התקנתם VPN? הרשת המקומית עדיין רואה את המכשיר

העלאת מנהרה לא גורמת לרשת המקומית לשכוח את המחשב, אף שזו ההנחה המקובלת. טבלאות שכנים, חכירות ורישומי שמות מקומיים אומרים אחרת. המנהרה משנה מאיפה החבילות שלכם יוצאות; היא לא משנה מה השכנים שלכם יכולים לראות.

יש לבדוק שתי נקודות מבט. אף אחת מהן אינה מבחן „מוסתר או לא“ שרוב האנשים עושים קודם.

השכנים שלכם עדיין מכירים את המחשב

כתובת מקומית, כתובת חומרה וברשתות רוב גם שם מארח בחכירה נשארים קשורים למחשב כל עוד הוא מחובר. נתב מציג אותם, ובמקטע שטוח גם מארחים אחרים יכולים ללמוד אותם. גילוי שכנים, הקצאת כתובות ופתרון שמות מקומי מתרחשים במקטע ולא בתוך המנהרה, ולכן VPN לא מדכא אותם. המסגרות שנושאות את התעבורה שלכם מוצפנות מקצה לקצה, בעוד החכירה ורשומת השכן מעולם לא היו חלק מהשיחה הזו.

מה שהמנהרה מסתירה הוא רשימת היעדים. הנתב שלכם רואה זרימה מוצפנת אחת לנקודת קצה אחת במקום סדרה של אתרים, אם כי נפח, תזמון והמוניטין של נקודת הקצה עדיין מתארים לא מעט.

כתובת היציאה היא זהות אחת בלבד

הטענה ש-VPN מסתיר מכשיר ברשת מקומית נכונה במובן צר אחד: צופה מרוחק כבר לא לומד את הכתובת הציבורית שלכם. זה לא אומר דבר על נקודת הגישה שאליה אתם מחוברים, שעדיין מכירה את כתובת החומרה שאיתה היא מדברת. התייחסות לשתי התצפיות כשאלה אחת היא הדרך שבה אנשים מסיקים שמנהרה נכשלה כשהיא עשתה בדיוק את מה שמנהרה עושה. הפרידו ביניהן וכל תוצאה הופכת למובנת בפני עצמה.

למיקום יש ערוץ שני שלעולם אינו נוגע בכתובת. אפשר לענות על מיקום גיאוגרפי של הדפדפן מסריקה של נקודות גישה קרובות ולא מכתובת, מפני שמערכת ההפעלה מוסרת את המזהים שלהן לשירות חיפוש שכבר ממפה אותן למקומות. ניתוק הרדיו מסיר את הקלט הזה; מדינת יציאה אחרת לא.

אם תשכרו את השרת, הספק רואה את התבנית

הרצת המנהרה על מופע שכור מעבירה את התצפית במקום להסיר אותה. ספק האחסון רואה את המקור והיעד של הזרימה החיצונית כי עליו לנתב אותה, וכתובת נקודת הקצה מזהה את השירות. המטען נשאר בלתי קריא, אבל מארח שמדבר עם עמית אחד ולא עם דבר אחר אינו קשה לסיווג. שום דבר בתיאור הזה לא דורש שבירת צופן.

תבנית אינה תוכן. אם הדאגה היא הרשומות של הספק, התשובה היא ספק עם מדיניות מוצהרת וסמכות שיפוט שאתם מקבלים, לא צופן אחר. צופן חזק יותר לא משנה דבר במראה הזרימה מבחוץ.

מנהרה מפוצלת קובעת מי רואה את השאילתות שלכם

עם מנהרת עבודה, מה שהמנהל יכול לראות תלוי במסלולים שהלקוח מתקין. אם רק קידומות החברה נמצאות במנהרה, השער מתעד בדיוק את החלק הזה של התעבורה שלכם ושום דבר אחר. בלי מנהרה מפוצלת כל חבילה עוברת דרך המעסיק, כולל שאילתות דומיין כשהפותרן שלהם נדחף ללקוח. ההבדל הזה קובע אילו מההרגלים שלכם המעסיק יכול לראות בכלל.

בדקו את טבלת הניתוב במקום להניח, ושימו לב מי עונה לשאילתה על שם ציבורי. ברגע שהפותרן שלהם עונה לשאילתות שלכם, הם מחזיקים בשאילתה גם כשהדף נאסף במקום אחר.

בדקו את שתי נקודות המבט לפני שתאמינו לאחת

בקשו ממכשיר שני באותו מקטע לפתור את שם המארח שלכם ולהדפיס את טבלת השכנים שלו, ואז התבוננו מבחוץ איזו כתובת שירות מדווח. שתי התשובות האלה מתארות שכבות שונות, ואף מבחן „מוסתר או לא“ יחיד לא מכסה את שתיהן.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

שנו שכבה אחת בכל פעם כשאתם בודקים. כבו את פרוטוקול הגילוי והמקטע מאבד את התצוגה הזו בעוד המנהרה נשארת ללא שינוי; החליפו מדינת יציאה והרשומה של אתר משתנה בעוד המקטע לא.