Teilt Ihr VPN Ihre Verbindung? Zwei Richtungen zum Prüfen

Zwei Personen, die mit demselben Anbieter verbunden sind, nutzen nicht zwangsläufig die Heimverbindung der jeweils anderen, denn in der üblichen Anordnung schicken beide Geräte ihren Verkehr zum Endpunkt des Anbieters und teilen nur die Ausgangsadresse. Ein Produkt zum Teilen von Ressourcen kann in die andere Richtung arbeiten, wobei Ihr Rechner einen Pfad für den Verkehr anderer bereitstellt. Die Richtung ist die ganze Frage, und sie lässt sich aus der App beantworten, die vor Ihnen liegt. Im Folgenden geht es um die Reihenfolge der Fragen und um die Belege, die es lohnt aufzubewahren.

Zwei Richtungen, und nur eine braucht Zustimmung

Eine entfernte Ausgangsadresse zu nutzen heißt, dass Ihr Verkehr über den Anbieter hinausgeht und das Ziel die Adresse des Anbieters sieht. Einen Ausgang beizutragen heißt, dass der Verkehr anderer über Ihre Verbindung hinausgeht und das Ziel Ihre Adresse sieht. Beides wird VPN genannt, und beide legen dem, der den Client betreibt, völlig unterschiedliche Pflichten auf. Ein Produkt kann das Erste tun und vom Zweiten nichts, und es kann beides zugleich tun.

1. Entfernter Ausgang: Ihre Anwendung schickt ihren Verkehr zum Endpunkt des Anbieters, und das Ziel zeichnet die Adresse des Anbieters auf.
2. Beigetragener Ausgang: Der Verkehr einer anderen Person läuft über die Teilen-Komponente auf Ihrem Rechner, geht über Ihre Leitung hinaus, und das Ziel zeichnet Ihre Adresse auf.

Das Erste ist eine Datenschutzentscheidung über Ihren eigenen Verkehr. Das Zweite ist eine Entscheidung über den Verkehr anderer, weshalb eine geteilte Ausgangsadresse ein Reputationsproblem ist, während eine beigetragene Verbindung ein Problem der Verkehrsherkunft ist. Diese beiden Sorgen werden ständig verwechselt, und sie zu trennen ist der größte Teil der Analyse.

Lesen Sie den Teilen-Schalter in der installierten App

Öffnen Sie das Produkt, das tatsächlich installiert ist, und suchen Sie in den Einstellungen nach Wörtern wie Teilen, Beitragen, Peer-to-Peer oder Community-Zugang. Notieren Sie, ob es einen Schalter gibt, ob er aktiviert startet und zu welcher Kontostufe er gehört, und halten Sie das Panel mit sichtbarer Versionszeichenfolge fest, denn eine Support-Antwort wird danach fragen. Wiederholen Sie die Prüfung nach dem nächsten Update, weil sich Voreinstellungen zwischen Versionen ändern. Ein Panel ohne jede Teilen-Sprache ist ein nützlicher Befund, allerdings für sich genommen keine Garantie.

Ein Anbieter, der Peer-to-Peer-Teilen für ein Produkt beschreibt und andere Editionen ausnimmt, hat Ihnen gerade den Unterschied genannt, den ein Markenname verdeckt. Die Anbieter-FAQ für einen solchen Dienst trennt beitragende Produkte von Nicht-Peer-Editionen, und genau solche Unterschiede lohnt es, selbst nachzulesen. Auch der Zahlungsstatus ist keine technische Beschreibung, denn ein bezahltes Abonnement kann eine Teilen-Komponente enthalten, während es die kostenlose Stufe ist, die keine hat.

Was weiterläuft, nachdem das Fenster geschlossen ist

Ein Browser-Add-on und ein separat installierter Dienst können unter einem Logo verschiedene Aufgaben erfüllen, also schließen Sie das Fenster und prüfen Sie, ob ein Prozess es überlebt. Ein Prozess, der den Tab überlebt, ist der Unterschied zwischen einer Funktion, die Sie aktiviert haben, und einer Komponente, die ohne sie weiterarbeitet. Beides kann legitim sein, und nur eines davon ist vom Tab aus sichtbar.

Der folgende Block ist für Windows. Er liest den Prozess und dann die Sockets, die dieser Prozess besitzt, und die Kennung aus der ersten Zeile ist das, worauf die beiden anderen filtern, also ersetzen Sie sie, statt drei unabhängige Ausgaben zu starten. Lesen Sie den Prozesspfad und die aufgebauten Verbindungen zusammen, denn eines allein beweist sehr wenig.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Ein Relay ist keine Dateifreigabe

Den Verkehr anderer weiterzuleiten ist eine andere Berechtigung als Dateien oder Dienste auf Ihrem Rechner freizugeben. Dokumentation über das eine beschreibt nicht das andere, und einem Tunnel zuzustimmen heißt nicht, einer Dateifreigabe zuzustimmen, selbst wenn ein einziger Installer beides eingerichtet hat. Halten Sie die beiden Fragen auseinander, wenn Sie eine Einstellungsseite lesen.

Das Fehlen eines lauschenden Ports ist kein Beweis, dass nichts geteilt wird, denn ein Relay kann ausgehende Verbindungen aufbauen und nie eine eingehende annehmen, und genau so vermeiden Peer-to-Peer-Systeme Ärger mit der Firewall. Schauen Sie darauf, wohin Verbindungen gehen, statt nur darauf, was lauscht. Eine Verbindung zum eigenen Endpunkt des Anbieters sieht nach einem Client aus, während mehrere zu Adressen, die Sie nicht erklären können, einen genaueren Blick verdienen. Wenn das Modell nach Einstellungen und Dokumentation noch unklar ist, stellen Sie dem Betreiber eine konkrete Frage; auf einem Arbeitsgerät oder in einem verwalteten Netz entscheidet der Administrator, nicht die Person mit dem Laptop.

Halten Sie fest, was Sie gesehen haben, und prüfen Sie erneut

Schreiben Sie die Version, die Zustände der Einstellungen und die beobachteten Sockets mit Zeitstempeln auf, denn dieser Datensatz macht aus einem Verdacht eine Frage, die jemand beantworten kann. Er ist auch das, was Sie brauchen, wenn Monate später eine Missbrauchsmeldung eintrifft, und eine Notiz in einem Chatfenster ist kein Datensatz.

Der folgende Block ist für Linux oder macOS und beantwortet dieselben Fragen wie der für Windows. Führen Sie ihn auch nach einem Update aus, weil sich die Anordnung der Komponenten zwischen Versionen ändert und ein neuer Hilfsprozess leicht zu übersehen ist. Die Socket-Liste nennt den besitzenden Prozess, und das macht die beiden Blöcke über Versionen hinweg vergleichbar.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Wenn eine Adresse von Ihnen in einer Beschwerde auftaucht, bedenken Sie, dass eine IP-Adresse allein keine Person identifiziert. Bewahren Sie die Meldung, die Zeitstempel und die aufgezeichneten Einstellungen auf und folgen Sie dann dem Meldeverfahren des Anbieters oder des Administrators. Das entkräftet die Beschwerde nicht, und es hält eine geteilte Ausgangsadresse getrennt von Verkehr, der tatsächlich Ihre eigene Verbindung verlassen hat.