Votre VPN offre-t-il votre connexion ? Deux directions à vérifier

Deux personnes connectées au même fournisseur n’utilisent pas forcément la connexion domestique l’une de l’autre, car dans la disposition ordinaire, les deux appareils envoient leur trafic vers le point de terminaison du fournisseur et ne partagent que l’adresse de sortie. Un produit de partage de ressources peut fonctionner dans l’autre sens, votre machine fournissant un chemin pour le trafic de quelqu’un d’autre. La direction est toute la question, et elle se lit dans l’application qui est devant vous. Ce qui suit est l’ordre dans lequel poser les questions, et les preuves qu’il vaut la peine de conserver.

Deux directions, et une seule exige un consentement

Utiliser une sortie distante signifie que votre trafic sort par le fournisseur et que la destination voit l’adresse du fournisseur. Fournir une sortie signifie que le trafic de quelqu’un d’autre sort par votre connexion et que la destination voit la vôtre. Les deux sont appelés VPN, et ils imposent des obligations complètement différentes à celui qui exploite le client. Un produit peut faire le premier sans rien du second, et il peut faire les deux à la fois.

1. Sortie distante : votre application envoie son trafic vers le point de terminaison du fournisseur, et la destination enregistre l’adresse du fournisseur.
2. Sortie fournie : le trafic d’une autre personne passe par le composant de partage sur votre machine, sort par votre lien, et la destination enregistre votre adresse.

Le premier est un choix de confidentialité sur votre propre trafic. Le second est une décision sur celui de quelqu’un d’autre, et c’est pourquoi une adresse de sortie partagée est un problème de réputation, tandis qu’une connexion fournie est un problème d’origine du trafic. Ces deux préoccupations sont constamment confondues, et les séparer fait l’essentiel de l’analyse.

Lisez l’interrupteur de partage dans l’application installée

Ouvrez le produit réellement installé et cherchez dans ses réglages des mots comme partage, contribution, pair à pair ou accès communautaire. Notez s’il existe un interrupteur, s’il démarre activé et à quel niveau de compte il appartient, puis capturez le panneau avec la chaîne de version visible, car une réponse du support la demandera. Répétez la vérification après la prochaine mise à jour, car les valeurs par défaut changent entre versions. Un panneau sans aucun vocabulaire de partage est une constatation utile, même si elle n’est pas en soi une garantie.

Un fournisseur qui décrit le partage pair à pair pour un produit et exclut d’autres éditions vient de vous dire la distinction qu’un nom de marque cache. La FAQ du fournisseur d’un tel service sépare les produits contributeurs des éditions sans pair à pair, et c’est précisément le genre de différence qu’il vaut la peine de lire soi-même. Le statut de paiement n’est pas non plus une description technique, car un abonnement payant peut inclure un composant de partage alors que c’est l’offre gratuite qui n’en a pas.

Ce qui continue de tourner après la fermeture de la fenêtre

Un module de navigateur et un service installé séparément peuvent remplir des tâches différentes sous un même logo, alors fermez la fenêtre et vérifiez si un processus y survit. Un processus qui survit à l’onglet est la différence entre une fonction que vous avez activée et un composant qui travaille sans elle. Les deux peuvent être légitimes, et un seul est visible depuis l’onglet.

Le bloc ci-dessous concerne Windows. Il lit le processus, puis les sockets que ce processus possède, et l’identifiant de la première ligne est ce sur quoi filtrent les deux autres, alors remplacez-le au lieu de lancer trois vidages sans rapport. Lisez le chemin du processus et les connexions établies ensemble, car l’un ou l’autre seul prouve très peu.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Un relais n’est pas un partage de fichiers

Transmettre le trafic de quelqu’un d’autre est une autorisation différente de l’exposition de fichiers ou de services sur votre machine. La documentation de l’un ne décrit pas l’autre, et consentir à un tunnel n’est pas consentir à un partage de fichiers, même lorsqu’un seul installateur a configuré les deux. Gardez les deux questions séparées quand vous lisez une page de réglages.

L’absence de port à l’écoute n’est pas la preuve que rien n’est partagé, car un relais peut lancer des connexions sortantes et n’en accepter jamais d’entrante, et c’est exactement ainsi que les systèmes pair à pair évitent les ennuis avec le pare-feu. Regardez où vont les connexions plutôt que seulement ce qui écoute. Une connexion vers le point de terminaison du fournisseur ressemble à un client, tandis que plusieurs vers des adresses que vous ne pouvez pas expliquer méritent un examen plus attentif. Si le modèle reste flou après les réglages et la documentation, posez une question précise à l’opérateur ; sur un appareil professionnel ou un réseau géré, c’est l’administrateur qui décide, pas la personne qui tient l’ordinateur portable.

Notez ce que vous avez vu, puis vérifiez à nouveau

Écrivez la version, les états des réglages et les sockets que vous avez observés, avec des horodatages, car ce relevé transforme un soupçon en question à laquelle quelqu’un peut répondre. C’est aussi ce que vous voudrez si un avis d’abus arrive des mois plus tard, et une note dans une fenêtre de discussion n’est pas un relevé.

Le bloc ci-dessous concerne Linux ou macOS et répond aux mêmes questions que celui pour Windows. Exécutez-le aussi après une mise à jour, car la disposition des composants change entre versions et un nouveau processus auxiliaire se manque facilement. La liste des sockets nomme le processus propriétaire, et c’est ce qui rend les deux blocs comparables d’une version à l’autre.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Si une de vos adresses apparaît dans une plainte, rappelez-vous qu’une adresse IP n’identifie pas une personne à elle seule. Conservez l’avis, les horodatages et les réglages que vous avez relevés, puis suivez la procédure de signalement du fournisseur ou de l’administrateur. Cela n’écarte pas la plainte, et cela garde une adresse de sortie partagée distincte du trafic qui a réellement quitté votre propre connexion.