તમારા VPN દ્વારા સ્થાનિક નેટવર્ક હજુ પણ શું જુએ છે

જ્યારે કોઈ પૂછે કે VPN તેનું ટ્રાફિક છુપાવે છે કે નહીં, ત્યારે ત્રણ નિરીક્ષકો એક જ પ્રશ્નમાં ભળી જાય છે: જે નેટવર્ક સાથે તે જોડાયેલો છે, તેના હાથમાંનું મશીન, અને ટનલનો ઓપરેટર. દરેક અલગ વસ્તુ શીખે છે, અને ટનલ એ દૃશ્યોમાંથી દરેકને અલગ રીતે બદલે છે. વિરુદ્ધ દિશામાં કામ કરવું અને જે દાવો કરવામાં આવે છે તેનાથી શરૂ કરવું ઉપયોગી છે, કારણ કે દાવો એ જ વસ્તુ છે જેને તપાસમાં ટકી રહેવું પડે છે. તમને કયો દાવો જોઈએ છે તે નક્કી કરો, પછી તેની સાથે સાધનોની સરખામણી કરો.

પ્રથમ દાવો: કોઈ ટ્રાફિક વાંચી શકતું નથી

સૌથી સાંકડા દાવાથી શરૂ કરો: પેલોડ વાંચી ન શકાય તેવું રહે છે. માર્ગ પરનો નિષ્ક્રિય નિરીક્ષક TLS સત્રની અંદર જોઈ શકતો નથી, તેથી ટનલ પહેલેથી HTTPS વાપરતી સાઇટમાં થોડું જ ઉમેરે છે અને બે છેડાઓ સામે કંઈ જ ઉમેરતું નથી. આ દાવો જે તોડે છે તે ઉપકરણને નિયંત્રિત કરનાર છે, કારણ કે નિરીક્ષણ પ્રોક્સી જોડાણ સમાપ્ત કરે છે અને મશીન પહેલેથી જ વિશ્વાસ કરે તેવા મૂળ સાથે તેને ફરી સહી કરે છે. તેથી પ્રમાણપત્ર શૃંખલા મૂળ સ્થાપિત કરનાર સંસ્થાનું નામ ધરાવે ત્યારે પણ તાળું હજુ દેખાય છે.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS પર તે પાઇપલાઇન મશીનના કીહારમાંના દરેક પ્રમાણપત્ર માટે એક વિષય-લીટી છાપે છે, કોઈ વિન્ડો ખોલ્યા વિના, અને Windows પર certutil -store Root તે જ સ્ટોરની યાદી આપે છે જે certlm.msc ગ્રાફિકલી બતાવે છે. શાળા, નોકરીદાતા કે નેટવર્ક સુરક્ષા ઉત્પાદનનું મૂળ એ જ એન્ટ્રી છે જે શોધવી જોઈએ. એક મળવું ફક્ત એ સાબિત કરે છે કે અટકાવ શક્ય છે, એ નહીં કે તે થઈ રહ્યો છે.

તમે તેના વિશે શું કરી શકો તે નીતિનો પ્રશ્ન છે, ટેકનિકનો નહીં. જે હાર્ડવેર તમારું નથી તેમાંથી પ્રોફાઇલ કે નિરીક્ષણ મૂળ દૂર કરવું સામાન્ય રીતે સ્વીકાર્ય ઉપયોગના કરારનો ભંગ કરે છે, અને મેનેજમેન્ટ સિસ્ટમ સામાન્ય રીતે તે ધ્યાનમાં લઈને ફરી લાગુ કરે છે, તેથી ઉપકરણના માલિકે તમારું ટ્રાફિક ન વાંચવું જોઈએ એવી આવશ્યકતા માટે બીજું ઉપકરણ જોઈએ, બીજું સેટિંગ નહીં.

બીજો દાવો: કોઈ જોઈ શકતું નથી કે તમે ક્યાં જાઓ છો

ગંતવ્ય વધુ અઘરો દાવો છે, કારણ કે પૃષ્ઠ લોડ થાય તે પહેલાં બે જાહેરાતો થાય છે. ક્વેરી તે રિઝોલ્વર પર જાય છે જેનો ઉપયોગ કરવા સિસ્ટમ ગોઠવેલી છે, અને જવાબ તેને વહન કરતા નેટવર્કને દેખાય છે. પછી TLS હેન્ડશેક માંગેલા સર્વરનું નામ ખુલ્લું વહન કરે છે, સિવાય કે બંને છેડે Encrypted Client Hello સમર્થિત હોય. બંનેમાંથી કોઈ પણ જાહેરાતમાં ડિક્રિપ્શન સામેલ નથી, તેથી ટનલની બંને પર કોઈ અસર નથી.

resolvectl status | grep -A2 "Link"
nslookup example.com

ખરેખર કયો રિઝોલ્વર વપરાય છે તે બહેકાવ નક્કી કરે છે, અને તે ચર્ચા કરવાને બદલે માપી શકાય છે. Linux પર resolvectl status દરેક લિંક માટે DNS સર્વર છાપે છે, અને તેનું આઉટપુટ તમને કહે છે કે સાઇટનો રિઝોલ્વર જવાબ આપે છે કે દબાણ કરેલો. Windows એ જ પ્રશ્નનો જવાબ nslookup example.com થી આપે છે, જેનું પ્રથમ આઉટપુટ બ્લોક જવાબ આપનાર DNS સર્વર છે.

