Vous avez installé un VPN ? Votre réseau local voit toujours l’appareil

Monter un tunnel ne fait pas oublier la machine au réseau local, même si c’est l’hypothèse habituelle. Les tables de voisins, les baux et les enregistrements de noms locaux disent autre chose. Le tunnel change par où sortent vos paquets ; il ne change pas ce que vos voisins peuvent voir.

Deux perspectives sont à vérifier. Aucune n’est le test « caché ou non » que la plupart des gens font en premier.

Vos voisins connaissent toujours la machine

Une adresse locale, une adresse matérielle et, dans la plupart des réseaux, un nom d’hôte loué restent attachés à la machine tant qu’elle est connectée. Un routeur les énumère, et sur un segment plat d’autres hôtes peuvent aussi les apprendre. La découverte de voisins, l’attribution d’adresses et la résolution de noms locale se déroulent sur le segment et non dans le tunnel, ce qui explique qu’un VPN ne les supprime pas. Les trames qui transportent votre trafic sont chiffrées de bout en bout, alors que le bail et l’entrée de voisin n’ont jamais fait partie de cette conversation.

Ce que le tunnel cache, c’est la liste des destinations. Votre routeur voit un seul flux chiffré vers un point de sortie unique au lieu d’une série de sites, même si le volume, le moment et la réputation du point de sortie décrivent encore beaucoup de choses.

L’adresse de sortie n’est qu’une identité

L’affirmation qu’un VPN cache un appareil sur un réseau local est vraie dans un sens étroit : un observateur distant n’apprend plus votre adresse publique. Cela ne dit rien du point d’accès auquel vous êtes rattaché, qui connaît toujours l’adresse matérielle à laquelle il parle. Traiter les deux observations comme une seule question, c’est ainsi que les gens concluent qu’un tunnel a échoué alors qu’il a fait exactement ce qu’un tunnel fait. Séparez-les et chaque résultat devient interprétable pour lui-même.

La localisation a un second canal qui ne touche jamais une adresse. La géolocalisation du navigateur peut être répondue à partir d’une analyse des points d’accès proches plutôt que d’une adresse, parce que le système d’exploitation remet leurs identifiants à un service de recherche qui les associe déjà à des lieux. Débrancher la radio supprime cette entrée ; un autre pays de sortie non.

Si vous louez le serveur, le fournisseur voit le motif

Faire tourner le tunnel sur une instance louée déplace l’observation au lieu de la supprimer. L’hébergeur voit la source et la destination du flux extérieur parce qu’il doit le router, et l’adresse du point de sortie identifie le service. La charge utile reste illisible, mais un hôte qui parle à un seul pair et à rien d’autre n’est pas difficile à classer. Rien dans cette description n’exige de casser un chiffrement.

Un motif n’est pas un contenu. Si l’inquiétude porte sur les journaux du fournisseur, la réponse est un fournisseur avec une politique affichée et une juridiction que vous acceptez, pas un autre chiffrement. Un chiffrement plus fort ne change rien à l’allure du flux vu de l’extérieur.

Le tunneling divisé décide qui voit vos requêtes

Avec un tunnel d’entreprise, ce que l’administrateur peut observer dépend des routes que le client installe. Si seuls les préfixes de l’entreprise sont dans le tunnel, la passerelle enregistre exactement cette part de votre trafic et rien d’autre. Sans tunneling divisé, chaque paquet passe par l’employeur, y compris les requêtes de domaine lorsque son résolveur est poussé vers le client. Cette différence décide lesquelles de vos habitudes l’employeur peut observer.

Consultez la table de routage au lieu de supposer, et notez qui répond à une requête pour un nom public. Une fois que leur résolveur répond à vos requêtes, ils détiennent la requête même lorsque la page est récupérée ailleurs.

Vérifiez les deux perspectives avant d’en croire une

Demandez à un second appareil du même segment de résoudre votre nom d’hôte et d’imprimer sa table de voisins, puis observez de l’extérieur quelle adresse un service rapporte. Ces deux réponses décrivent des couches différentes, et aucun test « caché ou non » unique ne couvre les deux.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Changez une couche à la fois lorsque vous testez. Coupez le protocole de découverte et le segment perd cette vue tandis que le tunnel reste intact ; changez de pays de sortie et l’enregistrement d’un site change tandis que le segment non.