Коли ти відкриваєш сайт без VPN, запит їде мережею з видимою адресою призначення. Кожен вузол на шляху бачить, до якого сайту ти звертаєшся. Перший з цих вузлів - твій інтернет-провайдер.
VPN додає один крок. Ще на твоєму пристрої кожен пакет загортається в зашифрований конверт. Це стається до того, як пакет виходить у мережу.
Далі провайдер бачить лише один тунель до VPN-сервера: факт зʼєднання і обсяг трафіку. Адреси сайтів закриті. Сам VPN-сервер розгортає конверт і йде на сайти від твого імені. Тому він бачить усе, що ти робиш.
VPN не робить користувача невидимим. Він переносить точку довіри: до VPN адреси сайтів бачив провайдер, після VPN їх бачить VPN-компанія. Вибір VPN - це вибір цієї компанії: її юрисдикції, її політики логів.
Суміжний випадок: відкритий Wi-Fi без VPN і банк через https. Https шифрує зміст ще в браузері. Власник мережі бачить домен і обсяг трафіку, але не зміст і не паролі.