Hai installato una VPN? La rete locale vede ancora il dispositivo

Alzare un tunnel non fa dimenticare la macchina alla rete locale, anche se è l’ipotesi abituale. Le tabelle dei vicini, i leasing e i record dei nomi locali dicono altro. Il tunnel cambia da dove escono i tuoi pacchetti; non cambia ciò che i tuoi vicini possono vedere.

Vanno controllate due prospettive. Nessuna delle due è il test nascosto-o-no che la maggior parte delle persone esegue per prima.

I tuoi vicini conoscono ancora la macchina

Un indirizzo locale, un indirizzo hardware e, nella maggior parte delle reti, un nome host in leasing restano legati alla macchina finché è connessa. Un router li elenca, e su un segmento piatto anche altri host possono apprenderli. Il rilevamento dei vicini, l’assegnazione degli indirizzi e la risoluzione dei nomi locale avvengono sul segmento e non dentro il tunnel, per questo una VPN non li sopprime. I frame che trasportano il tuo traffico sono cifrati da un capo all’altro, mentre il leasing e la voce del vicino non sono mai stati parte di quella conversazione.

Ciò che il tunnel nasconde è l’elenco delle destinazioni. Il tuo router vede un solo flusso cifrato verso un unico endpoint invece di una serie di siti, anche se volume, tempi e reputazione dell’endpoint descrivono ancora molto.

L’indirizzo di uscita è solo un’identità

L’affermazione che una VPN nasconda un dispositivo su una rete locale è vera in un senso stretto: un osservatore remoto non apprende più il tuo indirizzo pubblico. Questo non dice nulla sull’access point a cui sei collegato, che conosce ancora l’indirizzo hardware con cui parla. Trattare le due osservazioni come un’unica domanda è il modo in cui le persone concludono che un tunnel ha fallito quando ha fatto esattamente ciò che fa un tunnel. Separale e ogni risultato diventa interpretabile da solo.

La posizione ha un secondo canale che non tocca mai un indirizzo. La geolocalizzazione del browser può essere risolta da una scansione degli access point vicini invece che da un indirizzo, perché il sistema operativo consegna i loro identificatori a un servizio di ricerca che li mappa già a luoghi. Scollegare la radio rimuove quell’input; un diverso paese di uscita no.

Se affitti il server, il fornitore vede lo schema

Eseguire il tunnel su un’istanza affittata sposta l’osservazione invece di eliminarla. Il fornitore di hosting vede l’origine e la destinazione del flusso esterno perché deve instradarlo, e l’indirizzo dell’endpoint identifica il servizio. Il carico utile resta illeggibile, ma un host che parla con un solo pari e con nient’altro non è difficile da classificare. Nulla in quella descrizione richiede di rompere una cifratura.

Uno schema non è contenuto. Se la preoccupazione sono i registri del fornitore, la risposta è un fornitore con una politica dichiarata e una giurisdizione che accetti, non una cifratura diversa. Una cifratura più forte non cambia nulla in come appare il flusso dall’esterno.

Il tunneling diviso decide chi vede le tue query

Con un tunnel aziendale, ciò che l’amministratore può osservare dipende dalle rotte che il client installa. Se nel tunnel ci sono solo i prefissi aziendali, il gateway registra esattamente quella parte del tuo traffico e nient’altro. Senza tunneling diviso ogni pacchetto passa dal datore di lavoro, comprese le query di dominio quando il suo resolver viene spinto al client. Questa differenza decide quali delle tue abitudini il datore di lavoro può osservare.

Controlla la tabella di routing invece di supporre, e nota chi risponde a una query per un nome pubblico. Una volta che il loro resolver risponde alle tue query, trattengono la query anche quando la pagina viene scaricata altrove.

Controlla entrambe le prospettive prima di crederne una

Chiedi a un secondo dispositivo sullo stesso segmento di risolvere il tuo nome host e stampare la sua tabella dei vicini, poi osserva dall’esterno quale indirizzo riporta un servizio. Quelle due risposte descrivono livelli diversi, e nessun singolo test nascosto-o-no copre entrambe.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Cambia un livello alla volta quando provi. Spegni il protocollo di rilevamento e il segmento perde quella vista mentre il tunnel resta intatto; cambia paese di uscita e il record di un sito cambia mentre il segmento no.