Instalaches unha VPN? A túa rede local segue vendo o dispositivo

Levantar un túnel non fai que a rede local esqueza a máquina, aínda que esa é a suposición habitual. As táboas de veciños, os arrendamentos e os rexistros de nomes locais din outra cousa. O túnel cambia por onde saen os teus paquetes; non cambia o que poden ver os teus veciños.

Hai que comprobar dúas perspectivas. Ningunha delas é a proba de oculto ou non que case todo o mundo fai primeiro.

Os teus veciños seguen coñecendo a máquina

Un enderezo local, un enderezo de hardware e, na maioría das redes, un nome de host arrendado seguen ligados á máquina mentres está conectada. Un encamiñador enuméraos, e nun segmento plano outros hosts tamén poden aprendelos. O descubrimento de veciños, a asignación de enderezos e a resolución de nomes local ocorren no segmento e non dentro do túnel, por iso unha VPN non os suprime. As tramas que levan o teu tráfico van cifradas de extremo a extremo, mentres que o arrendamento e a entrada de veciño nunca formaron parte desa conversa.

O que o túnel oculta é a lista de destinos. O teu encamiñador ve un único fluxo cifrado cara a un só extremo en lugar dunha serie de sitios, aínda que o volume, o momento e a reputación do extremo aínda describen bastante.

O enderezo de saída é só unha identidade

A afirmación de que unha VPN oculta un dispositivo nunha rede local é certa nun sentido estreito: un observador remoto xa non coñece o teu enderezo público. Iso non di nada sobre o punto de acceso ao que estás conectado, que segue coñecendo o enderezo de hardware co que fala. Tratar as dúas observacións como unha soa pregunta é como a xente conclúe que un túnel fallou cando fixo exactamente o que fai un túnel. Sepáraas e cada resultado vólvese interpretable por si mesmo.

A localización ten unha segunda canle que nunca toca un enderezo. A xeolocalización do navegador pode responderse a partir dun escaneo de puntos de acceso próximos en lugar dun enderezo, porque o sistema operativo entrega os seus identificadores a un servizo de consulta que xa os asigna a lugares. Desconectar a radio elimina esa entrada; un país de saída distinto non.

Se alugas o servidor, o provedor ve o patrón

Executar o túnel nunha instancia alugada move a observación en vez de eliminala. O provedor de aloxamento ve a orixe e o destino do fluxo exterior porque ten que encaminalo, e o enderezo do extremo identifica o servizo. A carga útil segue sendo ilexible, pero un host que fala cun só par e con nada máis non é difícil de clasificar. Nada nesa descrición esixe romper un cifrado.

Un patrón non é contido. Se a preocupación son os rexistros do provedor, a resposta é un provedor cunha política declarada e unha xurisdición que aceptes, non un cifrado distinto. Un cifrado máis forte non cambia nada en como se ve o fluxo desde fóra.

O túnel dividido decide quen ve as túas consultas

Cun túnel de traballo, o que o administrador pode observar depende das rutas que instala o cliente. Co só os prefixos corporativos no túnel, a pasarela rexistra exactamente esa porción do teu tráfico e nada máis. Sen túnel dividido cada paquete pasa polo empregador, incluídas as consultas de dominio cando o seu resolutor se empurra ao cliente. Esa diferenza decide cales dos teus hábitos pode observar o empregador.

Revisa a táboa de encamiñamento en lugar de supoñer, e fíxate en quen responde a unha consulta dun nome público. Unha vez que o seu resolutor responde as túas consultas, reteñen a consulta mesmo cando a páxina se descarga noutro sitio.

Comproba as dúas vistas antes de crer ningunha

Pide a un segundo dispositivo do mesmo segmento que resolva o teu nome de host e imprima a súa táboa de veciños, e logo observa desde fóra que enderezo informa un servizo. Esas dúas respostas describen capas distintas, e ningunha proba única de oculto ou non cobre ambas.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Cambia unha capa de cada vez cando probas. Apaga o protocolo de descubrimento e o segmento perde esa vista mentres o túnel queda intacto; cambia o país de saída e o rexistro dun sitio web cambia mentres o segmento non.