Второе, зашифровать трафик, купив VPN-доступ. Пока не сталкивался с этим. Профи, помогите, поможет это или – нет?
Поможет. Только прикройте
DNS leak, а на случай
падения туннеля направьте трафик в
blackhole.

Если используем Linux, то как-нибудь защищаемся. Например, вот так.
В
/etc/conf.d/net нужно выключить перезапись
/etc/resolv.conf:
...
dhcp_enp2s0="nodns"
...
Название
enp2s0 меняем на название своего адаптера (узнаем в
ifconfig).
Там же можно задать новый MAC-адрес для адаптера:
...
mac_enp2s0="1A:3C:5E:2B:4D:6F"
...
Там же разблокируем доступ к VPN-серверу (предварительно узнав подсети):
...
routes_enp2s0=(
# Private Tunnel OpenVPN
"85.159.232.0/21 via 192.168.1.1 metric 0"
"89.233.106.0/23 via 192.168.1.1 metric 0"
# Yandex DNS
"77.88.0.0/18 via 192.168.1.1 metric 0"
)
...
Не забываем разблокировать какой-нибудь публичный DNS-сервер,
иначе придется менять адрес сервера в VPN-конфиге на его IP-адрес.
И, разумеется, меняем
192.168.1.1 на адрес
своего шлюза / роутера.
В файл
/etc/resolv.conf первым пишем DNS-сервер VPN-провайдера:
nameserver 10.9.0.1
nameserver 74.82.42.42
nameserver 77.88.8.88
Там же вторым или лучше третьим указываем публичный DNS-сервер.
Добавляем где-нибудь в начальных скриптах загрузки blackhole-маршрут:
...
ip route add blackhole default metric 1 2> /dev/null
...
Можно предварительно его проверить. А отключается он так:
ip route del blackhole default metric 1 2> /dev/null
Там же поднимаем виртуальный адаптер (у меня на Gentoo не был поднят):
...
modprobe tun
...
Копируем файл конфига в
/etc/openvpn и меняем расширение на
.confи затем делаем его активным при загрузке системы (пример для Gentoo):
ln -fs /etc/init.d/openvpn /etc/init.d/openvpn.amsterdam
rc-update add openvpn.amsterdam
rc-service openvpn.amsterdam restart
Название
amsterdam меняем на имя конфига в
/etc/openvpn без расширения.
Если используем Windows, аналогично все делаем через GUI. Лень расписывать.