W poprzednim artykule omówiliśmy czym jest VPN. Teraz przyjrzyjmy się, co dzieje się technicznie po kliknięciu « Połącz » w aplikacji. Bez dyplomu informatyki — tylko jasne kroki, po kolei.
Dla kroków podstawowych użyjemy analogii z kopertą pocztową, a dla chętnych — szczegóły o protokołach i typach szyfrowania.
Krok 1: Wstępna negocjacja (handshake)
Po kliknięciu « Połącz » klient VPN na twoim urządzeniu kontaktuje się z wybranym serwerem VPN. Wymieniają się dwiema rzeczami:
- Wzajemna weryfikacja. Serwer udowadnia, że to on (przez certyfikat), klient udowadnia, że twój abonament jest aktywny.
- Generowanie kluczy szyfrujących. Każda sesja generuje nowe tymczasowe klucze. Nawet gdyby ktoś nagrywał ruch dzisiaj, nie mógłby go odszyfrować nawet z kluczami uzyskanymi jutro.
Ten handshake trwa ułamek sekundy. To niewidzialna część « kliknąłem — połączyło ».
Krok 2: Budowa tunelu
Po handshake'u ustanawiany jest tunel — stałe łącze komunikacyjne z konkretnymi regułami:
- Wszystkie pakiety, które twoje urządzenie wysyła w sieć, są najpierw pakowane w zaszyfrowaną « zewnętrzną kopertę ».
- Tylko serwer VPN ma klucz, by tę kopertę otworzyć.
- W środku jest oryginalny pakiet: do jakiej strony idzie, co zawiera.
- Serwer otwiera kopertę, wysyła pakiet do strony docelowej, otrzymuje odpowiedź, pakuje ją w nową zaszyfrowaną kopertę i odsyła tobie.
Dla twojego dostawcy Internetu wszystko wygląda tak: « urządzenie jest połączone z serwerem X i wymienia z nim pewną ilość zaszyfrowanych danych ». Kropka. Konkretne strony, co pobierasz, czego szukasz — niewidoczne.
Krok 3: Co widzi strona docelowa
Z punktu widzenia odwiedzanej strony: zapytanie nie przychodzi od ciebie, lecz od serwera VPN. Strona widzi IP serwera VPN, jego lokalizację (np. Niemcy lub Holandia), jego techniczny ślad.
Właśnie dlatego VPN rozwiązuje zarówno omijanie blokad (strona widzi cię jako « użytkownika z innego kraju »), jak i prywatność (strona nie wie, kim jesteś ani skąd naprawdę się łączysz).
Szyfrowanie: co dokładnie dzieje się z danymi
Współczesne VPN-y używają AES-256 — tego samego algorytmu, który chroni utajnione dane wojskowe i systemy bankowe. Co to znaczy w praktyce:
- Dane są dzielone na bloki.
- Każdy blok jest mieszany z kluczem sesji przez sekwencję złożonych operacji matematycznych.
- Aby odblokować blok bez klucza, jest 2^256 możliwych kombinacji — więcej niż atomów we widzialnym wszechświecie.
Konkretnie: gdyby ktoś przechwycił zaszyfrowany ruch i puścił go przez wszystkie komputery świata jednocześnie, odszyfrowanie zajęłoby miliardy lat. Matematyczna część szyfrowania nie jest ograniczeniem.
Protokoły VPN: « język » tunelu
Dane w tunelu muszą być pakowane w pewnym formacie. Ten format to « protokół VPN ». Główne dziś używane:
- WireGuard. Najnowszy (2018) i najszybszy. Mały kod, łatwe audyty, świetna wydajność na urządzeniach mobilnych.
- OpenVPN. Stabilny weteran, wspiera różne tryby (UDP dla szybkości, TCP dla restrykcyjnych sieci).
- IKEv2/IPsec. Dobry dla mobilnych — dobrze radzi sobie ze zmianami sieci (Wi-Fi → 4G).
