Instalirali ste VPN? Lokalna mreža i dalje vidi uređaj

Podizanje tunela ne čini da lokalna mreža zaboravi mašinu, iako je to uobičajena pretpostavka. Tablice susjeda, zakupi i lokalni zapisi imena govore drugačije. Tunel mijenja gdje vaši paketi izlaze; ne mijenja ono što vaši susjedi mogu vidjeti.

Dva pogleda treba provjeriti. Nijedan od njih nije test „skriveno ili ne“ koji većina ljudi prvo radi.

Vaši susjedi i dalje poznaju mašinu

Lokalna adresa, hardverska adresa i, u većini mreža, iznajmljeno ime hosta ostaju vezani za mašinu dok je povezana. Ruter ih navodi, a na ravnom segmentu i drugi hostovi mogu ih saznati. Otkrivanje susjeda, dodjela adresa i lokalno razrješavanje imena odvijaju se na segmentu, a ne unutar tunela, zbog čega ih VPN ne potiskuje. Okviri koji nose vaš saobraćaj šifrirani su s kraja na kraj, dok zakup i unos susjeda nikada nisu bili dio tog razgovora.

Ono što tunel skriva jeste lista odredišta. Vaš ruter vidi jedan šifrirani tok ka jednoj krajnjoj točki umjesto niza sajtova, premda obim, vrijeme i reputacija krajnje točke još uvijek opisuju mnogo toga.

Izlazna adresa je samo jedan identitet

Tvrdnja da VPN skriva uređaj na lokalnoj mreži istinita je u jednom uskom smislu: udaljeni posmatrač više ne saznaje vašu javnu adresu. To ne govori ništa o pristupnoj točki na koju ste priključeni, a ona i dalje zna hardversku adresu s kojom razgovara. Tretiranje dva zapažanja kao jednog pitanja jeste način na koji ljudi zaključe da je tunel zakazao kad je učinio upravo ono što tunel čini. Razdvojite ih i svaki rezultat postaje objašnjiv sam po sebi.

Lokacija ima drugi kanal koji nikada ne dira adresu. Geolokacija u pregledniku može se odgovoriti iz skeniranja obližnjih pristupnih točaka, a ne iz adrese, jer operativni sistem predaje njihove identifikatore usluzi pretrage koja ih već povezuje s mjestima. Isključivanje radija uklanja taj unos; druga izlazna zemlja to ne čini.

Ako iznajmite server, provajder vidi obrazac

Pokretanje tunela na iznajmljenoj instanci premješta zapažanje umjesto da ga ukloni. Hosting provajder vidi izvor i odredište vanjskog toka jer ga mora rutirati, a adresa krajnje točke identificira uslugu. Sadržaj ostaje nečitljiv, ali host koji razgovara s jednim peerom i ni sa čim drugim nije teško klasificirati. Ništa u tom opisu ne zahtijeva razbijanje šifre.

Obrazac nije sadržaj. Ako je briga provajderova evidencija, odgovor je provajder s objavljenom politikom i jurisdikcijom koju prihvatate, a ne druga šifra. Jača šifra ne mijenja ništa u tome kako tok izgleda spolja.

Podijeljeno tuneliranje odlučuje ko vidi vaše upite

S poslovnim tunelom, ono što administrator može vidjeti zavisi od ruta koje klijent instalira. Ako su u tunelu samo korporativni prefiksi, pristupnik bilježi tačno taj dio vašeg saobraćaja i ništa drugo. Bez podijeljenog tuneliranja svaki paket prolazi kroz poslodavca, uključujući pretrage domena kada se njihov razrješivač gura na klijent. Ta razlika odlučuje koje vaše navike poslodavac uopšte može vidjeti.

Provjerite tabelu rutiranja umjesto da pretpostavljate i zabilježite ko odgovara na upit za javno ime. Kada njihov razrješivač odgovori na vaše upite, oni drže upit i kad se stranica preuzima negdje drugdje.

Provjerite oba pogleda prije nego povjerujete bilo kojem

Zamolite drugi uređaj na istom segmentu da razriješi ime vašeg hosta i odštampa tablicu susjeda, pa spolja posmatrajte koju adresu usluga prijavljuje. Ta dva odgovora opisuju različite slojeve i nijedan pojedinačni test „skriveno ili ne“ ne pokriva oba.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Mijenjajte jedan sloj po jedan kad testirate. Isključite protokol otkrivanja i segment gubi taj pogled dok tunel ostaje netaknut; promijenite izlaznu zemlju i zapis sajta se mijenja dok segment ne.