Il tuo VPN regala la tua connessione? Due direzioni da verificare

Due persone connesse allo stesso fornitore non usano necessariamente la connessione domestica l’una dell’altra, perché nella disposizione abituale entrambi i dispositivi inviano il traffico al punto finale del fornitore e condividono solo l’indirizzo di uscita. Un prodotto di condivisione delle risorse può funzionare al contrario, con la tua macchina che offre un percorso per il traffico di qualcun altro. La direzione è tutta la questione, e si può rispondere dall’applicazione che hai davanti. Quello che segue è l’ordine in cui chiedere, e le prove che vale la pena conservare.

Due direzioni, e solo una richiede consenso

Usare un’uscita remota significa che il tuo traffico esce attraverso il fornitore e la destinazione vede l’indirizzo del fornitore. Offrire un’uscita significa che il traffico di qualcun altro esce attraverso la tua connessione e la destinazione vede il tuo. Entrambe si chiamano VPN, e impongono obblighi del tutto diversi a chi gestisce il client. Un prodotto può fare la prima senza nulla della seconda, e può fare entrambe insieme.

1. Uscita remota: la tua applicazione invia il suo traffico al punto finale del fornitore, e la destinazione registra l’indirizzo del fornitore.
2. Uscita offerta: il traffico di un’altra persona passa attraverso il componente di condivisione sulla tua macchina, esce dal tuo collegamento, e la destinazione registra il tuo indirizzo.

La prima è una scelta di privacy sul tuo traffico. La seconda è una decisione su quello di qualcun altro, per questo un indirizzo di uscita condiviso è un problema di reputazione, mentre una connessione offerta è un problema di origine del traffico. Queste due preoccupazioni vengono confuse di continuo, e separarle è la maggior parte dell’analisi.

Leggi l’interruttore di condivisione nell’app che hai installato

Apri il prodotto realmente installato e cerca nelle sue impostazioni parole come condivisione, contributo, peer-to-peer o accesso comunitario. Annota se esiste un interruttore, se parte attivo e a quale livello di account appartiene, poi cattura il pannello con la stringa di versione visibile, perché una risposta dell’assistenza la chiederà. Ripeti il controllo dopo il prossimo aggiornamento, perché i valori predefiniti cambiano tra versioni. Un pannello senza alcun linguaggio di condivisione è un risultato utile, anche se da solo non è una garanzia.

Un fornitore che descrive la condivisione peer-to-peer per un prodotto ed esclude altre edizioni ti ha appena detto la distinzione che un nome di marca nasconde. Le domande frequenti del fornitore per un servizio del genere separano i prodotti che contribuiscono dalle edizioni senza peer, ed è proprio quel tipo di differenza che vale la pena leggere da soli. Anche lo stato di pagamento non è una descrizione tecnica, perché un abbonamento a pagamento può includere un componente di condivisione mentre è il livello gratuito quello che non lo ha.

Cosa continua a funzionare dopo la chiusura della finestra

Un componente aggiuntivo del browser e un servizio installato separatamente possono svolgere compiti diversi sotto un unico logo, quindi chiudi la finestra e verifica se un processo sopravvive. Un processo che sopravvive alla scheda è la differenza tra una funzione che hai attivato e un componente che lavora senza. Entrambi possono essere legittimi, e solo uno è visibile dalla scheda.

Il blocco qui sotto è per Windows. Legge il processo, poi i socket che quel processo possiede, e l’identificatore della prima riga è ciò su cui filtrano gli altri due, quindi sostituiscilo invece di eseguire tre dump senza rapporto. Leggi il percorso del processo e le connessioni stabilite insieme, perché ciascuno da solo dimostra molto poco.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Un relè non è una condivisione di file

Inoltrare il traffico di qualcun altro è un permesso diverso dall’esporre file o servizi sulla tua macchina. La documentazione su uno non descrive l’altro, e acconsentire a un tunnel non è acconsentire a una condivisione di file, anche quando un solo programma di installazione ha impostato entrambi. Tieni separate le due domande quando leggi una pagina di impostazioni.

L’assenza di una porta in ascolto non è prova che nulla sia condiviso, perché un relè può avviare connessioni in uscita e non accettarne mai una in entrata, ed è esattamente così che i sistemi peer-to-peer evitano problemi con il firewall. Guarda dove vanno le connessioni e non solo cosa ascolta. Una connessione al punto finale del fornitore sembra un client, mentre diverse verso indirizzi che non sai spiegare meritano uno sguardo più attento. Se il modello è ancora poco chiaro dopo le impostazioni e la documentazione, poni all’operatore una domanda precisa; su un dispositivo di lavoro o in una rete gestita decide l’amministratore, non chi tiene il portatile.

Annota quello che hai visto, poi controlla di nuovo

Scrivi la versione, gli stati delle impostazioni e i socket che hai osservato, con marche temporali, perché quel registro trasforma un sospetto in una domanda a cui qualcuno può rispondere. È anche quello che ti servirà se un avviso di abuso arriva mesi dopo, e una nota in una finestra di chat non è un registro.

Il blocco qui sotto è per Linux o macOS e risponde alle stesse domande di quello per Windows. Eseguilo anche dopo un aggiornamento, perché la disposizione dei componenti cambia tra versioni e un nuovo processo ausiliario è facile da perdere. L’elenco dei socket nomina il processo proprietario, ed è ciò che rende confrontabili i due blocchi tra versioni.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Se un tuo indirizzo compare in un reclamo, ricorda che un indirizzo IP non identifica da solo una persona. Conserva l’avviso, le marche temporali e le impostazioni che hai registrato, poi segui la procedura di segnalazione del fornitore o dell’amministratore. Questo non respinge il reclamo, e tiene separato un indirizzo di uscita condiviso dal traffico che ha davvero lasciato la tua connessione.