In Ruhe erklärt
Ein VPN kann allen Verkehr durch den Tunnel schicken oder nur einen Teil. Microsoft nennt das eine der wichtigsten Entscheidungen beim Einrichten: Beim erzwungenen Tunnel geht alles hindurch, beim geteilten nur der Verkehr zu festgelegten Zielen, alles andere über die gewöhnliche Netzverbindung. Ein Firmen-VPN kann so etwa nur den Weg ins Firmennetz schützen.
Manche VPN-Programme für Privatleute bieten dasselbe je App an: Ausgewählte Programme bleiben draußen, oder nur ausgewählte gehen hinein. Android sieht dafür zwei Listen vor. Eine ausgenommene App benutzt das Netz laut Android-Dokumentation, „als liefe kein VPN“; gibt es keine Liste, schickt Android allen Verkehr durch das VPN.
Für alles, was draußen bleibt, gilt: Websites sehen deine eigene Adresse, und dein Zugangsanbieter sieht, wohin die Verbindung geht. RFC 8828 nennt den geteilten Tunnel außerdem als wichtigsten Fall, in dem WebRTC neben der Adresse des VPN auch die deines Anschlusses ermitteln kann — wichtig, weil manche Menschen ein VPN gerade nutzen, um unerkannt zu bleiben. Ohne deine Zustimmung soll ein Browser laut RFC 8828 nur den Standardweg nehmen; als Zustimmung werten die großen Browser die Freigabe von Kamera oder Mikrofon. Auf einer Seite mit dieser Freigabe kann WebRTC deshalb beide Adressen nennen.
HexWarte sieht nur deinen Browser. Ob andere Programme am Tunnel vorbeigehen, kann die Seite nicht prüfen. Ob dein Browser draußen bleibt, zeigt Kammer 1: Dann steht dort dein eigener Zugangsanbieter als Netzbetreiber statt des Netzes, aus dem dein VPN kommt.