आपके VPN के ज़रिए स्थानीय नेटवर्क अब भी क्या देखता है

जब भी कोई पूछता है कि क्या VPN उसका ट्रैफ़िक छिपाता है, तीन पर्यवेक्षक एक ही सवाल में मिल जाते हैं: जिस नेटवर्क से वह जुड़ा है, उसके हाथ में का यंत्र, और सुरंग का ऑपरेटर। हर कोई कुछ अलग सीखता है, और सुरंग उनमें से हर नज़रिए को अलग ढंग से बदल देती है। उलटी दिशा में काम करना और जो दावा किया जा रहा है उसी से शुरू करना मदद करता है, क्योंकि दावा ही वह चीज़ है जिसे जाँच का सामना करना होता है। तय करें कि आपको कौन-सा दावा चाहिए, फिर उससे औज़ारों की तुलना करें।

दावा एक: कोई ट्रैफ़िक नहीं पढ़ सकता

सबसे सँकरे दावे से शुरू करें: पेलोड अपठनीय रहता है। रास्ते पर बैठा निष्क्रिय पर्यवेक्षक TLS सत्र के भीतर नहीं देख सकता, इसलिए सुरंग उस साइट में थोड़ा ही जोड़ती है जो पहले से HTTPS इस्तेमाल करती है, और दोनों सिरों के खिलाफ़ कुछ नहीं जोड़ती। यह दावा वह तोड़ता है जो यंत्र नियंत्रित करता है, क्योंकि एक निरीक्षण प्रॉक्सी कनेक्शन समाप्त करता है और उसे उस मूल से फिर से हस्ताक्षरित करता है जिस पर यंत्र पहले से भरोसा करता है। इसीलिए प्रमाणपत्र श्रृंखला में मूल स्थापित करने वाले संगठन का नाम होने पर भी ताला अब भी दिखता है।

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS पर वह पाइपलाइन यंत्र की कुंजीपुंज में हर प्रमाणपत्र के लिए एक विषय-पंक्ति छापती है, कोई विंडो खोले बिना, और Windows पर certutil -store Root उसी भंडार की सूची देता है जिसे certlm.msc ग्राफ़िक रूप से दिखाता है। किसी स्कूल, नियोक्ता या नेटवर्क सुरक्षा उत्पाद का मूल वही प्रविष्टि है जिसे खोजना चाहिए। एक मिलना केवल यह सिद्ध करता है कि अवरोधन संभव है, यह नहीं कि वह हो रहा है।

इसके बारे में आप क्या कर सकते हैं, यह नीति का सवाल है, तकनीक का नहीं। जो हार्डवेयर आपका नहीं है उससे प्रोफ़ाइल या निरीक्षण मूल हटाना आमतौर पर स्वीकार्य उपयोग के समझौते का उल्लंघन करता है, और प्रबंधन प्रणाली उसे अक्सर नोटिस करके फिर लागू कर देती है, इसलिए यह शर्त कि यंत्र का मालिक आपका ट्रैफ़िक न पढ़े, दूसरा यंत्र माँगती है, दूसरी सेटिंग नहीं।

दावा दो: कोई नहीं देख सकता कि आप कहाँ जाते हैं

गंतव्य कठिन दावा है, क्योंकि पृष्ठ लोड होने से पहले दो खुलासे होते हैं। क्वेरी उसी रिज़ॉल्वर पर जाती है जिसे इस्तेमाल करने के लिए सिस्टम कॉन्फ़िगर है, और उत्तर उसे ढोने वाले नेटवर्क को दिखता है। फिर TLS हैंडशेक माँगे गए सर्वर का नाम खुले रूप में ढोता है, जब तक दोनों सिरों पर Encrypted Client Hello समर्थित न हो। दोनों में से किसी खुलासे में डिक्रिप्शन शामिल नहीं है, इसलिए सुरंग का किसी पर भी कोई असर नहीं है।

resolvectl status | grep -A2 "Link"
nslookup example.com

कौन-सा रिज़ॉल्वर वास्तव में इस्तेमाल हो रहा है यही खुलासे की मात्रा तय करता है, और इसे बहस करने के बजाय मापा जा सकता है। Linux पर resolvectl status हर लिंक के लिए DNS सर्वर छापता है, और उसका आउटपुट बताता है कि साइट का रिज़ॉल्वर उत्तर दे रहा है या धकेला गया। Windows उसी सवाल का उत्तर nslookup example.com से देता है, जिसके आउटपुट का पहला ब्लॉक उत्तर देने वाला DNS सर्वर है।

