Ці дзеліцца ваш VPN вашым злучэннем? Два кірункі для праверкі

Два чалавекі, падключаныя да аднаго правайдера, неабавязкова карыстаюцца хатнімі злучэннямі адзін аднаго, бо пры звычайнай схеме абодва прылады адпраўляюць трафік на канцавы пункт правайдера і дзеляць толькі адрас выхаду. Прадукт сумеснага выкарыстання рэсурсаў можа працаваць у адваротным кірунку, і ваша машына аддае шлях для чужога трафіку. Кірунак — гэта ўсё пытанне, і на яго можна адказаць з праграмы, якая перад вамі. Далей — парадак, у якім трэба пытаць, і доказы, якія варта зберагчы.

Два кірункі, і толькі адзін патрабуе згоды

Карыстацца аддаленым выхадам значыць, што ваш трафік выходзіць праз правайдера і прызначэнне бачыць адрас правайдера. Аддаваць выхад значыць, што чужы трафік выходзіць праз вашае злучэнне і прызначэнне бачыць ваш адрас. Абодва называюць VPN, і яны накладаюць зусім розныя абавязкі на таго, хто кіруе кліентам. Прадукт можа рабіць першае і не рабіць нічога з другога, а можа рабіць абодва адначасова.

1. Аддалены выхад: ваша праграма адпраўляе трафік на канцавы пункт правайдера, і прызначэнне запісвае адрас правайдера.
2. Аддадзены выхад: трафік іншага чалавека праходзіць праз кампанент сумеснага выкарыстання на вашай машыне, выходзіць праз вашае злучэнне, і прызначэнне запісвае ваш адрас.

Першае — гэта выбар прыватнасці пра ваш уласны трафік. Другое — рашэнне пра чужы трафік, таму агульны адрас выхаду — праблема рэпутацыі, а аддадзенае злучэнне — праблема паходжання трафіку. Гэтыя два клопаты пастаянна блытаюць, і іх раздзяленне — большая частка аналізу.

Прачытайце перамыкач абагульвання ва ўсталяванай праграме

Адкрыйце прадукт, які сапраўды ўсталяваны, і пашукайце ў яго наладах словы накшталт абагульвання, удзелу, аднарангавага доступу ці доступу супольнасці. Адзначце, ці ёсць перамыкач, ці ён уключаны пры запуску і да якога ўзроўню ўліковага запісу належыць, затым зрабіце здымак панэлі з бачным радком версіі, бо адказ падтрымкі спытае менавіта гэта. Паўтарыце праверку пасля наступнага абнаўлення, бо значэнні па змаўчанні змяняюцца паміж версіямі. Панэль без словаў пра абагульванне — карысная знаходка, хаця сама па сабе яна не гарантыя.

Правайдар, які апісвае аднарангавае абагульванне для аднаго прадукту і выключае іншыя выданні, толькі што назваў вам адрозненне, якое хавае гандлёвае імя. FAQ правайдера для адной такой паслугі аддзяляе прадукты, што ўдзельнічаюць, ад выданняў без аднарангавага рэжыму, і менавіта такое адрозненне варта прачытаць самому. Статус аплаты таксама не тэхнічнае апісанне, бо платная падпіска можа ўключаць кампанент абагульвання, а бясплатны ўзровень — гэта той, які не ўключае.

Што працягвае працаваць пасля закрыцця акна

Дадатак да браўзера і асобна ўсталяваная служба могуць выконваць розныя задачы пад адным лагатыпам, таму зачыніце акно і праверце, ці застаецца працэс пасля яго. Працэс, які перажывае закладку, — гэта розніца паміж функцыяй, якую вы ўключылі, і кампанентам, які працуе без яе. Абодва могуць быць законнымі, і толькі адзін з іх бачны з закладкі.

Блок ніжэй прызначаны для Windows. Ён чытае працэс, затым сокеты, якімі валодае гэты працэс, і ідэнтыфікатар з першага радка — гэта тое, па чым фільтруюць два іншыя, таму падстаўце яго, а не запускайце тры незвязаныя вывады. Чытайце шлях працэсу і ўсталяваныя злучэнні разам, бо любое з іх асобна даказвае вельмі мала.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Рэлей — гэта не сумесны доступ да файлаў

Перанакіраванне чужога трафіку — іншы дазвол, чым адкрыццё файлаў ці службаў на вашай машыне. Дакументацыя пра адно не апісвае другое, і згода на тунель не ёсць згодай на сумесны доступ да файлаў, нават калі адзін усталёўшчык наладзіў абодва. Трымайце два пытанні асобна, калі чытаеце старонку наладаў.

Адсутнасць порта, які слухае, не доказ таго, што нічога не абагульваецца, бо рэлей можа ініцыяваць зыходныя злучэнні і ніколі не прымаць уваходнае, і менавіта так аднарангавыя сістэмы пазбягаюць праблем з файрволам. Глядзіце, куды ідуць злучэнні, а не толькі на тое, што слухае. Адно злучэнне з уласным канцавым пунктам правайдера выглядае як кліент, а некалькі да адрасоў, якія вы не можаце патлумачыць, вартыя ўважлівага позірку. Калі пасля наладаў і дакументацыі мадэль усё яшчэ незразумелая, задайце аператару канкрэтнае пытанне; на працоўнай прыладзе ці ў кіраванай сетцы вырашае адміністратар, а не чалавек з ноўтбукам.

Запішыце, што вы ўбачылі, затым праверце яшчэ раз

Запішыце версію, станы наладаў і сокеты, якія вы назіралі, з часавымі пазнакамі, бо гэты запіс ператварае падазрэнне ў пытанне, на якое хтосьці можа адказаць. Ён спатрэбіцца і тады, калі праз месяцы прыйдзе паведамленне пра злоўжыванне, а нататка ў акне чата — не запіс.

Блок ніжэй прызначаны для Linux або macOS і адказвае на тыя ж пытанні, што і блок для Windows. Запусціце яго і пасля абнаўлення, бо раскладка кампанентаў змяняецца паміж версіямі, і новы дапаможны працэс лёгка прапусціць. Спіс сокетаў называе працэс-уладальнік, і менавіта гэта робіць два блокі параўнальнымі паміж версіямі.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Калі ваш адрас з’яўляецца ў скарзе, памятайце, што IP-адрас сам па сабе не ідэнтыфікуе чалавека. Захавайце паведамленне, часавыя пазнакі і налады, якія вы запісалі, затым прытрымлівайцеся парадку паведамлення правайдера або адміністратара. Гэта не адхіляе скаргу, і гэта сапраўды аддзяляе агульны адрас выхаду ад трафіку, які пакінуў ваша ўласнае злучэнне.