Funguje VPN na 5G? Co 5G šifruje, co ne, a co říkají čísla
Napište do vyhledávače "funguje VPN s 5G" a většina odpovědí plýtvá vaším časem, protože upřímná odpověď zabere jednu větu: ano, VPN běží na 5G jako na jakémkoli internetovém připojení, protože tunel neví a nezajímá ho, jaké rádio neslo jeho pakety. Otázky, které stojí za stránku, jsou ty pod povrchem: co už 5G šifruje bez jakékoli VPN, co nechává odhalené a jestli vás tunelování stojí rychlost, za kterou jste si 5G tarif koupili. Ty mají přesné odpovědi podle specifikací, a zřídka to jsou odpovědi, které dává marketing VPN.
Co už 5G šifruje a co VPN skutečně přidává?
Bezpečnostní design 5G, zapsaný v 3GPP TS 33.501, opravil trapné části 4G a 2G. Zároveň končí přesně na hraně operátora. Tabulka mapuje jednotlivé vrstvy: co standard chrání, co váš operátor stále vidí a co se mění se zapnutou VPN.
| Vrstva | Co chrání samotné 5G | Co operátor stále vidí | Co mění VPN |
|---|---|---|---|
| Rádiový spoj (telefon k základnové stanici) | Šifrováno na vrstvě PDCP moderními algoritmy (TS 33.501): odposlech obsahu ve vzduchu je poražen | Všechno, protože šifrování končí na vlastním zařízení operátora | Nic nového ve vzduchu; tunel jede uvnitř už šifrovaných rádiových rámců |
| Ochrana vašich dat proti manipulaci | Integrita v plné rychlosti podporovaná od Release 16, ale aktivace je politikou operátora pro každou relaci; před Rel-16 musely telefony podporovat jen do 64 kb/s | n/a | Tunel nese vlastní ochranu integrity bez ohledu na politiku operátora |
| Vaše identita ve vzduchu | Trvalý identifikátor účastníka (SUPI) se nikdy neposílá v čitelné podobě; cestuje jako šifrované SUCI, které otevře jen domácí síť | Operátor přesně ví, kdo jste; vydal SIM | Nic; VPN se identity na úrovni SIM nedotýká |
| Downgrade na 4G/3G/2G | Nechráněno. Bidding-down útoky demonstrované výzkumníky v roce 2023 a znovu se Sni5Gect v roce 2025 tlačí telefony na starší sítě, kde se vracejí IMSI catching a slabé nebo nulové šifry | Falešná základnová stanice po downgradu získá IMSI | Skutečná mezera, kterou VPN pokrývá: obsah tunelu zůstává šifrovaný i na nepřátelské starší síti |
| DNS dotazy | Specifikace 5G je nepokrývají vůbec | Každou doménu, kterou hledáte, na resolveru operátora | DNS se přesune dovnitř tunelu k resolverům VPN providera; operátor z něj nevidí nic |
| Cílové IP a hostnamy (SNI) | Nechráněno; 5G šifruje rádiový skok a pak předá čisté IP pakety do jádra sítě | Každý server, ke kterému se připojujete, s hostnamy přes SNI | Operátor vidí jeden endpoint: VPN server |
| Obsah aplikací (HTTPS) | Špatná vrstva; TLS chrání obsah end-to-end na jakékoli síti | Jen metadata: kdo, kdy, kolik | Žádné přidané utajení obsahu nad TLS; co skrývá, jsou metadata |
| Klasifikace provozu a škrcení | Nic; operátoři klasifikují toky a tvarují je. Projekt Wehe v testech z roku 2018 naměřil Netflix na 1,77 Mb/s u amerického operátora, zatímco jiný provoz běžel téměř čtyřikrát rychleji | Typ toku, přes SNI, IP a DPI | Pravidla podle tříd nemohou tunelovaný provoz zachytit, i když operátor stále může zpomalit veškerý VPN provoz nebo deprioritizovat podle objemu |
| Roamingové interkonekty a zákonné odposlechy | Slabé u prvního (ENISA varovala, že na interkonektech přetrvávají chyby éry SS7 a Diameter); druhé je v jádru mandatorní podle návrhu | Riziko dotazů na polohu a zachycení SMS na interkonektech; doma plná metadata | Datový obsah procházející interkonekty zůstává šifrovaný; sledování polohy na signalizační úrovni a identita SIM zůstávají netknuté |
Přečtěte prostřední sloupec tabulky shora dolů a shrne to jedna věta: 5G vyřešilo rádiový odposlech a všechno za základnovou stanicí nechalo přesně tak viditelné, jak to bylo na 4G. Z toho plyne čistá definice, kterou toto téma potřebuje: na 5G není VPN ochranou proti odposlechu rádia, kterou už poskytuje standard; je volbou, kdo vidí metadata vašeho provozu, a přesouvá tuto viditelnost z mobilního operátora na VPN providera.
Zpomaluje VPN 5G?
