Czym jest VPN i jak działa? Przewodnik prostym językiem

VPN (virtual private network, czyli wirtualna sieć prywatna) to usługa, która kieruje Twój ruch internetowy przez szyfrowany tunel do serwera należącego do firmy VPN, a ten przekazuje go dalej do strony lub aplikacji, z której korzystasz. Twój dostawca internetu i sieć Wi-Fi, w której jesteś, widzą tylko, że łączysz się z tym serwerem, a strony widzą adres IP serwera zamiast Twojego.

To naprawdę przydatne, ale znacznie mniej, niż sugerują reklamy. VPN nie czyni Cię anonimowym, nie powstrzymuje większości śledzenia i nie chroni przed oszustwami. Przenosi tylko możliwość podglądania Twojego ruchu z jednej firmy (dostawcy internetu) do drugiej (dostawcy VPN). Ten przewodnik wyjaśnia, jak to działa, co i przed kim ukrywa, które funkcje mają znaczenie, czego VPN nie potrafi i jak wybrać usługę, jeśli zdecydujesz się z niej korzystać.

Jak działa VPN?

Twoje urządzenie szyfruje wszystko, co wysyła, i pakuje to w pakiety zaadresowane do serwera VPN. Serwer rozpakowuje je i odszyfrowuje, wysyła Twoje żądania dalej do internetu pod własnym adresem IP, a odpowiedzi szyfruje w drodze powrotnej do Ciebie.

Przewodnik Surveillance Self-Defense organizacji EFF ujmuje to prosto: z VPN-em „wszystkie dane, które wysyłasz (np. żądania do serwerów podczas przeglądania stron), wyglądają tak, jakby pochodziły z samego VPN-a”, według jego modułu o wyborze VPN-a¹. Krok po kroku:

1. Łączysz się. Aplikacja VPN na telefonie lub komputerze i serwer VPN potwierdzają sobie nawzajem tożsamość i uzgadniają nowe klucze szyfrowania. Zasady tego procesu określa protokół VPN, na przykład WireGuard lub OpenVPN (zobacz WireGuard vs OpenVPN).
2. Twój ruch trafia do tunelu. Aplikacja kieruje ruch internetowy urządzenia do wirtualnego interfejsu sieciowego. Każdy pakiet jest szyfrowany i opakowywany w nowy pakiet zaadresowany do serwera VPN. Każdy, kto jest pośrodku, widzi tylko zaszyfrowane dane płynące pod jeden adres.
3. Serwer przekazuje go dalej. Na serwerze VPN Twój ruch jest odszyfrowywany i przekazywany do prawdziwego celu. Strona widzi żądanie z adresu IP serwera VPN.
4. Odpowiedzi wracają tą samą drogą. Strona odpowiada serwerowi VPN, który szyfruje odpowiedź i wysyła ją tunelem do Ciebie.

Nazwa „wirtualna sieć prywatna” pochodzi ze świata firm, gdzie ta sama technologia pozwala pracownikom łączyć się z wewnętrznymi systemami firmy z domu tak, jakby siedzieli w biurze. Konsumenckie VPN-y wykorzystują ten pomysł, ale zamiast łączyć Cię z siecią biurową, łączą Cię z otwartym internetem przez cudzy serwer.

Co ukrywa VPN i przed kim?

Ukrywa odwiedzane strony przed siecią lokalną i dostawcą internetu oraz ukrywa Twój prawdziwy adres IP przed odwiedzanymi stronami. Przed samą firmą VPN nie ukrywa niczego, a przed stronami, na których się logujesz, niewiele.

Ostatni wiersz jest najważniejszy. Jak ujmuje to EFF: „gdy VPN ukrywa Twoje dane przeglądania przed dostawcą internetu, wszystko to jest widoczne dla dostawcy VPN”. Dlatego w każdym VPN najważniejsze jest to, kto go prowadzi, gdzie i jakie są dowody na to, że nie przechowuje logów. Dlatego też ta strona porównuje dostawców pod kątem audytów i wiarygodności, a nie funkcji: zobacz tabelę porównawczą i nasz poradnik o sprawdzaniu deklaracji no-logs.

HTTPS, czyli kłódka w pasku adresu przeglądarki, już szyfruje zawartość większości stron między Tobą a witryną, niezależnie od tego, czy używasz VPN. Poradnik FTC dla konsumentów mówi, że „większość witryn stosuje szyfrowanie, aby chronić Twoje dane”, a „ze względu na powszechność szyfrowania łączenie się przez publiczną sieć Wi-Fi jest zwykle bezpieczne”, jak czytamy w jego poradzie dotyczącej publicznych sieci Wi-Fi². Czego HTTPS nie ukrywa przed siecią, to tego, z jakimi witrynami się łączysz. VPN to ukrywa.

Jak działa szyfrowanie VPN?

Nowoczesne protokoły VPN korzystają z tej samej, dobrze zbadanej kryptografii klucza publicznego co bezpieczne strony internetowe i komunikatory: wymiana kluczy służy do uzgodnienia tajnych kluczy, potem szybkie szyfrowanie symetryczne chroni sam ruch, a każdy pakiet jest sprawdzany pod kątem manipulacji.

