Инсталирахте VPN? Локалната мрежа все още вижда устройството

Вдигането на тунел не кара локалната мрежа да забрави машината, макар това да е обичайното предположение. Таблиците на съседите, наемите и локалните записи на имена казват друго. Тунелът променя откъде излизат пакетите ви; не променя какво виждат съседите ви.

Две гледни точки трябва да бъдат проверени. Нито една от тях не е тестът „скрито или не“, който повечето хора правят първо.

Съседите ви все още познават машината

Локален адрес, хардуерен адрес и в повечето мрежи наето име на хост остават свързани с машината, докато тя е свързана. Рутерът ги изброява, а в плосък сегмент и другите хостове могат да ги научат. Откриването на съседи, присвояването на адреси и локалното разрешаване на имена стават в сегмента, а не вътре в тунела, затова VPN не ги потиска. Кадрите, които пренасят трафика ви, са криптирани от край до край, докато наемът и записът за съседа никога не са били част от този разговор.

Тунелът скрива списъка с дестинации. Рутерът ви вижда един криптиран поток към една крайна точка вместо поредица от сайтове, макар обемът, времето и репутацията на крайната точка все още да описват доста.

Изходният адрес е само една идентичност

Твърдението, че VPN скрива устройство на локална мрежа е вярно в един тесен смисъл: отдалечен наблюдател вече не научава публичния ви адрес. Това не казва нищо за точката за достъп, към която сте свързани, а тя все още знае хардуерния адрес, с който говори. Третирането на двете наблюдения като един въпрос е начинът, по който хората заключават, че тунелът се е провалил, когато той е направил точно това, което прави тунелът. Разделете ги и всеки резултат става разбираем сам по себе си.

Местоположението има втори канал, който никога не докосва адрес. Геолокацията в браузъра може да бъде получена от сканиране на близки точки за достъп, а не от адрес, защото операционната система предава техните идентификатори на услуга за търсене, която вече ги свързва с места. Изключването на радиото премахва този вход; друга държава на изход не го прави.

Ако наемете сървъра, доставчикът вижда модела

Стартирането на тунела на нает сървър премества наблюдението, вместо да го премахва. Хостинг доставчикът вижда източника и дестинацията на външния поток, защото трябва да го маршрутизира, а адресът на крайната точка идентифицира услугата. Полезният товар остава нечетим, но хост, който говори с един партньор и с нищо друго, не е труден за класифициране. Нищо в това описание не изисква разбиване на шифър.

Моделът не е съдържание. Ако притеснението са записите на доставчика, отговорът е доставчик с обявена политика и юрисдикция, която приемате, а не друг шифър. По-силният шифър не променя нищо в това как изглежда потокът отвън.

Разделеното тунелиране решава кой вижда заявките ви

При работен тунел това, което администраторът може да наблюдава, зависи от маршрутите, които клиентът инсталира. Ако в тунела има само корпоративните префикси, шлюзът записва точно този отрязък от трафика ви и нищо друго. Без разделено тунелиране всеки пакет минава през работодателя, включително заявките за домейни, когато техният резолвер се изпраща към клиента. Тази разлика решава кои от навиците ви работодателят може да наблюдава изобщо.

Проверете таблицата за маршрутизация вместо да предполагате и отбележете кой отговаря на заявка за публично име. Щом техният резолвер отговори на заявките ви, те държат заявката дори когато страницата се изтегля другаде.

Проверете двете гледни точки, преди да повярвате на която и да е

Помолете второ устройство в същия сегмент да разреши името на хоста ви и да отпечата таблицата на съседите, после наблюдавайте отвън кой адрес съобщава дадена услуга. Тези два отговора описват различни слоеве и нито един тест „скрито или не“ не покрива и двата.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Променяйте по един слой наведнъж, когато тествате. Изключете протокола за откриване и сегментът губи тази гледна точка, докато тунелът остава непокътнат; сменете държавата на изход и записът на сайта се променя, докато сегментът не.