Wa kin jo VPN-ferkear sjen? Fjouwer waarnimmers
It pleatslike netwurk, de VPN-operator, de wurkjouwer en de bestimming sjogge elk in oar stik. Fergelykje se foardat jo in tunnel fertrouwe foar privacy.
In tunnel feroaret wêr't jo ferkear waarnimber wurdt. Hy makket it net ûnwaarnimber, en de partij dy't sichtberens krijt is dejinge dêr't jo it ferkear troch liedt. Oft dy ruil de muoite wurdich is hinget ôf fan hokker hop jo net fertrouwe, dus de nuttige fergeliking is tusken de waarnimmers en net tusken merken.
Fjouwer partijen sitte op ien ferbining
Folgje in fersyk fan de laptop nei bûten en fjouwer posysjes ferskine: it tagongsnetwurk dêr't jo by oansletten binne, de VPN-útgong, it bedriuwsmilje as it apparaat beheard wurdt, en de bestimming sels. Elk ynnimt in oare plak yn it paad, dus elk sammelt in oare soarte bewiis. De tabel is it hiele argumint yn ien eachopslach.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lês de tabel fan de bedriging nei bûten. As de kafee-Wi-Fi de soarch is, is de earste rige wat feroaret; as de provider de soarch is, hawwe jo ien operator foar in oare ferruile en de twadde rige telt no mear. De rigen konkurrearje net; elk beskriuwt in oare posysje op itselde paad.
It tagongsnetwurk sjocht de tunnel noch altyd
Jo provider of it hotelnetwurk sjocht in ferbining nei in IP-adres, de oerdroegen bytes en de tiden dat se bewegen. It sjocht de siden yn de tunnel net, mits de namme-oplossing ek yn de tunnel reizget en de bestimming fia de útgong berikt wurdt en net direkt.
Twa lekken oerlibje faker as minsken ferwachtsje. DNS-fragen nei de pleatslike oplosser neame de siden noch altyd, en de servernamme yn in gewoane TLS-hânskod is lêsber op it paad, útsein as fersifere kliïntgroet brûkt wurdt. Gjin fan beide wurdt reparearre troch in klient te ynstallearjen; beide binne konfiguraasjefragen.
De VPN-operator, en de wurkjouwer der efter
In kommersjele provider stiet krekt dêr't jo provider stie: hy stjoert jo pakketten troch en kin alles lêze wat net apart fersifere is. In wachtwurd dat yn in gewoan HTTP-formulier typt wurdt, is by de útgong lêsber ek al wie de earste hop fersifere. De tunnel hat it fertrouwen ferpleatst, hy hat de bleatstelling net fuorthelle. Lês it logbelied fan de provider foardat jo oannimme dat de ruil eat ferbettere hat.
Op in beheard wurk-laptop is de organisaasje eigner fan it einpunt, dus apparaatbehear, DNS-logging en proxy-registers observearje it, itsij der in tunnel ferbûn is of net. In persoanlike VPN makket in beheard apparaat net privee, en op in protte netwurken is it in beliedsoertreding yn plak fan in privacymaatregel.
Ferkear fan oare apparaten yn jo hûs is net sichtber foar dy wurkjouwer, útsein as de wurk-laptop bewust as har poarte fungearret. Dat ûnderskied is wichtich as in húshâlding ien ferbining dielt en it slimste oannimt.
De bestimming, en de buorlju by de útgong
De side dy't jo besykje sjocht it útgongsadres, it akkount dêr't jo mei oanmeld binne, koekjes en browser-eigenskippen. In tunnel feroaret allinnich it earste punt, en oanmelde ferbynt it útgongsadres dochs wer mei jo.
Dielde tsjinsten foegje in subtiler risiko ta. As de provider klanten net fan elkoar isolearret, kin in masine dy't op in poarte harket berikber wêze foar oare klanten op deselde útgong. It standert blokkearjen fan ynkommend ferkear by de host-firewall dekt it grutste part fan dat risiko. It testen betsjut in twadde apparaat op deselde tsjinst oanslute en besykje in harkjende poarte te berikken.
Guon dingen feroarje nea: akkount-identifisearders, tracking op applikaasjenivo, en de wittenskip fan 'e telefoan sels dat er ferkear trochstjoert as jo de ferbining diele. In tunnel is in routingbeslissing, gjin feroaring fan identiteit.
Kies de waarnimmer dêr't jo jo foar ferstopje foardat jo in produkt kieze. As it it pleatslike netwurk is, helpt hast elke goed konfigurearre útgong. As it it eigen loggen fan de provider is, is it kontrakt part fan de beslissing. As it jo wurkjouwer is, sil gjin persoanlike tunnel it wurk dwaan.