Как запретить провайдеру видеть посещаемые вами сайты

Ваш интернет-провайдер знает, какие сайты вы посещаете. Не точное содержимое страниц (если сайт использует HTTPS), но доменные имена: он знает, что вы заходили на определённый медицинский сайт, форум, стриминговый сервис, в какое время и сколько провели на нём. Эта информация проходит через его DNS-серверы и через метаданные ваших соединений. В большинстве стран провайдеры обязаны по закону хранить эти данные в течение установленного срока. В России Федеральный закон «О связи» и «закон Яровой» обязывают операторов хранить метаданные соединений до 6 месяцев, а содержимое трафика до 30 дней.

Это не паранойя, а нормальная работа сети. Когда вы вводите адрес в браузере, ваше устройство отправляет DNS-запрос серверу провайдера, чтобы перевести доменное имя в IP-адрес. Этот запрос идёт открытым текстом, без шифрования, и провайдер его регистрирует. Даже если содержимое страницы зашифровано через HTTPS, провайдер видит имя запрашиваемого сайта. Это как отправить письмо в непрозрачном конверте: почтальон не может прочитать содержимое, но видит адрес получателя.

Что именно видит ваш провайдер

Чтобы грамотно защититься, нужно сначала понять, что провайдер может и чего не может видеть:

Что он видит: доменные имена посещаемых сайтов (через DNS-запросы), IP-адреса серверов, к которым вы подключаетесь, временные метки каждого соединения, объём переданных данных, а в некоторых случаях SNI (Server Name Indication) — незашифрованное поле в TLS-рукопожатии, которое раскрывает имя сайта даже без обращения к DNS провайдера.

Чего он не видит (если сайт использует HTTPS): содержимое страниц, вводимые учётные данные, отправляемые сообщения, скачиваемые файлы. HTTPS шифрует содержимое, но не метаданные соединения.

Различие важно. Знание о том, что вы посетили сайт медицинской консультации в 3 часа ночи, уже является чувствительной информацией, даже если провайдер не знает, какую именно страницу вы просматривали.

Смена DNS-сервера: первый шаг

Самый простой и быстрый способ не дать провайдеру видеть ваши DNS-запросы — перестать пользоваться его DNS-серверами. По умолчанию ваше устройство использует DNS провайдера. При каждом посещении сайта запрос проходит через их серверы и регистрируется.

Сменив DNS-сервер, вы отправляете запросы третьей стороне (Cloudflare, Google, Quad9) вместо провайдера. Но внимание: если вы просто меняете DNS-сервер без включения шифрования, запросы по-прежнему идут открытым текстом. Провайдер их больше не обрабатывает, но может перехватить в транзите.

Чтобы смена была действительно эффективной, нужно использовать шифрованный DNS. Существуют два протокола:

DNS over TLS (DoT) шифрует DNS-запросы через протокол TLS на порту 853. Этот протокол используется функцией «Частный DNS» в Android 9+. Вы вводите имя хоста, например one.one.one.one (Cloudflare) или dns.google, и все запросы шифруются. Провайдер видит, что вы общаетесь с внешним DNS-сервером на порту 853, но не может прочитать содержимое запросов.

DNS over HTTPS (DoH) шифрует DNS-запросы через HTTPS на порту 443, том же порту, что и обычный веб-трафик. Преимущество: DNS-запросы неотличимы от обычного веб-трафика. Провайдер даже не может определить, что вы делаете отдельные DNS-запросы. Firefox, Chrome, Edge и Brave поддерживают DoH в настройках.

Основные шифрованные DNS-серверы:

Проблема SNI: одного DNS недостаточно

Даже с шифрованным DNS провайдер в некоторых случаях может видеть посещаемые сайты. Когда браузер подключается к HTTPS-серверу, он отправляет имя сайта открытым текстом в поле SNI (Server Name Indication) во время TLS-рукопожатия. Это поле позволяет серверу определить, какой SSL-сертификат предъявить, когда на одном IP-адресе размещено несколько сайтов.

Провайдер, инспектирующий метаданные соединений, может прочитать поле SNI и увидеть имя сайта, даже если вы используете шифрованный DNS. Это известная уязвимость, и решение называется ECH (Encrypted Client Hello), ранее известное как ESNI. ECH шифрует поле SNI, делая невозможным для провайдера увидеть имя сайта при TLS-рукопожатии.

Внедрение ECH продолжается. Cloudflare активирует его на своих серверах, Firefox поддерживает в сочетании с DoH, Chrome работает над этим. Но ECH работает только если сервер посещаемого сайта тоже его включил. В 2026 году покрытие растёт, но ещё не стало повсеместным.

Использование VPN: самое полное решение

VPN (Virtual Private Network) создаёт шифрованный туннель между вашим устройством и сервером VPN-провайдера. Весь интернет-трафик идёт через этот туннель, включая DNS-запросы, метаданные соединений и содержимое. Провайдер видит только одно: что вы подключены к VPN-серверу. Он не знает, какие сайты вы посещаете, какой контент просматриваете, какими сервисами пользуетесь.

Это самое эффективное решение для сокрытия активности от провайдера, но с важными оговорками:

Вы перемещаете доверие, а не устраняете его. Провайдер больше не видит ваш трафик, но VPN-провайдер видит. Вы заменяете одну следящую организацию другой. Поэтому выбор VPN критичен. Отдавайте предпочтение провайдерам, чья политика неведения логов прошла независимый аудит (Mullvad, IVPN, ProtonVPN публиковали аудиты). Избегайте бесплатных VPN: если они ничего не стоят, товар — это вы.

