Co uvidí váš operátor, když používáte VPN (a co ne).
Stav k 19. 10. 2026: Pevnost je v soukromé betě. První server prg1 v Hluboké nad Vltavou (datacentrum WEDOS) běží od 18. října; první krátký test naměřil kolem 300 Mbit/s. Každý nový účet má dvě hodiny zdarma (jedna zkouška na připojení, jedno zařízení), pak 120 Kč za 30 dní nebo 1 200 Kč za rok. Platit jde Bitcoinem on-chain (preferujeme), kartou přes Stripe nebo převodem; Lightning plánujeme, Monero se chystá. Aplikace pro Windows 0.3.1 beta, pro Android 0.1.0 beta. Naposledy revidováno 19. 10. 2026.
Váš operátor, ať domácí poskytovatel internetu, nebo mobilní síť, je první, kdo vidí každý paket, který z vašeho zařízení odejde. Proto má smysl se přesně zeptat, co uvidí váš operátor, když používáte VPN, a co zůstane skryté. Odpověď nezní „nic“. Je užší a užitečnější: operátor dál ví, že jste online, kdy a kolik dat posíláte a že míří k VPN serveru. Neví, kam pokračují dál.
Výchozí stav: co operátor vidí bez VPN
Většina webů dnes běží přes HTTPS, takže obsah stránek, hesla ani konkrétní adresy podstránek operátor nevidí. Vidí ale hodně jiného:
- Cílové IP adresy. Každé spojení má cílovou adresu a podle ní se často dá poznat, o jakou službu jde.
- Jména webů v DNS. Pokud používáte resolver operátora, což je výchozí nastavení většiny routerů, dostává operátor v otevřeném textu každé jméno, na které se zařízení zeptá.
- Jméno serveru v TLS (SNI). I u HTTPS se jméno webu při navazování spojení obvykle posílá nešifrovaně. Šifrované ClientHello (ECH) to mění, ale zatím ho nepodporuje každý web ani prohlížeč.
- Časy, objemy a druh provozu. Kdy jste byli aktivní, kolik dat kam teklo, jestli šlo o video, hovor nebo stahování.
Šifrovaný DNS (DoH nebo DoT) v prohlížeči či systému část toho skryje i bez VPN. Cílové adresy a většinu jmen v SNI ne.
Co operátor uvidí s VPN
Se zapnutou Pevností vypadá váš provoz pro operátora jako jediný proud UDP paketů mezi vaší adresou a adresou našeho serveru. Konkrétně uvidí:
- Že používáte VPN, a kterou. Adresa našeho uzlu je veřejná a WireGuard je na lince snadno rozpoznatelný. Nemaskujeme ho a netvrdíme opak.
- Kdy jste připojeni a kolik dat posíláte. Začátek a konec spojení, objemy v obou směrech, rytmus provozu. Naše konfigurace posílá udržovací paket každých 25 sekund, takže operátor pozná i tunel, který běží naprázdno.
- Tvar provozu. Šifrování skrývá obsah, ne velikosti a časování paketů. Z rytmu lze odhadnout, že sledujete video nebo telefonujete, ne však co a s kým.
- Cokoli mimo tunel. Provoz před jeho spuštěním, při výpadku bez kill switche nebo z aplikací, které jste z tunelu vyjmuli.
Co operátor neuvidí
- Weby a služby, které používáte. Cílové adresy i jména jsou uvnitř šifrovaného tunelu.
- DNS dotazy. Každá konfigurace Pevnosti nastavuje resolver 10.8.0.1, který běží na našem uzlu, je dostupný jen tunelem a nevede log dotazů. Resolver operátora se nedozví nic, pokud ho systém nepoužije mimo tunel; to ověříte testem úniku DNS a IP.
- Porty a protokoly uvnitř. Jestli jde o web, e‑mail, hru nebo videohovor.
- IPv6 provoz. Konfigurace posílá do tunelu i celou IPv6 (
::/0), takže kolem tunelu k operátorovi neproklouzne.
Co operátor ví tak jako tak
VPN mění, co je vidět v provozu. Nemění, kým pro operátora jste jako zákazník.
- Vaši totožnost. Smlouvu, jméno, adresu přípojky nebo SIM kartu má operátor bez ohledu na to, co posíláte.
- Polohu v mobilní síti. Telefon se hlásí k buňkám, takže operátor ví, kde přibližně jste. VPN běží o vrstvu výš a na tom nic nemění.
- Zákonem uchovávané údaje. Operátoři v Česku uchovávají šest měsíců provozní a lokalizační údaje o vašem připojení podle § 97 zákona o elektronických komunikacích. S VPN z nich lze vyčíst, kdy jste byli online a že jste komunikovali s naším serverem, ne kam jste šli dál. Proč tato povinnost dopadá na operátora a ne na nás, rozebírá článek VPN a české soudy.
- Hovory a SMS. Klasické hovory a textové zprávy nejdou přes internet a žádná VPN je nechrání.
Kam se viditelnost přesune
VPN informaci neničí, ale přesouvá. To, co dřív viděl operátor, teď teče přes náš server, a je poctivé říct, kdo vidí co na druhém konci.
- My. Uzel musí po dobu připojení znát vaši aktuální adresu, aby vám mohl vracet pakety. Drží ji jen v paměti a o provozu nezapisuje nic; podrobně v článku VPN bez logů: co to znamená.
- Hostingová firma. Datacentrum, ve kterém uzel stojí, vidí jako každý operátor, které adresy se k serveru připojují a kdy, a na výstupu cílové adresy provozu všech zákazníků dohromady. Toky může vzorkovat.
- Kdo vidí oba konce. Kdo by sledoval vaši přípojku i uplink našeho datacentra, může podle času a objemu spárovat vaše spojení s provozem na výstupu. To vyžaduje dosah do dvou sítí, v praxi stát nebo spolupráci dvou operátorů. Žádná jednoskoková VPN tomu nezabrání.
Kdy operátor uvidí víc, než čekáte
- Před spuštěním tunelu. Po zapnutí telefonu nebo počítače se systém a aplikace připojují dřív, než tunel naběhne. Na Androidu to řeší systémová volba Trvalá VPN spolu s Blokovat připojení bez VPN, na Windows kill switch naší aplikace. Podrobnosti jsou v článku Kill switch: co dělá a kdy chybí.
- Captive portály. Přihlašovací stránka hotelové nebo vlakové Wi‑Fi se musí otevřít mimo tunel. Co během té chvíle odejde, vidí provozovatel sítě. Víc v článku VPN na veřejné Wi‑Fi.
- Únik DNS. Když systém nebo „chytrý“ bezpečnostní software posílá dotazy vlastnímu resolveru, operátor znovu vidí jména webů. Test zabere dvě minuty.
- Vyjmuté aplikace a místní síť. Split tunneling a volby typu „povolit místní síť“ posílají část provozu kolem tunelu záměrně.
Shrnutí
S VPN operátor ví, že jste online, kdy a kolik, a že jste připojeni k Pevnosti. Neví, kam chodíte a na co se ptáte v DNS. Vaše jméno, poloha v mobilní síti a zákonem uchovávané údaje o připojení zůstávají u něj. VPN vás tedy neudělá anonymními: zúží, co o vás vidí síť, přes kterou se připojujete, a zbytek přesune k nám. Proč ani to není neviditelnost, vysvětluje článek proč vás ani VPN bez logů neudělá anonymními.