VPN Crash Test

24 проверки. 10 секунд. Нулевое доверие.

КАК ЭТО РАБОТАЕТ

Аудит безопасности VPN из 24 проверок

ПОДКЛЮЧЕНИЕ

Проверяем соединение через 6 каналов утечки одновременно.

РЕНТГЕН

eBPF фиксирует отпечаток TCP, подпись TLS и overhead туннеля.

ОБНАРУЖЕНИЕ

Сравниваем 24 сигнала с ожидаемыми паттернами VPN-туннелей.

ОТЧЁТ

Покажем рейтинг вашего VPN среди результатов сообщества.

Что реальный VPN-аудит ловит и что пропускает ipleak.net

Большинство VPN-тестеров делают три проверки. DNS leak. WebRTC leak. Возможно, IPv6 ping. Прошёл все три, зелёная галка говорит 'безопасно'. Тест честен в том что он проверил, и неполон во всём остальном. Современный VPN может провалиться восемнадцатью разными способами и при этом показывать все три теста как чистые. Killswitch может проиграть гонку при переподключении. DHCP option 121 может маршрутизировать конкретный трафик мимо туннеля так что VPN-клиент этого не заметит. TLS-фингерпринт может слить настоящую ОС за подделанным user agent. MTU-паттерн может идентифицировать VPN-протокол по одному захвату пакета. Ничего из этого не появится в тестере с тремя проверками. Полный аудит требует серверный сетевой анализ (eBPF на edge ловит то что JavaScript не может), TLS-фингерпринтинг (JA4 и JA4H, появившиеся уже после большинства тестеров) и попротокольное прощупывание UDP, QUIC, DoH, DoT и IPv6 одновременно. Минимум 24 сигнала. Большинство VPN проходит двадцать. Несколько проходит двадцать три. Почти ни один не проходит все двадцать четыре. Дальше: какие проверки пропускают тестеры с тремя проверками, что именно эксплуатирует TunnelVision и похожие атаки, и почему residential proxies архитектурно невидимы для сетевой детекции.

За пределами стены из трёх проверок

Традиционный VPN-тестер проверяет совпадает ли публичный IP, DNS-резолвер и WebRTC ICE-кандидаты с выходом VPN. Это покрывает примерно треть значимых режимов отказа в 2026. IPv6-утечка. Большинство потребительских VPN туннелируют только IPv4. Если провайдер выдал префикс IPv6, а операционная система имеет IPv6 включённым (по умолчанию на Windows, macOS, Linux, мобильных), каждый IPv6-доступный сайт получает реальный IPv6-адрес пользователя. VPN-клиент никогда не видит утечку, потому что IPv6-трафик не проходит через туннель. Около 45% мировых пользователей интернета имели IPv6 на 2024 год. Около 30% потребительских VPN корректно обрабатывают IPv6. Математика оставляет дыру. На QUIC и UDP похожая история. HTTP/3 ходит по UDP через QUIC. Некоторые VPN-конфигурации блокируют UDP (форсируя TCP-fallback). Другие специально его разрешают для производительности, и это значит что QUIC-трафик может пойти мимо туннеля если правила маршрутизации его не ловят. Браузеры предпочитают HTTP/3 когда он доступен; если VPN не туннелирует UDP, HTTP/3-трафик уходит в открытую. Шифрованный DNS вводит отдельный класс утечек. Браузеры и операционные системы всё чаще используют DNS over HTTPS или DNS over TLS встроенный в прикладной слой. Защита от DNS-утечек у VPN работает на уровне OS-резолвера и эти запросы не перехватывает. Firefox поставляет DoH по умолчанию в США с 2018 года. Это значит что Firefox-пользователь на VPN может отдавать DNS-запросы на Cloudflare 1.1.1.1 через 443 порт, никогда не касаясь DNS-серверов VPN. Сигнатуры MTU и TCP-стека выдают ОС. VPN-туннели уменьшают MTU на 40-100 байт в зависимости от протокола (Wireguard около 1420, OpenVPN около 1450, IPsec около 1438). Сигнатура TCP-стека на проводе (TCP options, window scaling, MSS, флаги ECN) выдаёт операционную систему которая отправила пакеты. Заявленный Windows-браузер с пакетами имеющими отличительные TCP-options Linux это сигнал. eBPF на принимающем edge ловит это за миллисекунды без участия JavaScript. Дальше идёт JA4 и JA4H. JA4 хеширует TLS ClientHello: набор шифров, расширения, поддерживаемые группы, signature algorithms, ALPN. Хеш стабилен между версиями браузера для одного движка и выдаёт движок даже если user agent подделан. JA4H хеширует структуру HTTP/2-фрейма первого запроса. Антидетект-браузеры и bare-metal прокси имеют специфические JA4-значения отличающиеся от настоящего Chrome на Windows. JA4 стал стандартом в стеках детекции в 2024-2025; потребительские VPN-тесты его не запускают. Вместе эти сигналы и есть то что 24-чек аудит проверяет, а 3-чек тест пропускает.

