Видит ли провайдер, какие сайты я посещаю: без VPN, с VPN и с DoH

Короткий ответ: да, провайдер видит, на какие сайты вы заходите, даже если сайт по HTTPS. Не видит содержимое страниц, но названия сайтов знает почти всегда. Разбираем, откуда именно, и что из этого закрывает VPN.

Что видно без VPN

DNS-запросы. Перед открытием сайта телефон спрашивает у DNS-сервера его адрес. По умолчанию DNS-сервер провайдерский, и он записывает каждый запрос: время, ваш адрес, имя сайта. Это самый подробный источник.

SNI в HTTPS. Даже если DNS зашифрован, при установке защищённого соединения браузер отправляет имя сайта открытым текстом, чтобы сервер выбрал нужный сертификат. Оборудование на границе провайдера читает это поле, именно по нему и работают блокировки.

IP-адреса. Адрес сервера виден всегда. Для крупных сайтов адрес однозначно указывает на сайт, для мелких за CDN даёт только «Cloudflare».

Объём и время. Сколько трафика, когда, с какой регулярностью. По этому можно понять, смотрите ли вы видео или сидите в мессенджере, даже не зная адресов.

Что закрывает защищённый DNS

DNS over HTTPS или DNS over TLS прячет первый пункт: провайдер не видит запросов к DNS. Но SNI и адреса остаются, поэтому имя сайта он всё равно узнаёт при подключении. В России к тому же популярные защищённые DNS периодически блокируются, и телефон молча откатывается на провайдерский. Полезная мера, но не решение.

Что закрывает VPN

С VPN провайдер видит одно соединение до одного адреса и поток шифрованных данных внутри. DNS-запросы, SNI, адреса сайтов, объём по каждому сайту: всё это уходит внутрь туннеля. Остаётся только: адрес VPN-сервера, суммарный объём и время. Именно поэтому VPN, а не DNS, отвечает на вопрос из заголовка.

Важное условие: туннель должен быть замаскирован, иначе провайдер видит не «какие сайты», а «этот человек пользуется VPN», и на этом всё заканчивается блокировкой. У Сурка соединение выглядит как обычный HTTPS к российскому серверу, дальше провайдера это не интересует.

Где следы остаются в любом случае

• На самих сайтах. Google, VK, маркетплейсы знают, кто вы, по аккаунту, а не по адресу. VPN не делает вас анонимным для сервиса, в который вы вошли.
• У VPN-сервиса. Он видит то же, что видел провайдер. Поэтому вопрос «какие логи хранит VPN» и есть главный. Сурок не записывает, куда вы ходите: у нас хранятся почта или Telegram, срок подписки и технические данные устройств. Куда идёт трафик, не пишется.
• В браузере. История, cookies, автозаполнение. К провайдеру это отношения не имеет, но к вопросу «кто знает, где я был» имеет прямое.
• Утечки. Если приложение VPN отвалилось, а телефон продолжил работать, трафик пошёл напрямую. Об этом наша статья про kill switch.

Как проверить самому

Откройте страницу «Мой IP» на нашем сайте без VPN и с VPN. Без VPN там будет ваш провайдер и город, с VPN — страна выхода. Заодно страница показывает, какой DNS-сервер отвечает на ваши запросы: если с включённым VPN там всё ещё провайдерский DNS, значит, имена сайтов утекают мимо туннеля, и это надо чинить.

Коротко

Провайдер видит имена сайтов через DNS и SNI, а адреса всегда. Защищённый DNS закрывает только DNS. VPN закрывает всё, кроме факта соединения с VPN-сервером, и то лишь если туннель замаскирован. Следы остаются у сайтов, куда вы вошли, и у самого VPN-сервиса, поэтому политика логов важнее списка стран.