Heu instal·lat una VPN? La xarxa local encara veu el dispositiu

Aixecar un túnel no fa que la xarxa local oblidi la màquina, tot i que aquesta és la suposició habitual. Les taules de veïns, els arrendaments i els registres de noms locals diuen el contrari. El túnel canvia on surten els vostres paquets; no canvia què poden veure els vostres veïns.

Cal comprovar dues perspectives. Cap de les dues no és la prova d’amagat o no que la majoria de la gent fa primer.

Els vostres veïns encara coneixen la màquina

Una adreça local, una adreça de maquinari i, a la majoria de xarxes, un nom d’amfitrió arrendat continuen lligats a la màquina mentre està connectada. Un encaminador els llista, i en un segment pla altres amfitrions també poden aprendre’ls. El descobriment de veïns, l’assignació d’adreces i la resolució de noms local passen al segment, no dins del túnel, i per això una VPN no els suprimeix. Les trames que porten el vostre trànsit estan xifrades d’extrem a extrem, mentre que l’arrendament i l’entrada de veí mai no van formar part d’aquella conversa.

El que el túnel amaga és la llista de destinacions. El vostre encaminador veu un sol flux xifrat cap a un únic punt final en lloc d’una sèrie de llocs, tot i que el volum, el moment i la reputació del punt final encara descriuen força coses.

L’adreça de sortida és només una identitat

L’afirmació que una VPN amaga un dispositiu en una xarxa local és certa en un sentit estret: un observador remot ja no aprèn la vostra adreça pública. Això no diu res sobre el punt d’accés al qual esteu connectats, que encara coneix l’adreça de maquinari amb qui parla. Tractar les dues observacions com una sola pregunta és com la gent conclou que un túnel ha fallat quan ha fet exactament el que fa un túnel. Separeu-les i cada resultat esdevé interpretable per si mateix.

La ubicació té un segon canal que no toca mai cap adreça. La geolocalització del navegador es pot respondre a partir d’una exploració de punts d’accés propers en lloc d’una adreça, perquè el sistema operatiu lliura els seus identificadors a un servei de consulta que ja els assigna llocs. Desendollar la ràdio elimina aquesta entrada; un país de sortida diferent no.

Si llogueu el servidor, el proveïdor veu el patró

Executar el túnel en una instància llogada mou l’observació en lloc d’eliminar-la. El proveïdor d’allotjament veu l’origen i la destinació del flux exterior perquè l’ha d’encaminar, i l’adreça del punt final identifica el servei. La càrrega útil continua essent il·legible, però un amfitrió que parla amb un sol parell i amb res més no és difícil de classificar. Res d’aquesta descripció no requereix trencar un xifratge.

Un patró no és contingut. Si la preocupació són els registres del proveïdor, la resposta és un proveïdor amb una política declarada i una jurisdicció que accepteu, no un xifratge diferent. Un xifratge més fort no canvia res de com es veu el flux des de fora.

El tunelatge dividit decideix qui veu les vostres consultes

Amb un túnel de feina, el que l’administrador pot observar depèn de les rutes que instal·la el client. Amb només els prefixos corporatius al túnel, la passarel·la enregistra exactament aquella porció del vostre trànsit i res més. Sense tunelatge dividit, cada paquet passa per l’empresa, incloent-hi les consultes de domini quan el seu resolutor s’empeny al client. Aquesta diferència decideix quins dels vostres hàbits pot observar l’empresa.

Comproveu la taula d’encaminament en lloc de suposar-ho, i fixeu-vos qui respon una consulta per a un nom públic. Un cop el seu resolutor respon les vostres consultes, ells retenen la consulta fins i tot quan la pàgina es baixa en un altre lloc.

Comproveu les dues perspectives abans de creure-us cap

Demaneu a un segon dispositiu del mateix segment que resolgui el vostre nom d’amfitrió i imprimeixi la seva taula de veïns, i després observeu des de fora quina adreça informa un servei. Aquestes dues respostes descriuen capes diferents, i cap prova única d’amagat o no no cobreix les dues.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Canvieu una capa alhora quan provingueu. Apagueu el protocol de descobriment i el segment perd aquella perspectiva mentre el túnel queda intacte; canvieu el país de sortida i el registre d’un lloc web canvia mentre el segment no.