VPN installiert? Das lokale Netzwerk sieht das Gerät trotzdem

Einen Tunnel aufzubauen lässt das lokale Netzwerk das Gerät nicht vergessen, obwohl das die übliche Annahme ist. Nachbartabellen, Leases und lokale Namenseinträge sagen etwas anderes. Der Tunnel ändert, wo deine Pakete hinausgehen; er ändert nicht, was deine Nachbarn sehen können.

Zwei Sichten sind zu prüfen. Keine davon ist der Versteckt-oder-nicht-Test, den die meisten zuerst durchführen.

Deine Nachbarn kennen das Gerät weiterhin

Eine lokale Adresse, eine Hardwareadresse und in den meisten Netzwerken ein geleaster Hostname bleiben mit dem Gerät verbunden, solange es angeschlossen ist. Ein Router listet sie auf, und auf einem flachen Segment können auch andere Hosts sie erfahren. Nachbarerkennung, Adressvergabe und lokale Namensauflösung finden im Segment statt und nicht im Tunnel, weshalb ein VPN sie nicht unterdrückt. Die Frames, die deinen Verkehr tragen, sind Ende-zu-Ende verschlüsselt, während der Lease und der Nachbareintrag nie Teil dieses Gesprächs waren.

Was der Tunnel verbirgt, ist die Liste der Ziele. Dein Router sieht einen einzigen verschlüsselten Fluss zu einem Endpunkt statt einer Reihe von Websites, obwohl Volumen, Timing und der Ruf des Endpunkts noch immer eine Menge beschreiben.

Die Ausgangsadresse ist nur eine Identität

Die Behauptung, ein VPN verberge ein Gerät in einem lokalen Netzwerk, stimmt in einem engen Sinn: Ein entfernter Beobachter erfährt deine öffentliche Adresse nicht mehr. Das sagt nichts über den Zugangspunkt, an dem du hängst, der die Hardwareadresse, mit der er spricht, weiterhin kennt. Die beiden Beobachtungen als eine Frage zu behandeln, ist der Weg, auf dem Leute schließen, ein Tunnel sei gescheitert, obwohl er genau das tat, was ein Tunnel tut. Trenne sie, und jedes Ergebnis wird für sich interpretierbar.

Der Standort hat einen zweiten Kanal, der nie eine Adresse berührt. Browser-Geolokalisierung kann aus einem Scan nahegelegener Zugangspunkte beantwortet werden statt aus einer Adresse, weil das Betriebssystem deren Kennungen an einen Nachschlagedienst übergibt, der sie bereits Orten zuordnet. Das Abschalten des Funkmoduls entfernt diese Eingabe; ein anderes Ausgangsland nicht.

Mietest du den Server, sieht der Anbieter das Muster

Den Tunnel auf einer gemieteten Instanz zu betreiben verschiebt die Beobachtung, statt sie zu beseitigen. Der Hosting-Anbieter sieht Quelle und Ziel des äußeren Flusses, weil er ihn routen muss, und die Endpunktadresse identifiziert den Dienst. Die Nutzlast bleibt unlesbar, aber ein Host, der mit einem einzigen Peer und mit nichts anderem spricht, ist nicht schwer einzuordnen. Nichts an dieser Beschreibung verlangt, eine Verschlüsselung zu brechen.

Ein Muster ist kein Inhalt. Geht es um die Aufzeichnungen des Anbieters, ist die Antwort ein Anbieter mit erklärter Richtlinie und einer Jurisdiktion, die du akzeptierst, nicht eine andere Verschlüsselung. Eine stärkere Verschlüsselung ändert nichts daran, wie der Fluss von außen aussieht.

Split-Tunneling entscheidet, wer deine Abfragen sieht

Bei einem Arbeitstunnel hängt das, was der Administrator beobachten kann, von den Routen ab, die der Client installiert. Sind nur die Unternehmenspräfixe im Tunnel, zeichnet das Gateway genau diesen Teil deines Verkehrs auf und nichts sonst. Ohne Split-Tunneling geht jedes Paket durch den Arbeitgeber, einschließlich Domänenabfragen, wenn deren Resolver zum Client geschoben wird. Dieser Unterschied entscheidet, welche deiner Gewohnheiten der Arbeitgeber überhaupt beobachten kann.

Prüfe die Routing-Tabelle, statt anzunehmen, und achte darauf, wer eine Abfrage für einen öffentlichen Namen beantwortet. Sobald ihr Resolver deine Abfragen beantwortet, halten sie die Abfrage, auch wenn die Seite anderswo geladen wird.

Prüfe beide Sichten, bevor du einer glaubst

Bitte ein zweites Gerät im selben Segment, deinen Hostnamen aufzulösen und seine Nachbartabelle auszugeben, und beobachte dann von außen, welche Adresse ein Dienst meldet. Diese beiden Antworten beschreiben verschiedene Schichten, und kein einzelner Versteckt-oder-nicht-Test deckt beide ab.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Ändere beim Testen jeweils eine Schicht. Schalte das Erkennungsprotokoll ab, und das Segment verliert diese Sicht, während der Tunnel unberührt bleibt; wechsle das Ausgangsland, und der Eintrag einer Website ändert sich, während das Segment es nicht tut.