Как проверить, что соединение действительно защищено

Значок «подключено» не доказывает ничего. Он говорит только то, что туннель удалось установить, — а ходят ли по нему данные, видно ли ваш настоящий адрес и не уходят ли запросы мимо, значок не знает. Четыре проверки ниже занимают минуту и отвечают на эти вопросы точно. Они не зависят от того, чьим приложением вы пользуетесь.

1. Сменился ли IP-адрес

Самая простая и самая показательная проверка. Откройте страницу проверки IP-адреса до подключения и запомните, что там написано. Затем подключитесь и обновите страницу.

• Адрес сменился на адрес выбранной страны — трафик идёт через туннель, всё в порядке.
• Адрес тот же — соединение не работает, как бы ни выглядел значок. Частая причина: страница показана из кэша браузера, поэтому обновите её принудительно или откройте в другой вкладке.

2. Идёт ли трафик вообще

Туннель может установиться и молчать: сеть моргнула, сервер перестал отвечать, промежуточное оборудование уронило соединение. Снаружи это выглядит как «подключено», а на деле не работает ничего.

Проверка простая: откройте сайт, который вы не открывали в этой сессии. Открылся — данные ходят в обе стороны. Не открылся, а без туннеля открывается — соединение мёртвое, нужно переподключиться. Подробный разбор такого случая — в статье «Подключено, а интернета нет».

3. Не утекает ли DNS

Прежде чем открыть сайт, устройство спрашивает, какой у него адрес, — это запрос DNS. Бывает так, что сам трафик идёт через туннель, а вот эти запросы уходят напрямую к серверам провайдера. Содержимое при этом остаётся зашифрованным, но список сайтов, куда вы ходите, провайдер видит целиком.

Проверяется любой публичной проверкой DNS-утечек: в списке серверов должны быть только серверы страны подключения. Увидели там своего домашнего провайдера — утечка есть.

4. Не остаётся ли IPv6

У современных сетей два вида адресов: привычный IPv4 и более новый IPv6. Приложение может вести через туннель только первый — и тогда сайты, которые умеют работать по IPv6, увидят ваш настоящий адрес, хотя по IPv4 всё выглядит правильно.

Проверка: откройте страницу, показывающую адреса обеих версий. Правильных исходов два: либо оба адреса принадлежат стране подключения, либо IPv6 не показывается вовсе (приложение закрыло эту версию целиком). Смешанная картина — «IPv4 чужой, IPv6 свой» — это утечка.

Для этой проверки наша страница не подойдёт, и мы говорим об этом прямо: она показывает один адрес — тот, которым ваш браузер до неё дозвонился, и подписывает, какой версии. Второй ей взять неоткуда: сервер знает только то соединение, по которому с ним поговорили. Сверять обе версии нужно сервисом, который специально показывает их рядом, — так же, как проверку DNS выше.

Когда проверку стоит повторить

Три момента, когда соединение переустанавливается заново и картина может измениться:

• Смена сети — Wi-Fi на мобильную и обратно, метро, лифт.
• Обновление приложения — настройки могли переехать.
• Смена страны подключения — это новый сервер и новый маршрут.

Что из этого делает Маяк сам

Первую и вторую проверку приложение выполняет за вас на каждом подключении: оно не полагается на факт установленного туннеля, а делает настоящий запрос наружу и ждёт ответа. Не дождалось — значит путь мёртвый, и приложение пробует следующий, не спрашивая вас (как устроен перебор — «Одна кнопка, три пути»). Если трафик пропал на уже установленном соединении, оно говорит об этом прямо, а не оставляет значок «Защищено» гореть впустую.

DNS и IPv6 — забота настроек туннеля. Запросы имён у нас уходят к публичным резолверам через туннель, а не к серверам вашего провайдера напрямую; по IPv6 исход тот самый, который выше назван правильным: там, где выход умеет IPv6, он ведётся через туннель вместе с IPv4, а где не умеет — вторая версия закрывается целиком, чтобы не утекла мимо. Но проверить это самостоятельно всё равно полезно — чужим словам о собственной безопасности верить на слово не стоит, включая наши.