VPN quraşdırdınız? Yerli şəbəkə cihazı hələ də görür

Tuneli qaldırmaq yerli şəbəkənin cihazı unutmasına səbəb olmur, halbuki adi fərziyyə budur. Qonşu cədvəlləri, icarə müqavilələri və yerli ad qeydləri başqa cür deyir. Tunel paketlərinizin haradan çıxdığını dəyişir; qonşularınızın nə görə biləcəyini dəyişmir.

İki baxış yoxlanmalıdır. Heç biri insanların ilk işlətdiyi «gizlidir ya yox» testi deyil.

Qonşularınız cihazı hələ də tanıyır

Yerli ünvan, aparat ünvanı və əksər şəbəkələrdə icarəyə götürülmüş host adı cihaz qoşulmuş halda ona bağlı qalır. Marşrutlaşdırıcı onları siyahıya alır, düz seqmentdə digər hostlar da onları öyrənə bilər. Qonşu kəşfi, ünvan təyini və yerli ad həlli tunelin içində deyil, seqmentdə baş verir, buna görə VPN onları bastırmır. Trafikinizi daşıyan kadrlar ucdan uca şifrələnib, halbuki icarə və qonşu qeydi heç vaxt o söhbətin hissəsi olmayıb.

Tunelin gizlətdiyi şey təyinat siyahısıdır. Marşrutlaşdırıcınız bir sıra saytların yerinə tək son nöqtəyə gedən bir şifrəli axın görür, baxmayaraq ki həcm, vaxt və son nöqtənin reputasiyası hələ də çox şey təsvir edir.

Çıxış ünvanı yalnız bir identikdir

VPN-in cihazı yerli şəbəkədə gizlətdiyi iddiası dar bir mənada doğrudur: uzaq müşahidəçi artıq sizin ictimai ünvanınızı öyrənmir. Bu, qoşulduğunuz giriş nöqtəsi haqqında heç nə demir, o hələ də danışdığı aparat ünvanını bilir. İki müşahidəni bir sual kimi qəbul etmək, insanların tunel düzəltməli olduğunu etdiyi halda onun uğursuz olduğu qənaətinə gəlməsinin yoludur. Onları ayırın və hər nəticə öz-özlüyündə izah edilə bilən olur.

Məkanın heç bir ünvana toxunmayan ikinci kanalı var. Brauzerin geolokasiyası ünvandan deyil, yaxın giriş nöqtələrinin skanından cavablandırıla bilər, çünki əməliyyat sistemi onların identifikatorlarını artıq yerlərə uyğunlaşdıran axtarış xidmətinə verir. Radionu söndürmək bu girişi aradan qaldırır; fərqli çıxış ölkəsi bunu etmir.

Serveri icarəyə götürsəniz, provayder naxışı görür

Tuneli icarəyə götürülmüş instansiyada işlətmək müşahidəni silmir, yerini dəyişir. Hostinq provayderi xarici axının mənbəyini və təyinatını görür, çünki onu yönləndirməlidir, və son nöqtə ünvanı xidməti müəyyən edir. Yük oxunaqlı qalmır, lakin tək həmyaşıdla danışan və başqa heç nə ilə danışmayan hostu təsnif etmək çətin deyil. Bu təsvirdə heç nə şifrənin sındırılmasını tələb etmir.

Naxış məzmun deyil. Narahatlıq provayderin qeydləridirsə, cavab fərqli şifrə deyil, bəyan edilmiş siyasəti və qəbul etdiyiniz yurisdiksiyası olan provayderdir. Daha güclü şifrə axının kənardan necə göründüyünü dəyişmir.

Bölünmüş tunelleşmə sorğularınızı kimin gördüyünü müəyyən edir

İş tuneli ilə administratorun nə müşahidə edə biləcəyi müştərinin quraşdırdığı marşrutlardan asılıdır. Tuneldə yalnız korporativ prefikslər olduqda, şlüz trafikinizin məhz o dilimini qeyd edir və başqa heç nəyi. Bölünmüş tunelleşmə olmadan hər paket işəgötürəndən keçir, o cümlədən onların həlledicisi müştəriyə göndərildikdə domen sorğuları. Bu fərq vərdişlərinizdən hansını işəgötürənin ümumiyyətlə müşahidə edə biləcəyini müəyyən edir.

Fərziyyə etmək əvəzinə marşrut cədvəlini yoxlayın və ictimai ad üçün sorğuya kimin cavab verdiyini qeyd edin. Onların həlledicisi sorğularınıza cavab verdikdən sonra, səhifə başqa yerdən gətirilsə belə sorğu onlarda qalır.

Hər ikisinə inanmadan əvvəl iki baxışı yoxlayın

Eyni seqmentdəki ikinci cihazdan host adınızı həll etməsini və qonşu cədvəlini çap etməsini xahiş edin, sonra bir xidmətin hansı ünvanı bildirdiyini kənardan müşahidə edin. Bu iki cavab fərqli qatları təsvir edir və heç bir «gizlidir ya yox» testi hər ikisini əhatə etmir.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Test edərkən bir anda bir qatı dəyişin. Kəşf protokolunu söndürün və tunel toxunulmaz qaldığı halda seqment o baxışı itirir; çıxış ölkəsini dəyişin və seqment dəyişmədiyi halda saytın qeydi dəyişir.