Влияние на производительность. VPN добавляет посредника между вами и серверами. Задержка растёт (обычно на 10–30 мс в зависимости от расстояния до VPN-сервера), пропускная способность может снижаться, особенно если сервер перегружен или далеко. При веб-сёрфинге это редко заметно. При онлайн-играх или видеоконференциях может ощущаться.

Протоколы VPN. WireGuard — самый современный и быстрый протокол с минимальной кодовой базой и отличной производительностью. OpenVPN старше, но проверен и широко поддерживается. Избегайте PPTP — устаревший и небезопасный. Большинство современных VPN-провайдеров используют WireGuard по умолчанию.

Kill switch. Убедитесь, что ваш VPN-клиент имеет kill switch (аварийный выключатель). Эта функция автоматически отключает интернет, если VPN разрывается, не давая трафику кратковременно пройти без защиты. Без kill switch мгновенный разрыв VPN (смена Wi-Fi-сети, потеря мобильного сигнала) может раскрыть вашу активность провайдеру.

Tor: максимальная анонимность с компромиссами

Tor (The Onion Router) пропускает ваш трафик через три последовательных реле, каждое из которых шифрует дополнительный уровень. Первое реле видит ваш IP-адрес, но не назначение. Последнее видит назначение, но не ваш IP. Ни одно реле не видит обе части информации одновременно. Провайдер видит только, что вы подключены к сети Tor, не зная, что вы там делаете.

Tor обеспечивает более высокий уровень анонимности, чем VPN, но со значительными компромиссами:

Медлительность. Тройной прыжок через волонтёрские реле делает сёрфинг заметно медленнее, чем через VPN. Видеостриминг практически невозможен, и даже базовый веб-сёрфинг может быть утомительным.

Подозрение. Сам факт подключения к Tor может привлечь внимание в определённых контекстах. Некоторые провайдеры или корпоративные сети блокируют Tor-соединения, а в ряде стран использование Tor находится под пристальным наблюдением. Существуют Tor-«мосты» для обхода блокировок, но их настройка сложнее.

Возможные утечки. Если вы используете Tor для обычных сайтов (не .onion), выходное реле может видеть ваш незашифрованный трафик. Убедитесь, что посещаете только HTTPS-сайты при использовании Tor. Браузер Tor включает защиту по умолчанию, но неправильная настройка или установка расширений может скомпрометировать анонимность.

HTTPS повсюду: необходимо, но недостаточно

HTTPS шифрует содержимое обмена между браузером и сервером сайта. Без HTTPS провайдер (и любой в сети) видит всё: посещённые страницы, заполненные формы, скачанные файлы. С HTTPS провайдер видит только доменное имя (через DNS или SNI), но не содержимое.

В 2026 году более 95 % страниц, загружаемых в Chrome, используют HTTPS. Современные браузеры предупреждают, когда сайт не использует HTTPS. Если встречаете HTTP-сайты, не вводите на них личные данные.

HTTPS — незаменимый базовый уровень, но он не скрывает метаданные от провайдера. Он не прячет имя сайта, частоту посещений и объём данных. Для защиты метаданных нужно сочетать HTTPS с шифрованным DNS или VPN.

Комбинирование защит

Ни один метод в одиночку не покрывает все аспекты. Вот комбинации по уровням защиты:

Базовая защита: шифрованный DNS (DoH или DoT) + HTTPS. Провайдер не видит DNS-запросы. Он может видеть IP-адреса серверов и потенциально SNI, но не может читать содержимое. Это минимальная рекомендуемая конфигурация, и она бесплатна.

Средняя защита: доверенный VPN + DNS VPN. Весь трафик зашифрован и идёт через VPN-сервер. Провайдер видит только подключение к VPN. VPN-провайдер становится звеном доверия. Самый практичный выбор для повседневного использования.

Максимальная защита: Tor + шифрованный DNS + HTTPS. Тройное реле Tor скрывает и личность, и назначение. Медлительность делает эту конфигурацию непригодной для повседневного использования, но она актуальна для чувствительных исследований.

Чего эти методы не защищают

Сокрытие трафика от провайдера не делает вас невидимым в сети. Сайты идентифицируют вас другими способами: cookies, отпечаток браузера (fingerprinting), авторизованные аккаунты (если вы залогинены в Google и посещаете сайт с Google Analytics, Google знает, что это вы). Соцсети и рекламные сети отслеживают вас между сайтами через трекеры и пиксели слежения.

Для защиты от рекламного отслеживания нужно сочетать шифрование трафика с блокировщиком трекеров (uBlock Origin в браузере или фильтрующий DNS вроде NextDNS или AdGuard DNS) и хорошими привычками: приватный режим для чувствительных запросов, контейнеры вкладок (Firefox Multi-Account Containers), минимум расширений и выход из аккаунтов, когда они не нужны.

Ваш провайдер по умолчанию видит каждое доменное имя, к которому вы обращаетесь. Шифрованный DNS (DoH или DoT) — первый шаг, бесплатный и простой, чтобы убрать эту видимость. VPN идёт дальше, скрывая весь трафик. Но какой бы метод вы ни выбрали, помните: вы перемещаете доверие, а не устраняете его — от провайдера к DNS-сервису или от провайдера к VPN-сервису. Выбирайте посредников тщательно.