Paigaldasid VPN-i? Kohalik võrk näeb seadet endiselt

Tunneli püsti panemine ei pane kohalikku võrku masinat unustama, kuigi see on tavaline oletus. Naabritabelid, liisingud ja kohalikud nimekirjed räägivad teisiti. Tunnel muudab seda, kust sinu paketid väljuvad; see ei muuda seda, mida sinu naabrid näha saavad.

Kaks vaadet tuleb üle kontrollida. Kumbki neist ei ole peidetud-või-mitte test, mida enamik inimesi esimesena teeb.

Sinu naabrid tunnevad masinat endiselt

Kohalik aadress, riistvara aadress ja enamikus võrkudes liisitud hostinimi jäävad masina külge, kuni see on ühendatud. Ruuter loetleb neid ja lamedal segmendil võivad ka teised hostid neid teada saada. Naabrite avastamine, aadresside määramine ja kohalik nimelahendus toimuvad segmendis, mitte tunneli sees, mistõttu VPN neid ei suru maha. Sinu liiklust kandvad kaadrid on krüpteeritud otsast otsani, samas kui liising ja naabrikirje ei olnud kunagi selle vestluse osa.

See, mida tunnel varjab, on sihtkohtade nimekiri. Sinu ruuter näeb ühte krüpteeritud voogu ühe lõpp-punkti poole mitme saidi asemel, kuigi maht, ajastus ja lõpp-punkti maine kirjeldavad endiselt üsna palju.

Väljundaadress on vaid üks identiteet

Väide, et VPN peidab seadme kohalikus võrgus, peab paika ühes kitsas mõttes: kaugvaatleja ei saa enam sinu avalikku aadressi teada. See ei ütle midagi juurdepääsupunkti kohta, millega oled ühendatud, mis teab endiselt riistvara aadressi, millega ta räägib. Kahe vaatluse käsitlemine ühe küsimusena on viis, kuidas inimesed jõuavad järeldusele, et tunnel ebaõnnestus, kui see tegi täpselt seda, mida tunnel teeb. Eralda need ja iga tulemus muutub iseseisvalt tõlgendatavaks.

Asukohal on teine kanal, mis ei puuduta kunagi aadressi. Brauseri geolokatsioonile saab vastata lähedal asuvate juurdepääsupunktide skaneerimisest, mitte aadressist, sest operatsioonisüsteem annab nende identifikaatorid otsinguteenusele, mis juba seob need kohtadega. Raadio väljalülitamine eemaldab selle sisendi; teine väljundriik seda ei tee.

Kui rendid serverit, näeb teenusepakkuja mustrit

Tunneli käitamine renditud instantsil liigutab vaatlust, mitte ei eemalda seda. Hostinguteenuse pakkuja näeb välisvoo allikat ja sihtkohta, sest ta peab seda marsruutima, ja lõpp-punkti aadress identifitseerib teenuse. Kasulik koormus jääb loetamatuks, kuid hosti, kes räägib ühe partneriga ja mitte millegi muuga, ei ole raske liigitada. Miski selles kirjelduses ei nõua šifri murdmist.

Muster ei ole sisu. Kui mure on teenusepakkuja kirjed, on vastuseks deklareeritud poliitika ja sinu poolt aktsepteeritud jurisdiktsiooniga pakkuja, mitte teine šiffer. Tugevam šiffer ei muuda midagi selles, kuidas voog väljast vaadates paistab.

Jaotatud tunnel otsustab, kes sinu päringuid näeb

Töötunneli puhul sõltub see, mida administraator näha saab, klientrakenduse paigaldatud marsruutidest. Kui tunnelis on ainult ettevõtte prefiksid, salvestab lüüs täpselt selle osa sinu liiklusest ja mitte midagi muud. Ilma jaotatud tunnelita läbib iga pakett tööandja, sealhulgas domeenipäringud, kui nende resolver lükatakse kliendile. See erinevus otsustab, milliseid sinu harjumusi tööandja üldse näha saab.

Kontrolli marsruutimistabelit selle asemel, et oletada, ja pane tähele, kes vastab avaliku nime päringule. Kui nende resolver on sinu päringutele vastanud, hoiavad nad päringut ka siis, kui leht tuuakse mujalt.

Kontrolli mõlemat vaadet enne, kui kummasti usud

Palu teisel seadmel samas segmendis sinu hostinimi lahendada ja oma naabritabel välja trükkida, seejärel vaatle väljast, millist aadressi teenus teatab. Need kaks vastust kirjeldavad erinevaid kihte ja ükski peidetud-või-mitte test ei kata mõlemat.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Testides muuda korraga ühte kihti. Lülita avastusprotokoll välja ja segment kaotab selle vaate, samal ajal kui tunnel jääb puutumata; vaheta väljundriiki ja veebisaidi kirje muutub, samal ajal kui segment ei muutu.