ТСПУ и DNS-запросы: что видит оборудование провайдера при VPN

Аббревиатура «ТСПУ» (технические средства противодействия угрозам) регулярно всплывает в обсуждениях о работе интернета в России — это оборудование, устанавливаемое у операторов связи для анализа и фильтрации трафика на уровне сети. Вопрос, который волнует многих: если такое оборудование стоит «на входе» у провайдера, что оно вообще может увидеть, если я пользуюсь VPN? Разберём технически, без домыслов — просто как устроен обмен данными.

Что такое ТСПУ в общих чертах

Это специализированное сетевое оборудование, которое устанавливается на стороне оператора связи и умеет анализировать проходящий трафик — определять протоколы, домены, а при необходимости ограничивать доступ к отдельным ресурсам. По сути, это разновидность DPI-систем (Deep Packet Inspection), аналогичных тем, что операторы и корпоративные сети используют по всему миру для разных задач — от блокировок до приоритизации трафика.

Важно понимать: такое оборудование работает на уровне сети провайдера, то есть видит только то, что физически проходит через его линии связи — не больше и не меньше.

Как устроены DNS-запросы без VPN

Когда вы открываете сайт, устройство сначала отправляет DNS-запрос — «спрашивает», какому IP-адресу соответствует доменное имя. Классический DNS-протокол (порт 53) исторически передаёт эти запросы в открытом виде, без шифрования. Это значит, что оборудование на стороне провайдера технически может увидеть, к каким доменам вы обращаетесь, даже если сама страница потом загружается по HTTPS, — потому что сам факт запроса «какой IP у сайта X» проходит нешифрованным.

Это отдельная история от содержимого страницы: DNS-запрос — это просто «адресная книга», а не переписка или пароли.

Что меняется при включённом VPN

При активном VPN-соединении весь трафик, включая DNS-запросы, идёт внутри зашифрованного туннеля к серверу VPN-провайдера. Это означает:

• Оборудование провайдера видит только зашифрованный поток данных, идущий к одному конкретному IP-адресу — серверу VPN.
• Само содержимое DNS-запросов (к каким доменам вы обращаетесь) скрыто внутри шифрованного туннеля и недоступно для чтения на уровне сети провайдера.
• DNS-резолвинг фактически происходит уже на стороне VPN-сервера или через DNS-серверы, которые он предоставляет.

А что насчёт защищённого DNS без VPN

Отдельно стоит упомянуть протоколы DoH (DNS over HTTPS) и DoT (DNS over TLS) — они шифруют сами DNS-запросы, даже если VPN не используется. Теоретически это тоже скрывает от сетевого оборудования, к каким доменам вы обращаетесь. На практике у такого подхода есть нюансы: часть операторов и устройств DoH/DoT не поддерживают по умолчанию, настройка требует ручного вмешательства, а некоторые сети всё равно способны определить факт использования защищённого DNS по адресу самого DNS-сервера. VPN в этом смысле решает задачу комплекснее — шифрует не только DNS, но и весь остальной трафик единым туннелем.

Что оборудование всё же может видеть

Честности ради: полной невидимости не бывает. Даже при включённом VPN сетевое оборудование провайдера технически способно фиксировать:

• Факт соединения с конкретным IP-адресом — то есть то, что вы подключены к серверу, похожему на VPN.
• Объём и характер трафика — сколько данных передаётся и по каким временным паттернам, даже без доступа к содержимому.
• Сигнатуру протокола, если используется «прозрачный» VPN-протокол без дополнительной маскировки — подробнее об этом в статье «Непрозрачный VPN: что это значит».

Иными словами, VPN не делает факт своего использования полностью незаметным — он скрывает содержимое и адресную информацию о посещаемых сайтах, но не сам факт зашифрованного соединения с внешним сервером.

Роль DNS-серверов самого VPN

Важная деталь: если VPN направляет DNS-запросы через собственные серверы, а не через DNS провайдера, это дополнительно исключает утечку доменных имён мимо туннеля — так называемый DNS leak. Например, в LOKI VPN весь DNS-трафик обрабатывается внутри туннеля через собственные серверы — это как раз то, что предотвращает подобные утечки. Стоит убедиться, что используемый VPN-сервис действительно обрабатывает DNS внутри туннеля, а не оставляет эти запросы «снаружи».

Почему это вообще важно понимать

Разговоры о ТСПУ часто обрастают крайностями — от «оборудование видит вообще всё, включая переписку» до «VPN делает меня абсолютно невидимым». Обе крайности неточны. Реалистичная картина ближе к середине: сетевое оборудование провайдера видит метаданные соединения (кто, куда, сколько, как долго), а вот содержимое — переписку, пароли, конкретные страницы — закрывает шифрование, которое обеспечивают HTTPS и VPN независимо друг от друга. Понимание этой границы полезно и с практической стороны: оно помогает не удивляться, если VPN иногда всё же взаимодействует с сетевыми ограничениями, и не переоценивать риски там, где их на самом деле нет.

Мини-FAQ

Значит, с VPN провайдер вообще ничего не видит?
Нет, это преувеличение. Провайдер видит факт зашифрованного соединения с сервером VPN и общие метаданные трафика, но не содержимое и не конкретные посещённые домены.

DNS-запросы всегда передаются открыто?
Классический DNS — да. Есть защищённые варианты (DoH, DoT), но при использовании VPN весь DNS-трафик и так уходит в зашифрованный туннель.

Может ли оборудование заблокировать VPN, даже не видя содержимого?
Технически да — по признакам протокола или репутации IP-адреса сервера, без необходимости расшифровывать сам трафик.

Вывод

ТСПУ и аналогичное оборудование работают на уровне сети провайдера и способны анализировать метаданные и нешифрованные части трафика — включая классические DNS-запросы. VPN закрывает эту брешь, отправляя DNS-резолвинг и весь остальной трафик внутри зашифрованного туннеля, но не делает факт использования VPN абсолютно незаметным. Понимание этой границы — техническое, а не повод для тревоги: это просто то, как устроены сети сегодня.