Усталявалі VPN? Лакальная сетка ўсё яшчэ бачыць прыладу

Падняцце тунэля не прымушае лакальную сетку забыць машыну, хаця звычайна менавіта так мяркуюць. Табліцы суседзяў, арэндавыя запісы і лакальныя запісы імёнаў сведчаць пра іншае. Тунэль змяняе тое, дзе выходзяць вашы пакеты; ён не змяняе таго, што бачаць вашыя суседзі.

Трэба праверыць два погляды. Ні адзін з іх не з’яўляецца тэстам «схавана ці не», які большасць людзей робіць першым.

Вашыя суседзі ўсё яшчэ ведаюць машыну

Лакальны адрас, апаратны адрас і, у большасці сетак, арандаванае імя хоста застаюцца прывязанымі да машыны, пакуль яна падключана. Маршрутызатар пералічвае іх, а на плоскім сегменце іншыя хасты таксама могуць пра іх даведацца. Выяўленне суседзяў, прызначэнне адрасоў і лакальнае развязанне імёнаў адбываюцца ў сегменце, а не ўнутры тунэля, таму VPN іх не падаўляе. Кадры, якія пераносяць ваш трафік, шыфруюцца ад канца да канца, а арэнда і запіс суседа ніколі не былі часткай гэтай размовы.

Тое, што хавае тунэль, — гэта спіс прызначэнняў. Ваш маршрутызатар бачыць адзін шыфраваны паток да адной канчатковай кропкі замест шэрагу сайтаў, хаця аб’ём, час і рэпутацыя канчатковай кропкі ўсё яшчэ апісваюць нямала.

Адрас выхаду — гэта толькі адна ідэнтычнасць

Сцвярджэнне, што VPN хавае прыладу ў лакальнай сетцы слушнае ў адным вузкім сэнсе: аддалены назіральнік больш не даведваецца ваш публічны адрас. Гэта нічога не кажа пра кропку доступу, да якой вы падключаныя, а яна ўсё яшчэ ведае апаратны адрас, з якім размаўляе. Стаўленне да двух назіранняў як да аднаго пытання — гэта шлях, якім людзі робяць выснову, што тунэль не спрацаваў, калі ён зрабіў менавіта тое, што робіць тунэль. Раздзяліце іх, і кожны вынік стане тлумачальным сам па сабе.

Месцазнаходжанне мае другі канал, які ніколі не кранае адрас. Геалакацыя ў браўзеры можа быць атрымана са сканавання блізкіх кропак доступу, а не з адраса, бо аперацыйная сістэма перадае іх ідэнтыфікатары службе пошуку, якая ўжо супастаўляе іх з месцамі. Адключэнне радыёпрыёмніка выдаляе гэтыя даныя; іншая краіна выхаду гэтага не робіць.

Калі вы арандуеце сервер, правайдар бачыць заканамернасць

Запуск тунэля на арандаваным інстансе пераносіць назіранне, а не выдаляе яго. Хостынг-правайдар бачыць крыніцу і прызначэнне знешняга патоку, бо ён павінен яго маршрутызаваць, а адрас канчатковай кропкі вызначае сэрвіс. Карысная нагрузка застаецца нечытальнай, але хаст, які размаўляе з адным партнёрам і ні з кім болей, няцяжка класіфікаваць. Нішто ў гэтым апісанні не патрабуе ўзлому шыфра.

Заканамернасць — гэта не змест. Калі турбота — запісы правайдара, адказ — правайдар з абвешчанай палітыкай і юрысдыкцыяй, якую вы прымаеце, а не іншы шыфр. Мацнейшы шыфр нічога не змяняе ў тым, як паток выглядае звонку.

Раздзеленае тунеляванне вырашае, хто бачыць вашыя запыты

З працоўным тунэлем тое, што адміністратар можа назіраць, залежыць ад маршрутаў, якія ўсталёўвае кліент. Калі ў тунэлі толькі карпаратыўныя прэфіксы, шлюз запісвае менавіта гэты зрэз вашага трафіку і нічога болей. Без раздзеленага тунелявання кожны пакет ідзе праз наймальніка, уключна з запытамі даменных імёнаў, калі іх рэзалвер накіроўваецца на кліент. Гэтая розніца вырашае, якія з вашых звычак наймальнік можа назіраць наогул.

Праверце табліцу маршрутызацыі замест здагадак і адзначце, хто адказвае на запыт публічнага імя. Як толькі іх рэзалвер адказаў на вашыя запыты, яны трымаюць запыт нават тады, калі старонка загружаецца ў іншым месцы.

Праверце абодва погляды, перш чым верыць любому

Папрасіце другую прыладу ў тым жа сегменце развязаць імя вашага хоста і надрукаваць табліцу суседзяў, а потым паназірайце звонку, які адрас паведамляе сэрвіс. Гэтыя два адказы апісваюць розныя ўзроўні, і ніводзін адзіны тэст «схавана ці не» не ахоплівае абодва.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Змяняйце па адным узроўні за раз, калі тэстуеце. Адключыце пратакол выяўлення — і сегмент страціць гэты погляд, пакуль тунэль застанецца некранутым; змяніце краіну выхаду — і запіс сайта зменіцца, пакуль сегмент застанецца ранейшым.