TunnelVision и проблема killswitch

Два класса атак ловят даже аккуратных пользователей. Первый это race-condition в killswitch. Каждый VPN-клиент реализует некоторую форму kill switch который должен отрубать трафик при обрыве туннеля. Реализация различается. Некоторые клиенты файрволят весь не-туннельный трафик на уровне ОС (killswitch у Mullvad, у ProtonVPN). Некоторые приостанавливают трафик на уровне приложения (большинство потребительских клиентов). Некоторые срабатывают только на полное отключение, пропуская короткие паузы туннеля при переподключении. Событие переподключения это опасный момент. Туннель уходит на 200ms пока клиент перенастраивается. Если killswitch не успел полностью активироваться за эти 200ms, реальный трафик идёт в дыре. Фоновые сервисы (синк Dropbox, проверки обновлений ОС, опросы менеджера паролей) часто выходят в сеть в момент возврата соединения, и делают это с реального IP если окно было достаточно широким. Тест который ловит 60 секунд session-level данных может увидеть утечки на reconnect-событиях. Однократные тестеры которые делают одно измерение по команде пользователя никогда не увидят утечку потому что в этот момент клиент подключён. Второй класс это TunnelVision (CVE-2024-3661). Leviathan Security Group раскрыли его в мае 2024. Атака использует DHCP option 121 (Classless Static Routes) для внедрения конкретных маршрутов, говорящих операционной системе слать определённые направления мимо VPN-туннеля, даже хотя VPN-клиент считает что catch-all default route всё ещё указывает на туннель. Механика: атакующий в той же физической сети (WiFi кафе, отельный WiFi, поддельный AP) поднимает злонамеренный DHCP-сервер. Машина жертвы принимает DHCP-обновление, применяет option 121 маршруты, и теперь трафик к выбранным атакующим адресам идёт мимо VPN. VPN-клиент видит туннель как поднятый. ОС маршрутизирует конкретный трафик в обход. Killswitch не срабатывает потому что туннель технически всё ещё жив. Тот же трюк что у фальшивого почтальона который подбрасывает поддельные уведомления о смене адреса в каждый ящик: исходный адрес в порядке, почта всё ещё идёт 'домой', просто сначала заходит в другую дверь. Linux-клиенты в network namespace иммунны (namespace не принимает маршруты). Почти ни один потребительский Linux VPN-клиент namespaces не использует. Android в основном иммунен из-за того как Android обрабатывает маршрутизацию. Windows, macOS, iOS и стандартные Linux-клиенты уязвимы если VPN явно не митигирует. К середине 2025 Mullvad, ProtonVPN и горстка премиум-VPN выпустили фиксы. Большинство других либо проигнорировали disclosure, либо заявили что это не их проблема (технически верно, проблема routing-таблицы), либо выпустили частичные обходы. Аудит 2026 проверяет уязвимость к TunnelVision, не только то что базовый туннель поднят.

Почему residential proxies проходят тест и где предел

Аудит на основе сетевого фингерпринта хорошо обнаруживает VPN-туннели. Residential proxies он не обнаруживает, по дизайну. Residential proxy маршрутизирует трафик через реальное домашнее соединение. Выходной IP принадлежит абоненту Comcast или BT Group. ASN резидентный. MTU нормальный. TCP-стек тот что у ноутбука владельца. JA4 выглядит как обычный браузер. С точки зрения получателя запрос пришёл от настоящего резидентного пользователя, потому что на сетевом уровне так и было. Та же история что попытаться отличить поддельный Rolex взвешиванием: качественная подделка весит столько же сколько оригинал. Путь идёт: клиент → провайдер прокси → заражённое или платящее домашнее устройство → целевой сайт. Bright Data, Oxylabs, NetNut, IPRoyal и ныне-закрытый 911.re это видимая часть этого рынка. Они заявляют этичное происхождение (платный opt-in через приложения вроде HoneyGain). Граница между платным opt-in и малварь-распространёнными прокси-нодами это более грязная реальность. Для сетевой детекции residential proxies это архитектурный потолок. Тест использующий ASN-классификацию, IP intelligence базы и сетевой фингерпринтинг скажет 'резидентный, чисто, не помечен' потому что так говорит провод. Детекция должна перейти на поведенческие сигналы (паттерны запросов, движения мыши, история аккаунта) чтобы их ловить, а эти сигналы принадлежат оператору сайта, не сетевой пробе. Аудит WHOX отчитывается о residential proxies как о категориальном ограничении а не как о скрытом отказе. Тест скажет что IP выглядит резидентным и чистым и сетевой фингерпринт согласован с реальным домашним соединением. Это правильный ответ для того кто подключён к residential proxy. Это также правильный ответ для того кто подключён из своего настоящего дома. Различить эти два случая требует данных которые не живут в сети. Двадцать четыре сигнала по DNS, WebRTC, IPv6, QUIC, DoH, DoT, MTU, TCP-стеку, JA4, JA4H, ALPN, HTTP/3, SNI, IP intelligence, ASN, blacklist, Tor exit, классификации датацентр/резидент и скорости туннеля. Community leaderboard агрегирует результаты тысяч VPN-развёртываний и показывает какие провайдеры протекают в реальной жизни, не только на маркетинговых страницах. Полезно для выбора VPN, полезно для верификации того который у вас уже стоит.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Чем это отличается от ipleak.net?

Мы проверяем 24 сигнала против 3. Мы определяем протокол VPN, а не только IP.

Может ли мой VPN-провайдер видеть этот тест?

Да, они видят, что вы посетили whox.com. Проверки безопасности — это пассивный анализ сети. Тест скорости активно загружает/выгружает данные через ваш VPN-туннель.

Почему он показывает, что VPN обнаружен? Я хочу быть анонимным.

Обнаружение VPN не равно его провалу. Сайты могут определить VPN; ваш трафик всё ещё зашифрован.

Что такое MTU/MSS и почему это важно?

VPN-туннели добавляют overhead, уменьшая размер пакетов. Это невидимо для вас, но видимо серверам.

Моего VPN нет в рейтинге.

Нам нужно 50+ тестов от сообщества. Пройдите тест и отправьте результат, чтобы помочь наполнить базу.

Все наши тесты

Запускайте весь набор WHOX из одного блока: проверки утечек, fingerprint-пробы, сетевую диагностику, репутацию IP и тесты приватности.