هل ثبّتت VPN؟ شبكتك المحلية ما زالت ترى الجهاز

رفع نفق لا يجعل الشبكة المحلية تنسى الجهاز، مع أن هذا هو الافتراض المعتاد. جداول الجيران وعقود الإيجار وسجلات الأسماء المحلية تقول غير ذلك. النفق يغيّر المكان الذي تخرج منه حزمك؛ ولا يغيّر ما يستطيع جيرانك رؤيته.

هناك منظوران يحتاجان إلى فحص. لا أحدهما هو اختبار «مخفي أم لا» الذي يجريه معظم الناس أولًا.

جيرانك ما زالوا يعرفون الجهاز

عنوان محلي وعنوان عتاد، وفي معظم الشبكات اسم مستضيف مستأجر، تبقى كلها مرتبطة بالجهاز أثناء اتصاله. الموجّه يسردها، وعلى مقطع مسطّح يمكن للمضيفين الآخرين تعلّمها أيضًا. اكتشاف الجيران وتعيين العناوين وحل الأسماء المحلية تحدث كلها على المقطع لا داخل النفق، ولهذا لا يمنعها VPN. الإطارات التي تحمل حركتك مشفّرة من طرف إلى طرف، بينما عقد الإيجار ومدخل الجيران لم يكونا يومًا جزءًا من تلك المحادثة.

ما يخفيه النفق هو قائمة الوجهات. يرى موجّهك تدفقًا مشفّرًا واحدًا إلى نقطة نهاية واحدة بدلًا من سلسلة مواقع، مع أن الحجم والتوقيت وسمعة نقطة النهاية ما زالت تصف قدرًا كبيرًا.

عنوان الخروج هو هوية واحدة فقط

الادعاء بأن VPN يخفي جهازًا على شبكة محلية صحيح بمعنى ضيق واحد: لم يعد المراقب البعيد يعرف عنوانك العام. وهذا لا يقول شيئًا عن نقطة الوصول المتصلة بها، وهي ما زالت تعرف عنوان العتاد الذي تخاطبه. التعامل مع الملاحظتين كسؤال واحد هو كيف يستنتج الناس أن النفق فشل بينما فعل بالضبط ما يفعله النفق. افصل بينهما وسيصبح كل نتيجة مفهومة بذاتها.

الموقع له قناة ثانية لا تمس أي عنوان. يمكن الإجابة على تحديد الموقع الجغرافي في المتصفح من مسح لنقاط وصول قريبة بدلًا من عنوان، لأن نظام التشغيل يسلّم معرّفاتها إلى خدمة بحث تربطها أصلًا بأماكن. نزع الراديو يزيل ذلك المدخل؛ وتغيير بلد الخروج لا يفعله.

إذا استأجرت الخادم، يرى المزوّد النمط

تشغيل النفق على نسخة مستأجرة ينقل الملاحظة بدلًا من إزالتها. يرى مزوّد الاستضافة مصدر التدفق الخارجي ووجهته لأنه مضطر إلى توجيهه، وعنوان نقطة النهاية يحدد الخدمة. تبقى الحمولة غير مقروءة، لكن مضيفًا يتحدث إلى نظير واحد ولا شيء غير ذلك ليس صعب التصنيف. لا شيء في ذلك الوصف يتطلب كسر شيفرة.

النمط ليس محتوى. إذا كان القلق هو سجلات المزوّد، فالجواب مزوّد بسياسة معلنة وولاية قضائية تقبلها، لا شيفرة مختلفة. الشيفرة الأقوى لا تغيّر شيئًا في شكل التدفق من الخارج.

النفق المنقسم يحدد من يرى استعلاماتك

مع نفق عمل، ما يستطيع المسؤول ملاحظته يعتمد على المسارات التي يثبّتها العميل. مع بادئات الشركة فقط داخل النفق، تسجل البوابة ذلك الجزء من حركتك بالضبط ولا شيء غيره. بدون النفق المنقسم يمر كل حزمة عبر صاحب العمل، بما في ذلك استعلامات النطاقات عندما يُدفع محللها إلى العميل. ذلك الفرق يحدد أي عاداتك يمكن لصاحب العمل ملاحظته أصلًا.

افحص جدول التوجيه بدلًا من الافتراض، ولاحظ من يجيب على استعلام لاسم عام. بمجرد أن يجيب محللهم على استعلاماتك، فهم يحتفظون بالاستعلام حتى عندما تُجلب الصفحة من مكان آخر.

افحص المنظورين قبل أن تصدّق أيًا منهما

اطلب من جهاز ثانٍ على المقطع نفسه أن يحل اسم مضيفك ويطبع جدول جيرانه، ثم راقب من الخارج أي عنوان تبلّغ عنه أي خدمة. تلك الإجابتان تصفان طبقتين مختلفتين، ولا اختبار واحد «مخفي أم لا» يغطيهما معًا.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

غيّر طبقة واحدة في كل مرة عند الاختبار. أطفئ بروتوكول الاكتشاف فيفقد المقطع ذلك المنظور بينما يبقى النفق دون مساس؛ وغيّر بلد الخروج فيتغيّر سجل موقع بينما لا يتغيّر المقطع.