जब लैपटॉप सुरंग उठने से पहले साइट के रिज़ॉल्वर से पूछता है, या प्रोफ़ाइल बिना किसी प्रतिस्थापन सर्वर के आता है जिससे पुराना इस्तेमाल में रहता है, तब भी प्रशासक कुछ भी डिक्रिप्ट किए बिना होस्टनाम इकट्ठा करता है। ब्राउज़र में एन्क्रिप्टेड DNS या तो धकेले गए रिज़ॉल्वर को बचा जाता है या पूरी तरह अवरुद्ध होकर बंद रूप में विफल होता है। एग्ज़िट ऑपरेटर अपनी तरफ़ से वही नाम देखता है। इसलिए रिज़ॉल्वर बदलने से वह खुलासा सुरंग प्रदाता से दूर नहीं होता।

दावा तीन: कोई नहीं जानता कि आप जुड़े

तीसरा दावा वह है जिसे सुरंग सहारा नहीं दे सकती, क्योंकि पैकेट अब भी स्थानीय नेटवर्क पार करते हैं। वह नेटवर्क अंतिम बिंदु का पता, अनुमानित मात्रा, समय और एक लंबे समय तक चलने वाले एन्क्रिप्टेड सत्र के अस्तित्व को जानता है, जो अवरुद्ध करने, सीमित करने या बस ध्यान देने के लिए पर्याप्त है। जो फ़ायरवॉल पैकेट नहीं पढ़ सकता वह भी उसे गुज़रने देने से इंकार कर सकता है। देखा जाना उसी बात के बराबर नहीं कि कोई देख ही न रहा हो: आपने पर्यवेक्षक को हटाया नहीं, स्थानांतरित किया।

स्प्लिट टनलिंग और धकेले गए रास्ते को अनदेखा करने वाला कोई भी अनुप्रयोग सुरंग के बाहर ऐसे प्रवाह बनाते हैं जो पहले जैसे ही दिखते हैं। सतर्क पर्यवेक्षक पहले इन्हीं प्रवाहों को नोटिस करता है, और क्लाइंट की रूट तालिका दिखाती है कि कौन-से गंतव्य बाहर रखे गए हैं।

दूसरे सिरे का ऑपरेटर उसी दृश्य की दर्पण छवि रखता है: एग्ज़िट पता, समय, मात्रा और आमतौर पर साइटों के नाम। आपका प्रदाता ही दृष्टिकोण वाला पक्ष बन जाता है, जो अदृश्यता से अलग सौदा है। भरोसेमंद प्रदाता चुनना असली निर्णय है; नतीजे को अनदेखा कहना नहीं।

तय करें कि आपको कौन-सा दावा चाहिए

किसी क्लाइंट को छूने से पहले आवश्यकता एक पंक्ति में लिखें: सामग्री छिपाएँ, गंतव्य छिपाएँ, या छिपाएँ कि आप जुड़े थे या नहीं। सामग्री HTTPS और सुरंग पहले ही संभालते हैं, जबकि गंतव्यों के लिए ऐसा रिज़ॉल्वर और रास्ता चाहिए जो साइट के उपकरणों को पूरी तरह बचा जाए।

तीसरी आवश्यकता वही असहज है, क्योंकि कहीं कुछ अब भी दिखाई देने वाले ढंग से जुड़ा है, एन्क्रिप्टेड हो या न हो। कोई क्लाइंट सेटिंग इसे नहीं बदलती। अगर आवश्यकता और नीति अलग-अलग खिंचें, तो वह अंतर नीति के मालिक के साथ बातचीत का विषय है, क्लाइंट विकल्प का नहीं। जो इसका जवाब दे सकता है वही नीति लिखने वाला है।