Was Ihr Provider noch sieht, wenn Sie über ein VPN torrenten

Gehen Sie die Fragen der Reihe nach durch: was das Zugangsnetz beobachten kann, was ohne es den Tunnel verlässt, was die Namensauflösung verrät, und was Peers und Tracker trotzdem erfahren. Jede Antwort ist unabhängig von den anderen, und ein VPN löst nur die erste vollständig. Die vierte ist die Stelle, an der die meisten Erwartungen still scheitern, denn kein Tunnel beseitigt einen Kontonamen.

Beginnen Sie mit der Entscheidung, welcher Beobachter Sie beunruhigt, denn die Antwort ändert sich mit dem Beobachter.

Eine Verbindung ersetzt viele

Befindet sich der Client tatsächlich im Tunnel, sieht das Zugangsnetz eine einzige dauerhafte verschlüsselte Verbindung zu einer einzigen VPN-Adresse. Volumen, Zeitverlauf und die Tatsache, dass ein VPN verwendet wird, bleiben sichtbar; Tracker-Hostnamen, Peer-Adressen und Dateinamen nicht. Das ist eine echte Verbesserung, und eine engere, als das Marketing nahelegt. Der Betreiber des Tunnels sitzt in der Mitte und sieht mehr als das Zugangsnetz.

Eine No-Logs-Erklärung beschreibt die Aufbewahrungsrichtlinie und nicht die technische Sichtbarkeit. Das sind verschiedene Aussagen, und nur die erste ist etwas, das ein Anbieter versprechen kann.

Das Leck kommt von der Bindung, nicht vom Tunnel

BitTorrent erzeugt einen Strom kurzlebiger TCP- und UDP-Verbindungen zu Peers, Trackern, DHT-Knoten und lokaler Erkennung. Binden Sie den Client an den physischen Adapter, oder starten Sie ihn neu, sobald der Tunnel ausgefallen ist, und der entstehende Verkehr ist genau das, wofür der Tunnel existierte, um es zu verbergen. Firewall-Regeln sind eine schwächere Kontrolle, als sie scheinen: eine Regel, die nur die Standardroute, nur IPv4 oder nur neue Verbindungen trifft, lässt Wege offen. Den Client an die Tunnel-Schnittstelle zu binden und diese Bindung zu überprüfen, ist das stärkere Muster.

Prüfen Sie es, indem Sie den Tunnel absichtlich stoppen und beobachten, ob Übertragungen anhalten. Laufen sie weiter, war der Client nie drinnen. Wiederholen Sie es nach einem Neustart des Clients und nach dem Aufwachen eines Laptops, denn dann gehen Bindungen normalerweise verloren.

DNS benennt die Seite, ohne die Übertragung zu berühren

Gehen Namensabfragen weiterhin an den lokalen Resolver, verkündet die Abfrage selbst die Seite, während die Übertragung verschlüsselt bleibt. Die Auflösung in den Tunnel zu verlegen oder sie zu verschlüsseln, schließt diese Lücke. Beides hilft einem Client nicht, dessen Pakete außerhalb des Tunnels hinausgehen. Prüfen Sie, welcher Resolver verwendet wird und welche Schnittstelle die Abfrage verlässt; die beiden Prüfungen beantworten verschiedene Fragen.

Ein Name, der durch den Tunnel aufgelöst wird, und eine Übertragung, die die Bindung respektiert, sind getrennte Eigenschaften, und jede kann allein fehlschlagen.

Der Schwarm und der Tracker sehen unterschiedliche Dinge

Adressaustausch ist Teil des Protokolls, also zeichnen Peers auf, was sie sehen. Eine Verbindung vom Ausgang gibt ihnen den Ausgang; eine direkte Verbindung gibt ihnen die Heimatadresse. DHT und Peer-Austausch verbreiten diese Beobachtung weiter, und eine spätere Sitzung ohne den Tunnel kann denselben Client-Port und dieselbe Version verknüpfen. Der Tracker kann noch mehr wissen: ein Passkey in der Announce-URL identifiziert das Konto unabhängig davon, von welchem Ausgang die Pakete kamen.

Verschlüsselung deckt wieder eine andere Achse ab. HTTPS schützt eine Anfrage ab dem Ausgang; einfaches HTTP legt die Anfragezeile für jedes Netzwerk auf dem Weg offen, weshalb sich das eine Protokoll formen lässt und das andere nicht.

Beantworten Sie die vier Fragen mit Belegen, nicht mit einem Symbol. Das Symbol sagt Ihnen nur, dass es einen Tunnel gibt.