Das VPN hat deine alte IP nicht verraten: ein gemerkter Wert tat es

Deine alte öffentliche Adresse im Bericht eines Dienstes zu sehen, nachdem das VPN aktiv ist, ist für sich genommen kein Beweis für ein Leck. Die laufende Verbindung kann den Tunnelausgang nutzen, während die Anwendung einen Wert übermittelt, den sie vor dem Tunnel gelernt hat. Das sind zwei verschiedene Beweise, und nur einer beschreibt das aktuelle Paket. Der andere ist ein Wert, der die Wiederverbindung überlebt hat, weil nichts auf dem Netzwerkpfad ihn besitzt.

Die zwei Erklärungen hinter einer Adresse

Die Abfolge, die Menschen sich vorstellen, ist ein Paket, das die physische Schnittstelle verlässt, während das VPN angeblich aktiv ist. Die Abfolge, die den Bericht oft erklärt, ist kürzer und langweiliger: Eine Anwendung hat eine Adresse früher gelernt und hält sie noch. Die Ereignisse der Reihe nach zu legen trennt beides.

Address learned before the tunnel: P1
Tunnel up: the next request exits at P2
Application reuses its retained P1 in a message body
Receiver logs source P2 and submitted value P1

Nichts in dieser Reihenfolge verlangt eine laufende Verbindung von der ersten Adresse. Der gemerkte Wert reist im Nachrichtentext, während der Header den Ausgang trägt, den die aktuelle Route gewählt hat. Ein Dienst, der beide Felder protokolliert, zeigt sie nebeneinander und wirkt widersprüchlich.

Das ist eine mögliche Erklärung, kein Vorwurf an einen bestimmten Client. Ruf ist kein Beweis: Eine Codebasis, die du lesen kannst, eine Marke, der du vertraust, oder ein anderer Ausgang sagen nichts darüber, was ein Programm behalten oder gesendet hat.

Der Anwendungsspeicher überlebt die Wiederverbindung

Ein VPN zu verbinden ändert die Route, die eine neue Verbindung nimmt. Es lässt den Anwendungszustand unberührt und kann Informationen nicht zurückholen, die ein entfernter Dienst bereits gespeichert hat. Ein Programm kann eine Konto-ID, einen gespeicherten Standort, einen Gerätenamen oder einen anderen früher erhaltenen Wert übermitteln, und die Verschlüsselung schützt diese Nutzlast unterwegs, ohne etwas davon zu entfernen. Die Wiederverbindung ist ein Netzwerkereignis; der behaltene Wert ist ein Anwendungsereignis.

Der Unterschied zählt, weil beide an verschiedenen Orten leben. Der Anwendungszustand gehört zum Programm und überlebt Neustarts, während die Route zum Betriebssystem gehört und bei jeder Verbindung neu aufgebaut wird. Das eine zu löschen hat keine Wirkung auf das andere.

Ein Dienst kann auch einen Wert halten, den du ihm vor Monaten gegeben hast; dann wird keine lokale Änderung ihn entfernen. Das ist Speicherung, und sie liegt völlig außerhalb des Tunnels.

Lies zuerst den Quellheader, dann die Nutzlast

Beginne damit, festzustellen, wo die Adresse aufgetaucht ist. Das Verbindungsprotokoll eines Servers beschreibt die laufende Quelle, während ein Nachrichtenfeld, ein Kontoprofil oder eine lokale Diagnoseanzeige einen Wert beschreiben können, der viel früher übermittelt oder gespeichert wurde. Diese Beobachtungen beantworten unterschiedliche Fragen.

Vergleiche auch die Zeiten. Erscheint die alte Adresse in einem Feld, das der VPN-Verbindung vorausgeht, ist die Nutzlast-Erklärung stärker. Zeichnet der Server eine direkte Verbindung von der alten Adresse auf, während der Tunnel aktiv ist, ist das eine Routingfrage und braucht eine andere Untersuchung. Die Beobachtungsarten zuerst zu sortieren verhindert, dass eine Adresse zum Beweis für drei Ereignisse gedehnt wird.

Halte sie in deinen Notizen getrennt: Verbindungsquelle, Nachrichtenfeld, Kontoanzeige, lokale Diagnose. Eine Adresse, die an vier Stellen steht, ist immer noch eine Adresse.

Speicherung ist eine andere Stufe als Transport

Die Datenschutzleitlinien in RFC 6973 behandeln Erhebung, Nutzung, Offenlegung und Speicherung als getrennte Stufen und warnen, dass wiederverwendete Kennungen Korrelation leicht machen. Ein neuer Netzwerkpfad ändert die Transportstufe und sonst nichts. Aufzeichnungen, die der Empfänger bereits hält, bleiben unberührt, ebenso jedes Profil, das den Wert beim Eingang gespeichert hat. Deshalb kann sich eine Wiederverbindung wie ein Fehlschlag anfühlen, während der Transport korrekt arbeitet.

Kein Paketfilter kann einen Wert aus den Aufzeichnungen eines Empfängers löschen, und erneutes Verbinden wird nicht die gespeicherte Historie jedes Programms leeren. Das sind Probleme der Dateninhaber, nicht des Tunnels, und sie brauchen eine andere Art von Lösung. Frage den Dienst, was er aufbewahrt und wie lange, bevor du das Netzwerk bittest, es zu verbergen.

Was du prüfen solltest, bevor du den Tunnel beschuldigst

Prüfe die dokumentierte Erhebung und die Kontosteuerung der Anwendung und entscheide, welche Felder sie übermitteln darf, wie lange der Dienst sie aufbewahrt und ob das Konto sie löschen oder korrigieren kann. Führe dann den Test durch, der die Erklärungen trennt: ein neues Konto oder ein sauberes Anwendungsprofil. Wenn der alte Wert verschwindet, waren Speicherung oder zwischengespeicherter Zustand beteiligt. Überlebt er ein sauberes Profil, untersuche das tatsächliche Anforderungsfeld, bevor du schließt, dass das VPN versagt hat.

Wenn wirklich eine direkte Verbindung besteht, behandle sie als Befund zum Netzwerkpfad. Untersuche Routing, Split-Tunnel und Client-Richtlinie zu ihren eigenen Bedingungen und vermische dieses Ergebnis nicht mit einem Nutzlastwert, der die Wiederverbindung einfach überlebt hat. Die beiden Fehler sehen auf einem Screenshot gleich aus und verhalten sich in einem Mitschnitt völlig anders.