જ્યારે લેપટોપ ટનલ ઉપર આવે તે પહેલાં સાઇટના રિઝોલ્વરને પૂછે છે, અથવા પ્રોફાઇલ કોઈ બદલી સર્વર વિના આવે છે તેથી જૂનો વપરાશમાં રહે છે, ત્યારે પણ વ્યવસ્થાપક કંઈ ડિક્રિપ્ટ કર્યા વિના હોસ્ટનામ એકઠાં કરે છે. બ્રાઉઝરમાં એન્ક્રિપ્ટેડ DNS કાં તો દબાણ કરેલા રિઝોલ્વરને બાજુ પર કરે છે અથવા સંપૂર્ણપણે બ્લોક થઈને બંધ રીતે નિષ્ફળ જાય છે. એક્ઝિટ ઓપરેટર તેના તરફથી એ જ નામો જુએ છે. તેથી રિઝોલ્વર બદલવાથી એ જાહેરાત ટનલ પ્રદાતાથી દૂર ખસતી નથી.

ત્રીજો દાવો: કોઈ જાણતું નથી કે તમે જોડાયા

ત્રીજો દાવો એ છે જે ટનલ ટેકો આપી શકતી નથી, કારણ કે પેકેટ હજુ પણ સ્થાનિક નેટવર્ક પાર કરે છે. તે નેટવર્ક અંતિમ બિંદુનું સરનામું, અંદાજિત વોલ્યુમ, સમય અને એક લાંબા સમયના એન્ક્રિપ્ટેડ સત્રના અસ્તિત્વને જાણે છે, જે બ્લોક કરવા, મર્યાદિત કરવા કે ફક્ત ધ્યાનમાં લેવા માટે પૂરતું છે. જે ફાયરવોલ પેકેટ વાંચી શકતો નથી તે પણ તેને પસાર થવા દેવાનો ઇનકાર કરી શકે છે. નજરમાં રહેવું એ કોઈ નજર ન કરે તેના જેવું નથી: તમે નિરીક્ષકને ખસેડ્યો, ભૂંસ્યો નહીં.

સ્પ્લિટ ટનલિંગ અને દબાણ કરેલા માર્ગને અવગણતી કોઈ પણ એપ્લિકેશન ટનલની બહાર એવા પ્રવાહો ઉત્પન્ન કરે છે જે પહેલાં જેવા જ દેખાય છે. સાવધ નિરીક્ષક સૌ પ્રથમ એ પ્રવાહો જ ધ્યાનમાં લે છે, અને ક્લાયન્ટનું રૂટ કોષ્ટક બતાવે છે કે કયાં ગંતવ્યો બાકાત છે.

બીજા છેડેનો ઓપરેટર એ દૃશ્યની અરીસાની પ્રતિકૃતિ ધરાવે છે: એક્ઝિટ સરનામું, સમય, વોલ્યુમ અને સામાન્ય રીતે સાઇટના નામો. તમારો પ્રદાતા દૃષ્ટિ-બિંદુ ધરાવતો પક્ષ બને છે, જે અદૃશ્યતા કરતાં અલગ સોદો છે. વિશ્વાસપાત્ર પ્રદાતા પસંદ કરવો એ સાચો નિર્ણય છે; પરિણામને અનિરીક્ષિત કહેવું નથી.

તમને કયો દાવો જોઈએ તે નક્કી કરો

ક્લાયન્ટને અડકતા પહેલાં આવશ્યકતા એક લાઇનમાં લખો: સામગ્રી છુપાવો, ગંતવ્યો છુપાવો, અથવા તમે જોડાયા હતા કે નહીં તે છુપાવો. સામગ્રી HTTPS અને ટનલ પહેલેથી સંભાળે છે, જ્યારે ગંતવ્યો માટે એવું રિઝોલ્વર અને માર્ગ જોઈએ જે સાઇટના સાધનસામગ્રીને સંપૂર્ણપણે ટાળે.

ત્રીજી આવશ્યકતા એ અઘરી છે, કારણ કે ક્યાંક કંઈક હજુ દૃશ્યમાન રીતે જોડાયેલું છે, એન્ક્રિપ્ટેડ હોય કે ન હોય. કોઈ ક્લાયન્ટ સેટિંગ તેને બદલતું નથી. જો આવશ્યકતા અને નીતિ અલગ પડે, તો એ અંતર નીતિનો માલિક જેની પાસે છે તેની સાથેની વાતચીતનો વિષય છે, ક્લાયન્ટ વિકલ્પનો નહીં. જે વ્યક્તિ તેનો જવાબ આપી શકે તે જ નીતિ લખનાર છે.