Dato che le intestazioni VPN intorno a ciascun pacchetto occuperanno spazio e quindi scompariranno, potrebbero essere considerate le dimensioni del pacchetto rispetto a MTU per trovare un modo per indovinare (sarebbe un'ipotesi) che l'utente è dietro un VPN perché i loro pacchetti sono costantemente più piccoli di altri flussi.
Un'ipotesi ancora più realistica sarebbe che stanno guardando il tempo di andata e ritorno (più precisamente, da quanto tempo viene inviato un tcp ack al ritorno del pacchetto successivo). La maggior parte dei computer è abbastanza veloce da girare in microsecondi. Quindi, per un determinato host (richieste di invio IP singole) se alcuni / tutti gli utenti sono dietro una VPN che realmente conduce a parti distanti del mondo, la variazione in RTT sarà enorme (120ms per alcuni, 30 ms per gli altri, ecc.) che può formare un'impronta digitale di chi è unico e cosa potrebbe essere una VPN rispetto a un NAT (dove ci sono molti utenti ma gli RTT sono quasi identici.)