Proč web stále zná vaše město i přes VPN
Web může nezávisle použít oprávnění k poloze v prohlížeči a vaši veřejnou IP adresu: zkontrolujte oprávnění pro původ, nastavení OS a uložené město.
Dva mechanismy mohou dostat město na obrazovku a jen jeden z nich se zajímá o to, kudy vychází vaše VPN. Geolocation API prohlížeče vrací polohu zařízení, když stránka má oprávnění, a IP vyhledávání odhaduje region z adresy, ze které požadavek přišel. Web, který ukazuje vaše skutečné město, zatímco tunel běží v jiné zemi, obvykle používá první mechanismus, nebo čte město uložené před měsíci. Tyto případy odděluje pět kroků.
První krok: určete, který mechanismus může odpovědět
Začněte otázkou, co stránka vůbec může vědět. Poloha zařízení vyžaduje volání API a rozhodnutí o oprávnění a dává přesné souřadnice. Odhad podle IP nevyžaduje od uživatele nic a dá nanejvýš město, často špatné. Uložená předvolba účtu nevyžaduje ani jedno a přežije každou změnu sítě.
Tyto tři zdroje vysvětlují téměř každé hlášení. Mapový web, který se soustředí na vaši ulici, používá API. Obchod, který vás vítá špatným jazykem, používá odhad podle IP. Zpravodajský web, který po stěhování dál ukazuje vaše rodné město, používá to, co váš účet uložil.
| What the page shows | Likely source |
|---|---|
| Street-level accuracy | Device position from the Geolocation API |
| City or region only | IP geolocation of the exit address |
| Same city for months | Stored account preference |
| Different result in a private window | Stored permission or cached state |
Druhý krok: přečtěte oprávnění přesně pro tento původ
Prohlížeče si pamatují rozhodnutí o oprávnění pro každý původ, takže web, kterému jste loni povolili přístup, se otevře bez nového dotazu. Zkontrolujte záznam o poloze pro přesně tento web v nastavení webů prohlížeče, ne globální výchozí hodnotu, protože globální nastavení určuje jen to, co se stane, když není nic uloženo.
Potom zkontrolujte operační systém. Prohlížeč na moderním počítači nebo telefonu také potřebuje oprávnění platformy k poloze, a odmítnuté oprávnění platformy způsobí selhání API, i když je web povolen. Dostupná poloha může pocházet ze služeb platformy, které s tunelem nemají nic společného.
Dvě technické podmínky vysvětlují většinu selhání, která vypadají jako problémy s VPN. API vyžaduje zabezpečený kontext, takže obyčejná stránka HTTP ho vůbec nemůže použít, a vložené rámce mohou být blokovány Permissions Policy stránky. Odmítnutý požadavek je proto mnohem častěji výsledkem prohlížeče nebo politiky stránky než sítě.
Třetí krok: ověřte výstupní adresu novým požadavkem
Zeptejte se nezávislé služby, jakou adresu vidí, ze stejného prohlížeče, který testujete. Zastaralá karta, service worker nebo stránka v mezipaměti mohou hlásit včerejší odpověď, a srovnání čerstvé odpovědi s tím, co web zobrazuje, tuto pochybnost odstraní.
curl -s https://ifconfig.me
curl -s https://ipinfo.io/jsonSpusťte je ze stroje, ne z routeru, a poznamenejte adresu a zemi, kterou každý vrátí. Pokud oba hlásí zemi VPN a web stále ukazuje vaše rodné město, výstup není zdrojem a zbývajícími kandidáty jsou oprávnění, uložená data a cesta úniku.
Cesty úniku jsou třetí možností: rozšíření prohlížeče s vlastním síťovým stackem, trasa split-tunnel, která posílá web mimo tunel, nebo cesta IPv6, kterou tunel nenese. Každá je vidět v samotném požadavku, proto kontrola výstupu přichází před jakoukoli změnou nastavení. Rozšíření s vlastním nastavením proxy je to, co lidé přehlížejí, protože může obejít tunel pro jednu kartu.
Čtvrtý krok: podívejte se, co účet už uložil
Odvolání oprávnění ovlivňuje budoucí přístup podle pravidel prohlížeče a nesmaže polohu, kterou služba už uložila. Uložené rodné město, doručovací adresa nebo region profilu zůstávají, dokud je aplikace neaktualizuje, a web stále může udělat přibližný odhad z výstupní adresy.
Než usoudíte, že je na vině prohlížeč, hledejte vlastní ovládání polohy na webu. Mnoho aplikací drží ruční volič regionu, který přebíjí každý automatický odhad, a pracovník podpory, který čte záznam účtu, vidí tuto hodnotu, ne vaše aktuální připojení.
Kde na uložené hodnotě záleží, změňte ji v účtu a poznamenejte datum. To vám dá druhý datový bod, když se staré město objeví znovu. Snímek obrazovky stránky účtu před změnou má větší cenu než popis po ní.
Pátý krok: měňte jednu proměnnou po druhé
Testujte v pevném pořadí: čerstvá kontrola výstupu, oprávnění původu, oprávnění platformy, nastavení účtu, pak jiný profil prohlížeče. Změna několika věcí najednou činí zdroj neidentifikovatelným, a tak se z odpovědi na pět minut stane týden spekulací.
Zapište, co jste změnili a co stránka potom zobrazila. Pokud se zobrazení mění jen v anonymním okně, příčinou je uložený stav; pokud se nemění nikdy, web používá odhad podle IP nebo hodnotu účtu, kterou prohlížeč nemůže ovlivnit. Držte před a po ve stejné poznámce, protože vzorec je důkaz.
Zůstaňte ve závěru poctiví: VPN mění adresu, ze které požadavek přichází, a Geolocation API je samostatný kanál s oprávněním, kterého se tunel nedotýká. Obě skutečnosti mohou platit současně a většina matoucích hlášení vzniká tím, že se berou jako alternativy.