Instalirali ste VPN? Lokalna mreža i dalje vidi uređaj

Podizanje tunela ne čini da lokalna mreža zaboravi stroj, iako je to uobičajena pretpostavka. Tablice susjeda, zakupi i lokalni zapisi imena govore drugačije. Tunel mijenja gdje vaši paketi izlaze; ne mijenja ono što vaši susjedi mogu vidjeti.

Dva pogleda treba provjeriti. Nijedan od njih nije test „skriveno ili ne“ koji većina ljudi prvo radi.

Vaši susjedi i dalje poznaju stroj

Lokalna adresa, hardverska adresa i, u većini mreža, iznajmljeno ime hosta ostaju vezani uz stroj dok je povezan. Usmjerivač ih navodi, a na ravnom segmentu i drugi hostovi mogu ih naučiti. Otkrivanje susjeda, dodjela adresa i lokalno razrješavanje imena odvijaju se na segmentu, a ne unutar tunela, zato ih VPN ne potiskuje. Okviri koji nose vaš promet šifrirani su s kraja na kraj, dok zakup i unos susjeda nikada nisu bili dio tog razgovora.

Ono što tunel skriva jest popis odredišta. Vaš usmjerivač vidi jedan šifrirani tok prema jednoj krajnjoj točki umjesto niza stranica, premda obujam, vrijeme i reputacija krajnje točke još uvijek opisuju mnogo toga.

Izlazna adresa samo je jedan identitet

Tvrdnja da VPN skriva uređaj na lokalnoj mreži istinita je u jednom uskom smislu: udaljeni promatrač više ne saznaje vašu javnu adresu. To ne govori ništa o pristupnoj točki na koju ste priključeni, a ona još uvijek zna hardversku adresu s kojom razgovara. Tretiranje dvaju zapažanja kao jednog pitanja jest način na koji ljudi zaključe da je tunel zakazao kad je učinio upravo ono što tunel čini. Razdvojite ih i svaki rezultat postaje objašnjiv sam po sebi.

Lokacija ima drugi kanal koji nikada ne dira adresu. Geolokacija u pregledniku može se odgovoriti iz skeniranja obližnjih pristupnih točaka, a ne iz adrese, jer operacijski sustav predaje njihove identifikatore usluzi pretraživanja koja ih već povezuje s mjestima. Isključivanje radija uklanja taj unos; druga izlazna zemlja to ne čini.

Ako unajmite poslužitelj, pružatelj vidi obrazac

Pokretanje tunela na unajmljenoj instanci premješta zapažanje umjesto da ga ukloni. Hosting pružatelj vidi izvor i odredište vanjskog toka jer ga mora usmjeravati, a adresa krajnje točke identificira uslugu. Sadržaj ostaje nečitljiv, ali hosta koji razgovara s jednim partnerom i ni s čim drugim nije teško klasificirati. Ništa u tom opisu ne zahtijeva razbijanje šifre.

Obrazac nije sadržaj. Ako je briga pružateljeva evidencija, odgovor je pružatelj s objavljenom politikom i jurisdikcijom koju prihvaćate, a ne druga šifra. Jača šifra ne mijenja ništa u tome kako tok izgleda izvana.

Podijeljeno tuneliranje odlučuje tko vidi vaše upite

S poslovnim tunelom, ono što administrator može vidjeti ovisi o rutama koje klijent instalira. Ako su u tunelu samo korporativni prefiksi, pristupnik bilježi točno taj dio vašeg prometa i ništa drugo. Bez podijeljenog tuneliranja svaki paket prolazi kroz poslodavca, uključujući pretrage domena kada se njihov razrješivač gura na klijenta. Ta razlika odlučuje koje vaše navike poslodavac uopće može vidjeti.

Provjerite tablicu usmjeravanja umjesto da pretpostavljate i zabilježite tko odgovara na upit za javno ime. Kad njihov razrješivač odgovori na vaše upite, drže upit i kad se stranica dohvaća drugdje.

Provjerite oba pogleda prije nego povjerujete bilo kojemu

Zamolite drugi uređaj na istom segmentu da razriješi ime vašeg hosta i ispiše tablicu susjeda, pa izvana promatrajte koju adresu usluga prijavljuje. Ta dva odgovora opisuju različite slojeve i nijedan pojedinačni test „skriveno ili ne“ ne pokriva oba.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Mijenjajte jedan sloj po jedan kad testirate. Isključite protokol otkrivanja i segment gubi taj pogled dok tunel ostaje netaknut; promijenite izlaznu zemlju i zapis stranice se mijenja dok segment ne.