Tady upřímná odpověď potřebuje dvě čísla, která se téměř nikdy neobjeví na stejné stránce: co 5G skutečně dodává a co VPN protokoly unesou. Žádný terénní benchmark "VPN přes 5G" ve veřejné literatuře neexistuje, takže správnou metodou je porovnat naměřené mediány operátorů s naměřenými stropy protokolů.
| Důkaz | Číslo | Zdroj |
|---|---|---|
| Medián stahování na 5G v USA, nejrychlejší operátor | 299,36 Mb/s (H1 2025), 309,41 Mb/s (H2 2025), T-Mobile | Ookla Speedtest Intelligence |
| Medián stahování na 5G v USA, ostatní operátoři | Verizon asi 215 Mb/s, AT&T 158,56 Mb/s (H1 2025) | Stejné reportování Ookly |
| Nejrychlejší mobilní mediány světa | SAE 546,14 Mb/s, Katar 517,44 Mb/s; USA 14. se 165,57 Mb/s (mobil napříč technologiemi) | Ookla Global Index, červen 2025 |
| Nejrychlejší 5G operátoři globálně | KT a SK Telecom nad 460 Mb/s stahování na 5G, podle souhrnu dat Opensignal od GSA | GSA, listopad 2025 |
| WireGuard vs OpenVPN, stejný gigabitový testbed | WireGuard saturoval linku 1 Gb/s; OpenVPN dosáhl zhruba její čtvrtiny | benchmark projektu WireGuard |
| Akademické potvrzení | WireGuard vedl testy propustnosti na vysokorychlostním hardwaru; OpenVPN byl vázaný na CPU na jednom jádře | IFIP Networking 2020 |
Dejte obě poloviny tabulky dohromady a závěr se napíše sám: medián 5G nejrychlejších operátorů sedí nad 460 Mb/s, mobilní medián nejrychlejší země napříč technologiemi je asi 546 Mb/s, americké mediány běží na 160 až 310 Mb/s a strop WireGuardu na běžném hardwaru sedí blízko plného gigabitu, trojnásobku nejlepšího amerického mediánu. S moderním protokolem tunel prostě není úzkým hrdlem; počítejte s režií v jednotkách procent. Jediný protokol, který dokáže rychlé 5G připojení viditelně zastropovat, je OpenVPN, jehož jednojádrový design končí na pár stovkách Mb/s na typickém hardwaru, pod tím, co dobrá 5G buňka dnes dodává. Dvě upřímné výhrady: vzdálený nebo přetížený VPN server přidává latenci, kterou žádný protokol nespraví, a tohle jsou laboratorní stropy proti terénním mediánům, ne kombinovaný terénní test, protože žádný nebyl publikován.
Jaké problémy éry 5G VPN skutečně řeší?
Tři, a jsou konkrétnější než marketingová verze. Expozice downgradu: váš telefon hlásí 5G, ale výzkumníci opakovaně demonstrují tiché stlačení na 4G a dokonce 2G, kde IMSI catchery a nulové šifry stále fungují; šifrování tunelu se nestará, jaká generace sítě je pod ním. Škrcení podle třídy provozu: měření Wehe z roku 2018 zdokumentovala operátory zpomalující video streamy podle třídy provozu, a klasifikátor nedokáže roztřídit, co nedokáže přečíst, i když nic nebrání operátorovi deprioritizovat veškerý tunelovaný provoz. A CGNAT: většina mobilních operátorů dává 5G uživatele standardně za carrier-grade NAT, kde sdílejí veřejné IPv4 adresy a kde se lámou příchozí spojení, port forwarding a některá peer-to-peer použití; VPN připojení s dedikovaným nebo port-forwardovaným výstupem obnoví příchozí dosažitelnost a stabilní adresu. Co se týče samotných protokolů, Le VPN provozuje WireGuard vedle OpenVPN a IKEv2 a na 5G je první z nich ten, který vybrat, z rychlostních důvodů výše.
Co VPN na 5G neřeší?
Čtyři věci, řečeno bez vytáček. Vaši identitu SIM: operátor ji vydal a účastníka vždy zná, tunel netunel. Polohu podle vysílačů: rádiová přítomnost vašeho telefonu vás v síti lokalizuje nezávisle na jakémkoli provozu. Sledování na signalizační úrovni přes roamingové interkonekty, které operuje pod IP vrstvou, kterou VPN obývá. A metadata samotného tunelu: operátor vidí, že se připojujete k VPN endpointu, kdy a kolik, i když nevidí nic uvnitř; co se s tím pozorováním stane dál, záleží na zákonech tam, kde jste, právní mozaice, která se liší tak ostře, jak ukazují britská éra věkových kontrol a jihokorejský režim blokování.
Co se změní dál
Tři spisy, které stojí za datum v kalendáři. Standalone 5G jádra se dál šíří, což přesouvá roaming ze zastaralého stacku Diameter a postupně uzavírá slabiny interkonektů, na které upozornila ENISA. Integrita user plane v plné rychlosti, oprava z Release 16 za ostudu s 64 kb/s, stále závisí na tom, zda ji operátoři zapnou, a veřejná dokumentace toho, kdo to udělal, zůstává chudá. A literatura o downgrade útocích rok od roku houstne, přičemž práce Sni5Gect z roku 2025 ukázala injekci bez podvržené základnové stanice, takže jediná mezera 5G, kterou VPN přímo pokrývá, se v dohledné době nezavře. Mediány rychlostí osvěžíme, až přistane další cyklus Ookly.
O autorovi
Editor blogu Le VPN
Alan Summers už léta píše a edituje blog Le VPN a věnuje se online soukromí, kybernetické bezpečnosti a nejlepším způsobům, jak co nejlépe využít VPN. Pozorně sleduje zprávy, které se týkají svobody na internetu po celém světě, a přetváří je v praktické rady pro čtenáře Le VPN.
Články od Alan Summers →