WireGuard, protokół, którego większość dostawców używa obecnie domyślnie, ma z góry ustalone algorytmy zamiast ich negocjowania: jego whitepaper⁴ opisuje Curve25519 do wymiany kluczy i ChaCha20Poly1305 do szyfrowania i uwierzytelniania pakietów, przesyłanych przez UDP. OpenVPN korzysta z TLS, tej samej rodziny protokołów, która zabezpiecza HTTPS. Oba są na tyle mocne, że żaden rozsądny atakujący nie próbuje łamać szyfrowania; realistyczne słabe punkty to otaczające je oprogramowanie, serwer i firma, która go prowadzi.

Nie musisz rozumieć matematyki. Sprawdź natomiast, czy dostawca używa powszechnego protokołu (WireGuard, OpenVPN, IKEv2 albo własnego protokołu, który został opublikowany i niezależnie zaudytowany), a nie czegoś tajnego. Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) i CISA w wytycznych z 2021 roku dotyczących wyboru i utwardzania VPN³ dla organizacji kierowały nabywców ku produktom opartym na standardach, a nie ku rozwiązaniom własnościowym.

Czym są adresy IP i DNS i dlaczego mają znaczenie?

Twój adres IP to numer, którego internet używa, by odesłać Ci dane; zdradza Twojego dostawcę internetu i mniej więcej to, gdzie jesteś. DNS to wyszukiwanie, które zamienia nazwę taką jak example.com na adres IP. VPN powinien obsługiwać jedno i drugie, bo inaczej dochodzi do wycieku.

Gdy witryna widzi adres IP serwera VPN, nie może stwierdzić, z jakiego domu czy telefonu pochodzi żądanie, a jej domysł co do Twojej lokalizacji staje się lokalizacją serwera. Tak VPN pozwala wyglądać tak, jakbyś był w innym mieście lub kraju.

DNS to cichszy problem. Za każdym razem, gdy otwierasz stronę, Twoje urządzenie najpierw pyta serwer DNS, gdzie ją znaleźć. Jeśli te zapytania trafiają do Twojego dostawcy internetu zamiast przez tunel („wyciek DNS”), dostawca nadal dostaje listę odwiedzanych przez Ciebie witryn. Renomowane aplikacje VPN kierują DNS przez tunel do własnych resolverów dostawcy. Jeśli konfigurujesz VPN ręcznie, na przykład na routerze, warto to sprawdzić.

Czym są kill switch i split tunneling?

Kill switch blokuje połączenie z internetem, gdy VPN się rozłączy, żeby nic nie wyciekło bez ochrony. Split tunneling działa odwrotnie: pozwala wybrać aplikacje lub strony, które omijają VPN.

• Kill switch. Połączenia VPN zrywają się z zupełnie zwyczajnych powodów: telefon przełącza się z Wi-Fi na dane komórkowe, laptop budzi się ze stanu uśpienia, serwer się restartuje. Bez kill switcha urządzenie po cichu działa dalej przez Twoje zwykłe połączenie. Z nim ruch zatrzymuje się, dopóki tunel nie wróci. Jeśli używasz VPN dla prywatności, a nie dla wygody, włącz go.
• Split tunneling. Niektóre rzeczy działają źle przez VPN: aplikacje bankowe, które oznaczają zagraniczne adresy IP, drukarki i urządzenia smart home w Twojej sieci, rozmowy wideo, w których liczy się każda milisekunda. Split tunneling wysyła je bezpośrednio, a cała reszta idzie przez tunel. To wygodne, ale oznacza też, że te aplikacje nie są chronione.
• Multi-hop. Niektórzy dostawcy potrafią poprowadzić Cię przez dwa serwery, często w różnych krajach, tak że żaden pojedynczy serwer nie widzi jednocześnie Twojego prawdziwego adresu IP i celu połączenia. Jest wolniej i przydaje się głównie, gdy obawiasz się, że konkretny serwer jest obserwowany.
• Obfuskacja. Sieci w niektórych miejscach pracy, szkołach i krajach blokują VPN. Tryby obfuskacji maskują ruch VPN jako zwykły ruch webowy. Każdy dostawca ma dla tego własną nazwę.

Czego VPN nie potrafi?

VPN nie czyni Cię anonimowym, nie powstrzymuje śledzenia przez pliki cookie, logowania czy fingerprinting i nie chroni przed phishingiem, oszustwami ani złośliwym oprogramowaniem. Zmienia to, kto widzi Twoje połączenia, a nie to, co sam ujawniasz.

