Короткий ответ
ECH не скрывает IP назначения и не гарантирует анонимность. VPN переносит исходное соединение до VPN-сервера в туннеле, поэтому локальная сеть не видит отдельные SNI назначения, но доверие смещается к VPN-провайдеру.
Как работает SNI
Браузер отправляет имя до установки обычного HTTP-сеанса, чтобы сервер выбрал сертификат. Это метаданные соединения, а не содержимое страницы или пароль.
Условия ECH
Клиент получает ECH-конфигурацию через DNS HTTPS record и использует её только если сайт и сеть совместимы. При отсутствии поддержки соединение может использовать обычный ClientHello.
Практический вывод
Проверяйте ECH в актуальном браузере и защищённом DNS, но не стройте всю приватность на одном индикаторе. IP, размеры пакетов, аккаунты и cookies остаются отдельными сигналами.
Чек-лист действий
- Обновите браузер и ОС.
- Используйте совместимый защищённый DNS.
- Проверьте ECH на тестовой странице.
- Учитывайте видимость IP назначения.
- Для локальной сети при необходимости используйте VPN.
Что часто делают неправильно
- Считать SNI содержимым веб-страницы.
- Ожидать ECH на любом сайте.
- Путать ECH с изменением IP.
- Игнорировать cookies и вход в аккаунт.