«Без логов» у VPN: что скрывается за обещанием

Однажды ночью я ковырялся в тикете поддержки: у человека «не работает VPN», и он прикладывает скриншоты из V2RayNG, NekoBox и ещё пары клиентов. Дальше закономерный вопрос от пользователя: «А вы же без логов, да? Тогда почему вы вообще просите диагностику?»

Вот тут и начинается путаница. Потому что «без логов» в быту означает «никто ничего про меня не узнает». А в инженерной реальности есть несколько разных видов данных, и часть из них появляется даже если провайдер искренне не хочет ничего сохранять.

Чудес не бывает.

«Без логов» и «без данных» — не одно и то же

Фраза «no logs» чаще всего относится к содержимому трафика. То есть провайдер не записывает, какие сайты вы открывали, что отправляли в мессенджере, какие файлы качали. Это главный смысл, и он понятный.

Но в повседневной эксплуатации всегда всплывают вопросы, которые к содержимому трафика напрямую не относятся: почему конкретный сервер отвалился, почему на мобильном растёт задержка, почему на iOS через Wi‑Fi всё летает, а в LTE сыпятся потери пакетов. Чтобы отвечать на такие вопросы, сервису иногда нужны минимальные технические следы. И тут важно, где проходит граница.

Логи живучи.

Если провайдер честный, «без логов» обычно означает: он не ведёт историю ваших действий в сети и не может задним числом восстановить, куда вы ходили. Но это не обязано означать, что на сервере вообще никогда не существует ни байта служебной информации.

Какие логи бывают, даже если вы их не видите

В нормальном разговоре про приватность я разделяю данные на несколько корзин. Не потому что люблю бюрократию, а потому что иначе все спорят о разном.

• Логи трафика: содержимое и адреса посещаемых ресурсов, запросы, файлы. Это то, чего вы как раз не хотите.
• Метаданные соединения: время подключения, объём переданных данных, IP на входе, выбранный сервер. Могут быть «техническими», а могут превратиться в трекинг.
• DNS‑следы: куда уходят запросы, кто их обслуживает, пишет ли резолвер историю. Иногда это отдельный слой, не связанный с самим туннелем.
• Диагностика приложения: краши, версия ОС, модель телефона, события интерфейса. Часто часть этого живёт у сторонних SDK.
• Платёжные данные: чек у платёжного провайдера, письмо на почте, запись в банке. Тут VPN вообще мало что контролирует.

Самая коварная часть — «диагностика приложения». У пользователя может быть идеальный VPN по серверной политике, но при этом Android‑клиент отправляет телеметрию в аналитику магазина приложений или в библиотеку отчётов о сбоях. Это не обязательно зло. Иногда это способ быстро чинить падения. Но если вы хотите быть занудой (я хочу), то это тоже нужно учитывать.

Если интересно, какие вещи обычно относятся к функциям самого сервиса, а какие зависят от клиента и платформы, удобно сверяться с разделом возможности и настройки DuduVPN. Я часто смотрю именно туда, когда выбираю, где включить DNS, где автоподключение, где разделение трафика.

WireGuard, VLESS+REALITY и неприятные детали протоколов

Дальше начинается то, что обычно не пишут большими буквами на главной странице.

WireGuard устроен просто и быстр. На практике он часто даёт отличную задержку и меньше сажает батарейку на телефоне, чем тяжёлые схемы поверх TCP. Но у него есть техническая особенность: серверу нужно понимать, к какому «пиру» относится пакет, и состояние соединения на каком-то уровне всё равно существует. Это не «журнал посещений сайтов», но это след, который можно превратить в лог, если очень захотеть.

Важно различать два вопроса:

1) хранит ли провайдер соответствие «ваш аккаунт → ваш входной IP → время подключения»;

2) может ли он увидеть содержимое внутри туннеля.

Содержимое при нормальной реализации протокола ему не видно. А вот метаданные в теории можно собирать почти в любом протоколе, просто в разных местах.

С VLESS+REALITY история другая. Там идея в том, чтобы трафик выглядел более «обычно» для сетевой фильтрации, а настройка часто живёт в клиентах вроде Hiddify или NekoBox. Это помогает в некоторых сетях, но добавляет больше движущихся частей. Если на мобильном начинается пляска: то подключается, то нет, то отваливается при смене базовой станции, вы получите больше поводов для диагностики. А диагностика почти всегда означает какие-то технические записи, пусть и временные.

