El teu VPN regala la teva connexió? Dues direccions per comprovar

Dues persones connectades al mateix proveïdor no necessàriament utilitzen la connexió domèstica de l’altra, perquè en l’ordenació habitual tots dos dispositius envien el trànsit al punt final del proveïdor i només comparteixen l’adreça de sortida. Un producte de compartició de recursos pot funcionar a l’inrevés, amb la teva màquina aportant un camí per al trànsit d’una altra persona. La direcció és tota la qüestió, i es pot respondre des de l’aplicació que tens al davant. A continuació hi ha l’ordre en què cal preguntar i les proves que val la pena conservar.

Dues direccions, i només una necessita consentiment

Utilitzar una sortida remota vol dir que el teu trànsit surt pel proveïdor i la destinació veu l’adreça del proveïdor. Aportar una sortida vol dir que el trànsit d’una altra persona surt per la teva connexió i la destinació veu la teva. Totes dues coses s’anomenen VPN, i imposen obligacions completament diferents a qui gestiona el client. Un producte pot fer la primera sense fer res de la segona, i pot fer les dues alhora.

1. Sortida remota: la teva aplicació envia el seu trànsit al punt final del proveïdor, i la destinació registra l’adreça del proveïdor.
2. Sortida aportada: el trànsit d’una altra persona passa pel component de compartició de la teva màquina, surt pel teu enllaç, i la destinació registra la teva adreça.

La primera és una decisió de privadesa sobre el teu propi trànsit. La segona és una decisió sobre el d’una altra persona, i per això una adreça de sortida compartida és un problema de reputació, mentre que una connexió aportada és un problema d’origen del trànsit. Aquestes dues preocupacions es confonen constantment, i separar-les és la major part de l’anàlisi.

Llegeix l’interruptor de compartició a l’aplicació que vas instal·lar

Obre el producte que realment està instal·lat i busca a la seva configuració paraules com compartició, aportació, entre iguals o accés comunitari. Anota si hi ha un interruptor, si s’inicia activat i a quin nivell de compte pertany, i després captura el panell amb la cadena de versió visible, perquè una resposta de suport ho demanarà. Repeteix la comprovació després de la propera actualització, perquè els valors per defecte canvien entre versions. Un panell sense cap llenguatge de compartició és una troballa útil, tot i que per si sol no és cap garantia.

Un proveïdor que descriu compartició entre iguals per a un producte i exclou altres edicions t’ha acabat de dir la distinció que amaga el nom de marca. Les preguntes freqüents del proveïdor d’un servei així separen els productes que aporten de les edicions sense mode entre iguals, i justament aquesta diferència val la pena llegir-la un mateix. L’estat de pagament tampoc no és una descripció tècnica, perquè una subscripció de pagament pot incloure un component de compartició mentre que el nivell gratuït és el que no en té.

Què continua funcionant quan es tanca la finestra

Un complement del navegador i un servei instal·lat per separat poden fer feines diferents sota un mateix logotip, així que tanca la finestra i comprova si hi sobreviu un procés. Un procés que sobreviu a la pestanya és la diferència entre una funció que vas activar i un component que continua treballant sense ella. Tots dos poden ser legítims, i només un és visible des de la pestanya.

El bloc de sota és per a Windows. Llegeix el procés, després els sockets que posseeix aquest procés, i l’identificador de la primera línia és allò que filtren els altres dos, així que substitueix-lo en lloc d’executar tres bolcats sense relació. Llegeix la ruta del procés i les connexions establertes alhora, perquè qualsevol de les dues per si sola demostra molt poc.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Un relé no és compartir fitxers

Reenviar el trànsit d’una altra persona és un permís diferent d’exposar fitxers o serveis a la teva màquina. La documentació sobre un no descriu l’altre, i consentir un túnel no és consentir compartir fitxers, encara que un sol instal·lador hagi configurat tots dos. Mantingues les dues preguntes separades quan llegeixis una pàgina de configuració.

L’absència d’un port a l’escolta no és prova que no es comparteixi res, perquè un relé pot iniciar connexions sortints i no acceptar mai cap d’entrant, i és exactament així com els sistemes entre iguals eviten problemes amb el tallafoc. Mira cap on van les connexions i no només què escolta. Una connexió al mateix punt final del proveïdor sembla un client, mentre que diverses a adreces que no pots explicar mereixen una mirada més atenta. Si el model encara no és clar després de la configuració i la documentació, fes a l’operador una pregunta concreta; en un dispositiu de feina o en una xarxa gestionada decideix l’administrador, no la persona que té l’ordinador portàtil.

Anota què has vist i torna-ho a comprovar

Escriu la versió, els estats de configuració i els sockets que has observat, amb marques de temps, perquè aquest registre és el que converteix una sospita en una pregunta que algú pot respondre. També és el que voldràs si arriba un avís d’abús mesos després, i una nota en una finestra de xat no és un registre.

El bloc de sota és per a Linux o macOS i respon les mateixes preguntes que el de Windows. Executa’l també després d’una actualització, perquè la disposició dels components canvia entre versions i un procés auxiliar nou és fàcil de passar per alt. La llista de sockets anomena el procés propietari, i això és el que fa comparables els dos blocs entre versions.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Si una adreça teva apareix en una reclamació, recorda que una adreça IP no identifica una persona per si sola. Conserva l’avís, les marques de temps i la configuració que vas registrar, i després segueix el procés de denúncia del proveïdor o de l’administrador. Això no descarta la reclamació, i sí que manté una adreça de sortida compartida separada del trànsit que va sortir realment de la teva pròpia connexió.