Nainstalovali jste VPN? Místní síť zařízení stále vidí

Spuštění tunelu nezpůsobí, že místní síť zapomene na stroj, i když je to obvyklý předpoklad. Tabulky sousedů, leasingy a místní záznamy jmen říkají něco jiného. Tunel mění, kudy vaše pakety vycházejí; nemění to, co vaši sousedé vidí.

Je třeba ověřit dva pohledy. Ani jeden z nich není test „skryté, nebo ne“, který většina lidí dělá první.

Vaši sousedé stroj stále znají

Místní adresa, hardwarová adresa a ve většině sítí pronajaté jméno hostitele zůstávají ke stroji připojeny, dokud je připojen. Router je vypisuje a v plochém segmentu se je mohou naučit i ostatní hostitelé. Zjišťování sousedů, přidělování adres a místní překlad jmen probíhají v segmentu, nikoli uvnitř tunelu, a proto je VPN nepotlačuje. Rámce nesoucí váš provoz jsou šifrovány od konce ke konci, zatímco leasing a záznam souseda nikdy nebyly součástí toho rozhovoru.

Co tunel skrývá, je seznam cílů. Váš router vidí jeden šifrovaný tok k jedinému koncovému bodu místo řady webů, i když objem, časování a pověst koncového bodu stále popisují dost.

Výstupní adresa je jen jedna identita

Tvrzení, že VPN skrývá zařízení v místní síti platí v jednom úzkém smyslu: vzdálený pozorovatel už nezjistí vaši veřejnou adresu. To nic neříká o přístupovém bodu, ke kterému jste připojeni, a ten stále zná hardwarovou adresu, se kterou mluví. Považovat obě pozorování za jednu otázku je způsob, jakým lidé usoudí, že tunel selhal, když udělal přesně to, co tunel dělá. Oddělte je a každý výsledek bude sám o sobě srozumitelný.

Poloha má druhý kanál, který se nikdy nedotkne adresy. Geolokace v prohlížeči může být zodpovězena ze skenování blízkých přístupových bodů, nikoli z adresy, protože operační systém předává jejich identifikátory vyhledávací službě, která je už přiřazuje k místům. Odpojení rádia tento vstup odstraní; jiná výstupní země ne.

Pokud si server pronajmete, poskytovatel vidí vzorec

Provozování tunelu na pronajaté instanci pozorování přesouvá, místo aby je odstranilo. Poskytovatel hostingu vidí zdroj a cíl vnějšího toku, protože ho musí směrovat, a adresa koncového bodu identifikuje službu. Obsah zůstává nečitelný, ale hostitele, který mluví s jediným protějškem a s ničím jiným, není těžké klasifikovat. Nic v tomto popisu nevyžaduje prolomení šifry.

Vzorec není obsah. Pokud jde o záznamy poskytovatele, odpovědí je poskytovatel s deklarovanou politikou a jurisdikcí, kterou přijímáte, ne jiná šifra. Silnější šifra nic nemění na tom, jak tok vypadá zvenčí.

Rozdělené tunelování rozhoduje, kdo vidí vaše dotazy

U pracovního tunelu závisí to, co správce může pozorovat, na trasách, které klient nainstaluje. Pokud jsou v tunelu jen firemní prefixy, brána zaznamená přesně ten díl vašeho provozu a nic jiného. Bez rozděleného tunelování prochází každý paket zaměstnavatelem, včetně dotazů na domény, když se jejich resolver tlačí do klienta. Tento rozdíl rozhoduje, které vaše návyky může zaměstnavatel vůbec pozorovat.

Zkontrolujte směrovací tabulku, místo abyste předpokládali, a všimněte si, kdo odpovídá na dotaz na veřejné jméno. Jakmile jejich resolver odpoví na vaše dotazy, drží dotaz i tehdy, když se stránka načítá jinde.

Ověřte oba pohledy, než uvěříte kterémukoli

Požádejte druhé zařízení ve stejném segmentu, aby přeložilo jméno vašeho hostitele a vypsalo tabulku sousedů, a pak zvenčí sledujte, kterou adresu služba hlásí. Tyto dvě odpovědi popisují různé vrstvy a žádný jediný test „skryté, nebo ne“ nepokrývá oba.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Při testování měňte jednu vrstvu po druhé. Vypněte protokol zjišťování a segment ztratí tento pohled, zatímco tunel zůstane nedotčen; změňte výstupní zemi a záznam webu se změní, zatímco segment ne.