Telepítettél VPN-t? A helyi hálózat továbbra is látja az eszközt

Az alagút felállítása nem feledteti el a helyi hálózattal a gépet, pedig ez a szokásos feltételezés. A szomszédtáblák, a bérletek és a helyi névbejegyzések mást mondanak. Az alagút megváltoztatja, honnan lépnek ki a csomagjaid; azt nem változtatja meg, mit látnak a szomszédjaid.

Két nézetet kell ellenőrizni. Egyik sem az a rejtett-e vagy nem teszt, amelyet a legtöbb ember először futtat.

A szomszédjaid továbbra is ismerik a gépet

Egy helyi cím, egy hardvercím és a legtöbb hálózatban egy bérelt gépnév is a géphez kapcsolódik, amíg az csatlakoztatva van. Az útválasztó listázza őket, és egy lapos szegmensen más gazdagépek is megtanulhatják őket. A szomszédfelderítés, a címkiosztás és a helyi névfeloldás a szegmensen történik, nem az alagúton belül, ezért a VPN nem nyomja el őket. A forgalmadat szállító keretek végponttól végpontig titkosítottak, míg a bérlet és a szomszédbejegyzés soha nem volt része annak a beszélgetésnek.

Amit az alagút elrejt, az a célállomások listája. Az útválasztód egyetlen titkosított folyamot lát egyetlen végpont felé több webhely helyett, bár a mennyiség, az időzítés és a végpont hírneve még mindig sokat elárul.

A kimeneti cím csak egyetlen identitás

Az az állítás, hogy a VPN elrejti az eszközt egy helyi hálózaton, szűk értelemben igaz: egy távoli megfigyelő már nem tudja meg a nyilvános címedet. Ez semmit sem mond arról a hozzáférési pontról, amelyhez csatlakozol, és amely még mindig ismeri a hardvercímet, amellyel beszél. A két megfigyelés egyetlen kérdésként kezelése az az út, amelyen az emberek arra jutnak, hogy egy alagút kudarcot vallott, amikor pontosan azt tette, amit egy alagút tesz. Válaszd szét őket, és minden eredmény önmagában értelmezhetővé válik.

A helyzetnek van egy második csatornája, amely soha nem érint címet. A böngésző földrajzi helyzete megválaszolható a közeli hozzáférési pontok vizsgálatából is, nem csak címből, mert az operációs rendszer átadja azok azonosítóit egy keresőszolgáltatásnak, amely már helyekhez rendeli őket. A rádió kikapcsolása eltávolítja ezt a bemenetet; egy másik kimeneti ország nem.

Ha bérelt szervert használsz, a szolgáltatód látja a mintázatot

Az alagút bérelt példányon futtatása elmozdítja a megfigyelést ahelyett, hogy megszüntetné. A tárhelyszolgáltató látja a külső folyam forrását és célját, mert neki kell irányítania, és a végpont címe azonosítja a szolgáltatást. A hasznos teher olvashatatlan marad, de egy gazdagépet, amely egyetlen partnerrel és semmi mással beszél, nem nehéz besorolni. Semmi ebben a leírásban nem igényli egy titkosítás feltörését.

A mintázat nem tartalom. Ha a szolgáltató nyilvántartása a gond, a válasz egy nyilatkozattal és általad elfogadott joghatósággal rendelkező szolgáltató, nem egy másik titkosítás. Egy erősebb titkosítás semmit sem változtat azon, hogyan néz ki a folyam kívülről.

A megosztott alagút dönti el, ki látja a lekérdezéseidet

Egy munkaalagútnál az, hogy a rendszergazda mit figyelhet meg, a kliens által telepített útvonalaktól függ. Ha csak a vállalati előtagok vannak az alagútban, az átjáró pontosan a forgalmadnak azt a szeletét rögzíti, és semmi mást. Megosztott alagút nélkül minden csomag a munkáltatón keresztül megy, beleértve a tartománykereséseket is, amikor a feloldójukat a klienshez tolják. Ez a különbség dönti el, hogy a szokásaid közül melyeket figyelheti meg egyáltalán a munkáltató.

Ellenőrizd az útválasztási táblát ahelyett, hogy feltételeznéd, és figyeld meg, ki válaszol egy nyilvános névre vonatkozó lekérdezésre. Amint a feloldójuk válaszol a lekérdezéseidre, megtartják a kérdést akkor is, ha az oldalt máshol töltik le.

Mindkét nézetet ellenőrizd, mielőtt bármelyiknek hiszel

Kérj meg egy második eszközt ugyanazon a szegmensen, hogy oldja fel a gépnevedet és nyomtassa ki a szomszédtábláját, majd figyeld meg kívülről, milyen címet jelent egy szolgáltatás. Ez a két válasz különböző rétegeket ír le, és egyetlen rejtett-e vagy nem teszt sem fedi le mindkettőt.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Teszteléskor egyszerre egy réteget változtass. Kapcsold ki a felderítési protokollt, és a szegmens elveszíti ezt a nézetet, miközben az alagút érintetlen marad; válts kimeneti országot, és egy webhely bejegyzése megváltozik, miközben a szegmens nem.