Har du installeret en VPN? Dit lokale netværk ser stadig enheden

At rejse en tunnel får ikke det lokale netværk til at glemme maskinen, selvom det er den sædvanlige antagelse. Nabooptabeller, leasingaftaler og lokale navneposteringer siger noget andet. Tunnelen ændrer, hvor dine pakker forlader nettet; den ændrer ikke, hvad dine naboer kan se.

To synspunkter skal undersøges. Ingen af dem er den skjult-eller-ej-test, som de fleste kører først.

Dine naboer kender stadig maskinen

En lokal adresse, en hardwareadresse og i de fleste netværk et lejet værtsnavn forbliver knyttet til maskinen, mens den er tilsluttet. En router viser dem, og på et fladt segment kan andre værter også lære dem. Nabo-opdagelse, adressetildeling og lokal navneopløsning foregår på segmentet og ikke inde i tunnelen, og derfor undertrykker en VPN dem ikke. De rammer, der bærer din trafik, er krypteret ende til ende, mens leasingaftalen og naboindgangen aldrig var en del af den samtale.

Det, tunnelen skjuler, er listen over destinationer. Din router ser én krypteret strøm til ét endepunkt i stedet for en række websteder, selvom volumen, timing og endepunktets omdømme stadig beskriver en hel del.

Udgangsadressen er kun én identitet

Påstanden om, at en VPN skjuler en enhed på et lokalt netværk, er sand i én snæver forstand: en fjern observatør lærer ikke længere din offentlige adresse. Det siger intet om det accesspunkt, du er tilsluttet, som stadig kender den hardwareadresse, den taler med. At behandle de to observationer som ét spørgsmål er måden, hvorpå folk konkluderer, at en tunnel fejlede, når den gjorde præcis det, en tunnel gør. Adskil dem, og hvert resultat bliver fortolkbart i sig selv.

Placering har en anden kanal, som aldrig rører en adresse. Browsergeolokalisering kan besvares ud fra en scanning af nærliggende accesspunkter i stedet for en adresse, fordi styresystemet giver deres identifikatorer til en opslagstjeneste, der allerede knytter dem til steder. At afbryde radioen fjerner det input; et andet udgangsland gør ikke.

Lejer du serveren, ser udbyderen mønsteret

At køre tunnelen på en lejet instans flytter observationen i stedet for at fjerne den. Hostingudbyderen ser kilden og destinationen for den ydre strøm, fordi den skal rute den, og endepunktets adresse identificerer tjenesten. Nyttelasten forbliver ulæselig, men en vært, der taler med én peer og med intet andet, er ikke svær at klassificere. Intet i den beskrivelse kræver at bryde en cipher.

Et mønster er ikke indhold. Hvis bekymringen er udbyderens registreringer, er svaret en udbyder med en erklæret politik og en jurisdiktion, du accepterer, ikke en anden cipher. En stærkere cipher ændrer intet ved, hvordan strømmen ser ud udefra.

Split tunneling afgør, hvem der ser dine forespørgsler

Med en arbejdstunnel afhænger det, administratoren kan observere, af de ruter, klienten installerer. Hvis kun de virksomhedsspecifikke præfikser er i tunnelen, registrerer gatewayen præcis den del af din trafik og intet andet. Uden split tunneling går hver pakke gennem arbejdsgiveren, inklusive domæneopslag, når deres resolver skubbes til klienten. Den forskel afgør, hvilke af dine vaner arbejdsgiveren overhovedet kan observere.

Kontrollér routingtabellen i stedet for at antage, og læg mærke til, hvem der besvarer et opslag på et offentligt navn. Når deres resolver besvarer dine opslag, beholder de forespørgslen, selv når siden hentes et andet sted.

Kontrollér begge synspunkter, før du tror på noget af dem

Bed en anden enhed på samme segment om at opløse dit værtsnavn og udskrive sin nabooptabel, og observer derefter udefra, hvilken adresse en tjeneste rapporterer. De to svar beskriver forskellige lag, og ingen enkelt skjult-eller-ej-test dækker begge.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Skift ét lag ad gangen, når du tester. Sluk for opdagelsesprotokollen, og segmentet mister det synspunkt, mens tunnelen forbliver urørt; skift udgangsland, og et websteds postering ændres, mens segmentet ikke gør.