUN: трафик берёт на себя сетевой стек VPN-сервера, и сайты видят TCP/IP-отпечаток VPN-сервера, а не вашего клиента
• OpenVPN / WireGuard по умолчанию работают в режиме TUN, HTTP/SOCKS-прокси — нет; в этом ключевое различие
• Не поднимайте MTU туннеля принудительно до 1500, чтобы «меньше походить на VPN», — сама инкапсуляция туннеля занимает десятки байт, а превышение вызывает фрагментацию или «чёрную дыру» PMTUD (крупные пакеты зависают, страницы загружаются наполовину). Оставьте значение клиента по умолчанию (WireGuard 1420, OpenVPN — автоматически)

⑥ Поведенческий анализ — время трафика и манера ввода

Это самое трудное для защиты измерение, потому что оно вообще не опирается на технические отпечатки, а целиком полагается на машинное обучение:

• Распределение времени посещений: если ваши ежедневные часы онлайн совпадают на нескольких аккаунтах, это один и тот же человек
• Траектория мыши / скорость прокрутки / ритм нажатий: уникальны для каждого человека и собираются банками / антифрод-системами
• Длительность сессий / шаблоны переходов: ваши привычки просмотра уникальны
• Особенности набора текста: частота опечаток, предпочтения в выборе слов и грамматика

Защита:

• Строго разделяйте время использования разных аккаунтов — не входите в «аккаунт A + аккаунт B» одновременно, разносите их на несколько часов
• Когда анонимность действительно нужна, смените устройство (с ноутбука на телефон / планшет)
• Полностью защититься невозможно, но можно значительно затруднить сопоставление

⑦ Логи VPN-провайдера и юрисдикция

У VPN это первородный грех. Вы доверяете тому, что VPN-провайдер не хранит логи, но на деле:

• Коммерческого VPN-провайдера могут купить (Avast поглотила NortonLifeLock → политика конфиденциальности изменилась)
• Провайдер может тайно собирать логи (в 2017 году PureVPN передал логи пользователей ФБР, хотя прежде заявлял о политике «no-log»)
• Судебные запросы могут обязать к сотрудничеству — США / Великобритания / Канада / Австралия / Новая Зеландия (Five Eyes) принимают трансграничные расследования
• Nine Eyes = Five Eyes + Дания / Франция / Нидерланды / Норвегия
• Fourteen Eyes = Nine Eyes + Германия / Бельгия / Италия / Испания / Швеция

Критерии выбора:

Собственный VPN даёт больше контроля — но VPS-провайдеры (Vultr / Hetzner / DigitalOcean) ведут свои логи и тоже могут сотрудничать со следствием. Для настоящей анонимности нужна покупка VPS за наличные / криптовалюту плюс регистрация на вымышленную личность, а это немалый объём инженерной работы.

⑧ Связь между аккаунтами — общие cookie / отпечатки у нескольких аккаунтов

После входа в аккаунт A браузер сохраняет cookie / localStorage / кэш. Если в том же браузере переключиться на аккаунт B, сайт сразу поймёт, что вы — один и тот же человек.

• Один отпечаток + вход в несколько аккаунтов за короткое время = связь между аккаунтами
• Межсайтовое отслеживание через cookie (хотя современные браузеры начинают его ограничивать)
• Сторонние скрипты отслеживания (Google Analytics / Facebook Pixel) связывают активность на разных сайтах

Защита:

• Расширение Firefox Multi-Account Containers изолирует cookie / хранилище для каждого аккаунта
• Несколько профилей Chrome (аватар в правом верхнем углу → добавить пользователя)
• Крайняя мера: запускайте разные аккаунты в отдельных виртуальных машинах, и у каждой VM свой выход VPN

Сводная таблица стратегий защиты

Практический совет: насколько анонимными вам нужно быть?

Прежде чем решать, насколько глубокой должна быть защита, выясните, кто на самом деле вас отслеживает:

• Рекламодатели и брокеры данных (низкая интенсивность): uBlock Origin + блокировка сторонних cookie + обычный VPN покрывают подавляющее большинство повседневных сценариев
• Антифрод-системы и контроль рисков (средняя интенсивность): всё выше + DNS того же VPN + совпадающие часовой пояс / язык + изолированные профили браузера
• Конкуренты / веб-скраперы (интенсивность выше средней): всё выше + режим TUN + настоящий браузер (без следов Selenium) + очистка оставшихся cookie
• Государственные / трансграничные расследования (крайняя интенсивность): всё перечисленное — лишь базовый уровень. Нужны Tor / Whonix / Tails / VPS, купленный за наличные, + XMR + полностью изолированные устройства

Большинству людей нужны лишь уровни 1-2; уровень 3 и выше — область специалистов. Не усложняйте повседневную работу анонимностью, которая вам не нужна.