Ĉu vi instaligis VPN? Via loka reto ankoraŭ vidas la aparaton

Starigi tunelon ne igas la lokan reton forgesi la maŝinon, kvankam tio estas la kutima supozo. Najbartabeloj, luigoj kaj lokaj nomregistroj diras alie. La tunelo ŝanĝas, kie viaj pakoj eliras; ĝi ne ŝanĝas, kion viaj najbaroj povas vidi.

Du vidpunktojn oni devas kontroli. Neniu el ili estas la testo «kaŝita aŭ ne», kiun plej multaj faras unue.

Viaj najbaroj ankoraŭ konas la maŝinon

Loka adreso, aparatara adreso kaj, en plej multaj retoj, luigita gastigantnomo restas ligitaj al la maŝino dum ĝi estas konektita. Enkursigilo listigas ilin, kaj sur plata segmento ankaŭ aliaj gastigantoj povas lerni ilin. Najbara malkovro, adresatribuo kaj loka nomrezolucio okazas sur la segmento, ne ene de la tunelo, kaj tial VPN ne subpremas ilin. La kadroj portantaj vian trafikon estas ĉifritaj de fino al fino, dum la luigo kaj la najbara enskribo neniam estis parto de tiu interparolado.

Kion la tunelo kaŝas, estas la listo de celoj. Via enkursigilo vidas unu ĉifritan fluon al unu finpunkto anstataŭ serion da retejoj, kvankam volumeno, tempigo kaj la reputacio de la finpunkto ankoraŭ priskribas multe.

La elira adreso estas nur unu identeco

La aserto, ke VPN kaŝas aparaton en loka reto, veras en unu mallarĝa senco: fora observanto ne plu lernas vian publikan adreson. Tio diras nenion pri la alirpunkto, al kiu vi estas ligita, kiu ankoraŭ konas la aparataran adreson, kun kiu ĝi parolas. Trakti la du observojn kiel unu demandon estas la maniero, kiel homoj konkludas, ke tunelo malsukcesis, kiam ĝi faris ĝuste tion, kion faras tunelo. Apartigu ilin kaj ĉiu rezulto fariĝos interpretebla per si mem.

Loko havas duan kanalon, kiu neniam tuŝas adreson. Retumila geolokigo povas esti respondita per skano de proksimaj alirpunktoj anstataŭ per adreso, ĉar la operaciumo transdonas iliajn identigilojn al serĉservo, kiu jam mapas ilin al lokoj. Malŝalti la radion forigas tiun enigon; alia elira lando ne.

Se vi luigas la servilon, la provizanto vidas la ŝablonon

Funkciigi la tunelon sur luigita kazo movas la observadon anstataŭ forigi ĝin. La gastigprovizanto vidas la fonton kaj celon de la ekstera fluo, ĉar ĝi devas enkursigi ĝin, kaj la finpunkta adreso identigas la servon. La utilaĵo restas nelegebla, sed gastiganto, kiu parolas kun unu samtavolano kaj kun nenio alia, ne estas malfacile klasifikebla. Nenio en tiu priskribo postulas rompi ĉifron.

Ŝablono ne estas enhavo. Se la zorgo estas la registroj de la provizanto, la respondo estas provizanto kun deklarita politiko kaj jurisdikcio, kiun vi akceptas, ne alia ĉifro. Pli forta ĉifro ŝanĝas nenion pri tio, kiel la fluo aspektas de ekstere.

Dividita tunelado decidas, kiu vidas viajn demandojn

Kun labora tunelo, kion la administranto povas observi dependas de la vojoj, kiujn la kliento instalas. Se nur la korporaciaj prefiksoj estas en la tunelo, la enirejo registras ĝuste tiun parton de via trafiko kaj nenion alian. Sen dividita tunelado ĉiu pako trapasas la dunganton, inkluzive de domajnaj serĉoj, kiam ilia solvilo estas puŝata al la kliento. Tiu diferenco decidas, kiujn el viaj kutimoj la dunganto entute povas observi.

Kontrolu la enkursigan tabelon anstataŭ supozi, kaj notu, kiu respondas serĉon pri publika nomo. Post kiam ilia solvilo respondas viajn serĉojn, ili tenas la demandon eĉ kiam la paĝo estas akirita aliloke.

Kontrolu ambaŭ vidpunktojn antaŭ ol kredi iun ajn

Petu duan aparaton sur la sama segmento solvi vian gastigantnomon kaj presi sian najbartabelon, poste observu de ekstere, kiun adreson servo raportas. Tiuj du respondoj priskribas malsamajn tavolojn, kaj neniu unuopa testo «kaŝita aŭ ne» kovras ambaŭ.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Ŝanĝu unu tavolon samtempe, kiam vi testas. Malŝaltu la malkovran protokolon kaj la segmento perdas tiun vidpunkton dum la tunelo restas netuŝita; ŝanĝu la eliran landon kaj la registro de retejo ŝanĝiĝas dum la segmento ne.