Shadowsocks-2022 обычно любят за простоту и понятную модель. Но простота не отменяет того, что сервер видит факт подключения и объём трафика на уровне канала. Содержимое он не читает, но «сколько байт прошло» посчитать может любой прокси.

Честно, это раздражает.

Потому что маркетинговая фраза одна, а протокольных компромиссов много. И если вы выбираете VPN как инструмент на каждый день, вам важны не лозунги, а то, где именно могут появиться хвосты.

Политика «без логов»: где обычно прячется подвох

Я чаще всего вижу четыре типовых ловушки.

Первая: «Мы не логируем» относится только к сайтам и запросам, но провайдер спокойно пишет метаданные соединения неделями. Формально он может сказать правду, но по смыслу приватность уже другая.

Вторая: VPN не пишет логи, но DNS у клиента уходит на сторонний резолвер (или остаётся у провайдера интернета). В результате история доменных имён живёт не на VPN‑сервере, а в другом месте. Пользователь уверен, что всё «в туннеле», а на деле половина картины снаружи.

Третья: клиент просит у вас «отправить логи» и туда попадает лишнее. Например, полный список подключений, внешний IP, иногда даже адреса, если разработчик неаккуратно включил подробный режим. На Android это встречается чаще, потому что логкат соблазнительно удобен.

Четвёртая: «временные журналы для защиты от злоупотреблений» превращаются в постоянные. Особенно если сервис борется со спамом и атаками и начинает хранить всё подряд, потому что так проще расследовать.

Если провайдер выносит эти вещи внятно и человеческим языком, уже хорошо. Иногда ответы лежат в разделе вопросов и ответов, а не в рекламных обещаниях на баннере.

Что можно проверить самому, не будучи параноиком

А теперь часть, где не нужны ни «аудиты на 200 страниц», ни вера на слово. Несколько простых проверок реально сделать дома.

• Посмотрите, какие разрешения просит приложение. На Android это быстро подсвечивает лишнее.
• Проверьте, не торчит ли DNS наружу, особенно при разрыве связи. На мобильном это всплывает при переходе между Wi‑Fi и LTE.
• Оцените, как ведёт себя автоподключение: не бывает ли минут, когда туннель ещё не поднялся, а приложения уже побежали в сеть.
• Если настраиваете вручную (например, через Shadowrocket на iOS или OpenWrt на роутере), сравните, одинаково ли работает WireGuard и VLESS+REALITY на вашей сети.

Кстати, «ручная настройка» часто даёт больше контроля, но платите временем и вниманием. На роутере с OpenWrt можно красиво завернуть весь дом, а можно одним неправильным правилом в firewall устроить себе утечки в самый неподходящий момент.

Ещё один бытовой момент: батарейка. WireGuard на телефоне обычно экономичнее, но если сеть агрессивно режет UDP, начинаются переподключения и keepalive, и тогда расход растёт. Это не теория. Я это видел на паре операторов, где в метро связь рвётся каждые две станции.

Когда «без логов» совместимо с поддержкой

Пользовательский миф такой: если сервис «без логов», поддержка должна угадывать проблемы по фотографии экрана. В реальности поддержка может просить не логи трафика, а технические детали: код ошибки, выбранный протокол, время последней попытки, модель устройства.

Хороший признак, когда вас просят минимум и сразу объясняют, зачем. Например: «нужен временной интервал, чтобы найти сбой на узле», а не «пришлите весь журнал приложения за неделю». И да, вы всегда можете замазать лишнее. Я так делаю почти автоматически.

Если вы выбираете сервис «на каждый день», вопрос цены тоже приземлённый: иногда проще взять подписку и не тратить вечера на пляски с конфигами в чужих клиентах. Тут помогает просто заглянуть на страницу тарифов и решить, сколько вам стоит собственное время.

Где здесь DuduVPN, если нужен спокойный вариант

Я бы действовал прагматично: если вам нужен сервис, где упор сделан на приватность без лишней драмы, попробуйте DuduVPN и заведите подключение через Telegram bot, чтобы быстро получить конфигурацию и не копировать параметры руками.

А дальше всё равно остаётся ваша часть работы: включите блокировку трафика вне туннеля (kill switch) на устройстве, проверьте DNS и не поленитесь один раз прогнать сценарий «переключился с Wi‑Fi на LTE» и обратно, чтобы увидеть, что соединение не оставляет окна в пару секунд.