• To nie jest anonimowość. EFF mówi wprost: „VPN nie jest narzędziem do anonimowości”. Dostawca zna Twój prawdziwy adres IP i zwykle dane płatności. Jeśli chcesz silniejszej anonimowości, według EFF „Tor jest lepszym rozwiązaniem niż VPN”.
• Nie powstrzymuje większości śledzenia. Ten sam poradnik EFF¹ zauważa: „istnieje wiele innych sposobów, na jakie firmy mogą Cię śledzić, w tym GPS, pliki cookie, piksele śledzące czy fingerprinting”. Jeśli jesteś zalogowany w Google, Facebooku lub Amazonie, wiedzą, że to Ty, niezależnie od adresu IP. Przeglądarka lub rozszerzenie blokujące trackery robi pod tym względem więcej niż VPN.
• Nie powstrzymuje oszustw. FTC ostrzega, że oszuści „tworzą fałszywe witryny i szyfrują je, żebyś myślał, że są bezpieczne, choć nie są”. Strona phishingowa działa równie dobrze przez VPN.
• Nie zastępuje podstawowych zabezpieczeń. Aktualizacje oprogramowania, menedżer haseł, unikalne hasła i uwierzytelnianie dwuskładnikowe chronią Cię przed znacznie większą liczbą ataków, z którymi zwykli ludzie faktycznie się stykają.
• Nie stawia Cię ponad prawem. EFF zauważa, że „w zależności od jurysdykcji rząd może zażądać tych danych lub wydać nakaz ich przekazania”, a dostawcy „mogą też podlegać naciskom rządów lub organów ścigania, by przekazali informacje”.

Czym różni się VPN firmowy od konsumenckiego?

VPN firmowy łączy Cię z prywatną siecią pracodawcy, byś mógł korzystać z systemów wewnętrznych; VPN konsumencki łączy Cię na zewnątrz, z publicznym internetem, przez serwery dostawcy. Używają podobnej technologii do przeciwnych celów.

CISA mówi, że serwery VPN do zdalnego dostępu „pozwalają użytkownikom spoza siedziby tunelować do chronionych sieci”, w swoim alercie dotyczącym wytycznych NSA i CISA³. Gdy VPN Twojego pracodawcy jest włączony, sieć pracodawcy zwykle widzi Twój ruch tak samo, jak normalnie robi to Twój dostawca internetu, więc nie traktuj go jako prywatnego. VPN konsumencki, taki jak Proton VPN, Mullvad czy NordVPN, to osobny produkt, za który płacisz (lub z którego korzystasz w planie darmowym), by ukryć swoje przeglądanie przed własną siecią i dostawcą.

Prawo do tego?

W większości krajów, w tym w USA, korzystanie z VPN jest legalne. Niektóre rządy je ograniczają lub zakazują, a wszystko, co jest nielegalne bez VPN, pozostaje nielegalne także z nim. Nic tutaj nie jest poradą prawną.

EFF radzi śledzić „politykę poszczególnych krajów wobec VPN (np. zakazy VPN)”, jeśli podróżujesz lub mieszkasz tam, gdzie obowiązuje cenzura internetu. Osobną kwestią jest to, że wiele serwisów streamingowych zabrania w regulaminie używania VPN do dostępu do katalogu innego kraju i aktywnie blokuje serwery VPN; to sprawa umowna, a nie karna, ale może skutkować zawieszeniem konta. Nasz poradnik o VPN do streamingu wyjaśnia, co to oznacza w praktyce, a VPN do torrentów tłumaczy, dlaczego VPN nie zmienia prawa autorskiego.

Czego VPN nie robi?

Wiele osób go nie potrzebuje. Warto go mieć, jeśli regularnie korzystasz z sieci, którym nie ufasz, nie chcesz, by dostawca internetu widział, jakie witryny odwiedzasz, albo chcesz, by strony widziały inną lokalizację. To nie jest uniwersalne narzędzie do „bezpieczeństwa w sieci”.

Pełną odpowiedź, z sytuacjami, w których pomaga i w których nie, znajdziesz w artykule Czy potrzebuję VPN?. Jeśli pytanie dotyczy kosztów, przeczytaj darmowe a płatne VPN-y i naszą listę darmowych VPN-ów wartych użycia.

Jak wybrać VPN?

Wybieraj firmę, zanim spojrzysz na funkcje. Szukaj nazwanego, niezależnego audytu no-logs, który możesz przeczytać, jasnego właściciela i jurysdykcji, historii, którą da się sprawdzić, powszechnego protokołu i zrozumiałych zasad zwrotu pieniędzy.

• Zapytaj, jak zarabia. EFF sugeruje zadać pytanie: „Jeśli VPN nie sprzedaje swojej usługi, to jak utrzymuje biznes?”. Darmowe VPN-y bez widocznego biznesu to najbardziej ryzykowny rodzaj.
• Przeczytaj politykę prywatności. EFF ostrzega, że „firma VPN może logować Twoje dane, jeśli wyraźnie tego nie wyklucza w swojej polityce prywatności”.
• Szukaj dowodów, nie haseł. Audyty przeprowadzone przez wskazane firmy, naloty policji lub sprawy sądowe, które nic nie wykazały, i uczciwe podejście do naruszeń. Nasze zestawienie no-logs ocenia dostawców właśnie pod tym kątem.
• Sprawdź prawdziwą cenę. Ceny z reklam zwykle wymagają opłacenia z góry planu rocznego lub dwuletniego, a przy odnowieniu rosną. Zobacz najtańsze godne zaufania VPN-y.

Jeśli wybierasz między największymi graczami, nasze porównania head-to-head zestawiają dostawców jeden po drugim: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN i Mullvad vs Proton VPN.