Asensitko VPN:n? Lähiverkkosi näkee laitteen yhä

Tunnelin pystyttäminen ei saa lähiverkkoa unohtamaan konetta, vaikka se on tavallinen oletus. Naapurustotaulut, vuokraukset ja paikalliset nimimerkinnät kertovat toista. Tunneli muuttaa sitä, mistä pakettisi lähtevät; se ei muuta sitä, mitä naapurisi voivat nähdä.

Kaksi näkymää on tarkistettava. Kumpikaan niistä ei ole piilossa-vai-ei-testi, jonka useimmat tekevät ensin.

Naapurisi tuntevat koneen yhä

Paikallinen osoite, laiteosoite ja useimmissa verkoissa vuokrattu isäntänimi pysyvät koneeseen liitettyinä, kun se on yhdistettynä. Reititin luettelee ne, ja litteässä segmentissä myös muut isännät voivat oppia ne. Naapurien löytäminen, osoitteiden jakaminen ja paikallinen nimien selvitys tapahtuvat segmentissä eikä tunnelin sisällä, minkä vuoksi VPN ei tukahduta niitä. Liikennettäsi kuljettavat kehykset on salattu päästä päähän, kun taas vuokraus ja naapurimerkintä eivät koskaan olleet osa sitä keskustelua.

Sen, mitä tunneli kätkee, on kohdeluettelo. Reitittimesi näkee yhden salatun virran yhteen päätepisteeseen useiden sivustojen sijaan, vaikka volyymi, ajoitus ja päätepisteen maine kertovat yhä melko paljon.

Lähtöosoite on vain yksi identiteetti

Väite, että VPN kätkee laitteen lähiverkossa, pitää paikkansa yhdessä kapeassa mielessä: etähavainnoija ei enää saa julkista osoitettasi tietoonsa. Se ei kerro mitään siitä liityntäpisteestä, johon olet kytketty, joka tietää yhä sen laiteosoitteen, jolle se puhuu. Kahden havainnon käsitteleminen yhtenä kysymyksenä on se tapa, jolla ihmiset päätyvät siihen, että tunneli epäonnistui, kun se teki täsmälleen sen, mitä tunneli tekee. Erottele ne, niin jokainen tulos on itsessään tulkittavissa.

Sijainnilla on toinen kanava, joka ei koskaan kosketa osoitetta. Selaimen geopaikannus voidaan vastata lähellä olevien liityntäpisteiden skannauksesta osoitteen sijaan, koska käyttöjärjestelmä antaa niiden tunnisteet hakupalvelulle, joka jo yhdistää ne paikkoihin. Radion irrottaminen poistaa sen syötteen; eri lähtömaa ei tee sitä.

Jos vuokraat palvelimen, palveluntarjoaja näkee kuvion

Tunnelin ajaminen vuokratulla instanssilla siirtää havaintoa sen sijaan, että poistaisi sen. Hosting-palveluntarjoaja näkee ulomman virran lähteen ja kohteen, koska sen on reititettävä se, ja päätepisteen osoite tunnistaa palvelun. Hyötykuorma pysyy lukukelvottomana, mutta isäntää, joka puhuu yhdelle vastapuolelle eikä millekään muulle, ei ole vaikea luokitella. Mikään siinä kuvauksessa ei vaadi salauksen murtamista.

Kuvio ei ole sisältöä. Jos huoli on palveluntarjoajan tietueet, vastaus on palveluntarjoaja, jolla on ilmoitettu käytäntö ja hyväksymäsi lainkäyttövalta, ei toinen salaus. Vahvempi salaus ei muuta mitään siinä, miltä virta näyttää ulkopuolelta.

Jaettu tunneli päättää, kuka näkee kyselysi

Työtunnelissa se, mitä ylläpitäjä voi havainnoida, riippuu reiteistä, jotka asiakas asentaa. Jos tunnelissa on vain yrityksen etuliitteet, yhdyskäytävä tallentaa täsmälleen sen osan liikenteestäsi eikä mitään muuta. Ilman jaettua tunnelia jokainen paketti kulkee työnantajan kautta, mukaan lukien verkkotunnuskyselyt, kun niiden selvittäjä työnnetään asiakkaalle. Tämä ero päättää, mitä tapojasi työnantaja voi ylipäätään havainnoida.

Tarkista reititystaulu olettamisen sijaan ja pane merkille, kuka vastaa julkisen nimen kyselyyn. Kun heidän selvittäjänsä vastaa kyselyihisi, he pitävät kyselyn, vaikka sivu haettaisiin muualla.

Tarkista molemmat näkymät ennen kuin uskot kumpaakaan

Pyydä toista laitetta samassa segmentissä selvittämään isäntänimesi ja tulostamaan naapurustotaulunsa, ja tarkkaile sitten ulkopuolelta, minkä osoitteen palvelu ilmoittaa. Ne kaksi vastausta kuvaavat eri kerroksia, eikä mikään yksittäinen piilossa-vai-ei-testi kata molempia.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Muuta yhtä kerrosta kerrallaan, kun testaat. Kytke löytämisprotokolla pois ja segmentti menettää sen näkymän, kun taas tunneli pysyy koskemattomana; vaihda lähtömaata ja verkkosivun tietue muuttuu, kun taas segmentti ei.