- L2TP/IPsec, PPTP. Stare. Już nie zalecane: pierwszy jest wolny, drugi nie jest bezpieczny.
Do codziennego użytku wybór jest prosty: WireGuard, jeśli dostępny (jest we wszystkich poważnych serwisach), OpenVPN jako rezerwa.
Co dokładnie dzieje się przy zmianie serwera
Gdy wybierasz serwer w innym kraju i klikasz « Połącz », trzy rzeczy dzieją się po kolei:
- Aplikacja zamyka aktualny tunel (1–2 sekundy).
- Otwiera nowy handshake z wybranym serwerem w innym kraju (też 1–2 sekundy).
- Cały ruch zaczyna iść przez nowy serwer.
Dla stron wygląda to tak, jakbyś w kilka sekund « zmienił kraj ». Twoje sesje z otwartymi stronami mogą wymagać ponownego uwierzytelnienia (niektóre serwisy są podejrzliwe wobec IP skaczącego między krajami), ale w większości aktywność trwa spokojnie.
Dlaczego twoje IP wygląda inaczej
Gdy łączysz się ze stroną bez VPN, zapytanie niesie twoje IP — unikalny identyfikator, który dostawca ci przydzielił. Z IP można określić: twojego dostawcę, miasto (czasem dzielnicę), typ połączenia.
Z VPN zapytanie dochodzi do strony z serwera VPN — wiec strona widzi IP serwera. Jeśli serwer jest w Niemczech — strona widzi cię jako niemieckiego gościa. Twoje prawdziwe IP jest znane tylko serwerowi VPN, a w poważnych serwisach (z polityką no-logs) nie jest zapisywane.
Częste pytanie: VPN może mnie widzieć
Uczciwe pytanie. Technicznie dostawca VPN ma dostęp do tej samej roli, którą wcześniej miał twój dostawca Internetu: widzi, do jakich stron łączy się twoje urządzenie. Różnica leży w tym, co z tymi informacjami robi.
- Dostawca Internetu: obowiązany prawnie do przechowywania historii dostępu i przekazywania jej na żądanie władz.
- Serwis VPN no-logs: technicznie widzi, ale nie przechowuje. Nawet gdyby wszystkie serwery zostały skonfiskowane, nie byłoby co wyciągnąć.
Dlatego ważne jest wybranie dostawcy z weryfikowaną polityką no-logs, nie « obietnicą ». Poważne serwisy (włącznie z VolnaLink) regularnie poddają się audytom niezależnych firm.
Szyfrowanie, IP, tunel — wszystko razem
Podsumowując, oto co dzieje się, gdy oglądasz wideo z aktywnym VPN:
- Przeglądarka wysyła zapytanie « daj mi to wideo ».
- Klient VPN przechwytuje zapytanie, szyfruje i pakuje w kopertę adresowaną do serwera VPN.
- Dostawca Internetu widzi kopertę, ale nie wie, co w środku. Przekazuje ją do serwera VPN.
- Serwer VPN otwiera kopertę, widzi « zapytanie wideo do strony X », przekazuje zapytanie do strony X.
- Strona X widzi zapytanie z IP serwera VPN, zwraca wideo do serwera VPN.
- Serwer VPN szyfruje wideo, pakuje w kopertę dla ciebie, odsyła.
- Twoje urządzenie otwiera kopertę — przeglądarka pokazuje wideo.
Wszystko to dzieje się w milisekundach i przezroczyście. Ty widzisz tylko « wideo się ładuje », a za tym stoi sekwencja zaszyfrowanych kroków.
Podsumowanie
VPN to dojrzała technologia, oparta na sprawdzonej matematyce i protokołach. Szyfrowanie ruchu, podmiana IP, bezpieczny tunel — to trzy filary, na których wszystko stoi. Część techniczna jest solidna; ważne dla użytkownika to wybrać godnego zaufania dostawcę. Mówimy o tym w jak wybrać dobry VPN.