あなたのVPNは接続を提供していますか？確認すべき二つの方向

同じプロバイダーに接続している二人が、必ずしも互いの自宅回線を使っているわけではありません。通常の構成では、両方の端末がプロバイダーのエンドポイントへ通信を送り、共有しているのは出口アドレスだけです。リソース共有型の製品は逆方向にも動け、あなたのマシンが誰かの通信のために経路を提供します。方向が問題のすべてであり、それは目の前のアプリから答えられます。以下では、尋ねる順序と残しておく価値のある証拠を示します。

二つの方向、同意が必要なのは一つだけ

遠隔の出口を使うとは、あなたの通信がプロバイダーを通って出て、宛先がプロバイダーのアドレスを見ることです。出口を提供するとは、他の誰かの通信があなたの接続を通って出て、宛先があなたのアドレスを見ることです。どちらもVPNと呼ばれ、クライアントを運用する者にまったく異なる義務を課します。ある製品が一方だけを行い、他方をまったく行わないこともあれば、同時に両方を行うこともあります。

1. 遠隔の出口：あなたのアプリケーションは通信をプロバイダーのエンドポイントへ送り、宛先はプロバイダーのアドレスを記録します。
2. 提供された出口：他の人の通信があなたのマシン上の共有コンポーネントを通り、あなたの回線から出て、宛先はあなたのアドレスを記録します。

一つ目は自分の通信についてのプライバシーの選択です。二つ目は他人の通信についての決定であり、だからこそ共有された出口アドレスは評判の問題となり、提供した接続は通信の発信元の問題となります。この二つの懸念はしばしば混同され、それらを分けることが分析の大部分です。

インストールしたアプリの共有スイッチを読む

実際にインストールされている製品を開き、その設定で共有、提供、ピアツーピア、コミュニティアクセスといった言葉を探します。スイッチがあるか、有効な状態で始まるか、どのアカウント階層に属するかを記録し、バージョン文字列が見える状態でパネルを撮影します。サポートの返信がそれを求めるからです。次の更新の後に同じ確認を繰り返してください。既定値はリリース間で動くからです。どこにも共有の文言がないパネルは有用な発見ですが、それ自体が保証ではありません。

ある製品についてピアツーピア共有を説明し、他のエディションを除外するベンダーは、ブランド名が隠している区別を教えてくれました。そうしたサービスのベンダーのFAQは、提供する製品とピアのないエディションを分けており、まさにそうした違いを自分で読む価値があります。支払い状況も技術的な説明ではありません。有料の購読に共有コンポーネントが含まれることもあれば、含まないのが無料の階層だからです。

ウィンドウを閉じた後も動き続けるもの

ブラウザのアドオンと別にインストールされたサービスは、同じロゴの下で異なる仕事をすることがあるので、ウィンドウを閉じてプロセスが残るか確認します。タブより長く生きるプロセスは、あなたが有効にした機能と、それなしで動き続けるコンポーネントの違いです。どちらも正当であり得ますが、タブから見えるのは一方だけです。

以下のブロックはWindows用です。プロセスを読み、次にそのプロセスが持つソケットを読みます。最初の行の識別子が残り二つが絞り込む対象なので、無関係な三つの出力を走らせる代わりに置き換え、プロセスのパスと確立された接続を一緒に読んでください。どちらか一方だけではほとんど何も証明しないからです。

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

リレーはファイル共有ではない

他人の通信を転送することは、あなたのマシンでファイルやサービスを公開することとは別の許可です。一方についての文書は他方を説明しません。たとえ一つのインストーラーが両方を設定していても、トンネルへの同意はファイル共有への同意ではありません。設定ページを読むときは二つの問いを切り離してください。

待ち受けポートがないことは何も共有されていない証拠ではありません。リレーは外向きの接続を始め、内向きを決して受け付けないことができ、ピアツーピアの仕組みはまさにそうやってファイアウォールとのトラブルを避けます。何が待ち受けているかだけでなく、接続がどこへ向かうかを見てください。プロバイダー自身のエンドポイントへの一本の接続はクライアントに見えますが、説明できないアドレスへの複数の接続はより注意深い確認に値します。設定と文書の後もモデルが不明確なら、運営者に具体的な質問をしてください。仕事用の端末や管理されたネットワークでは、ノートパソコンを持つ人ではなく管理者が決めます。

見たことを記録し、それからもう一度確認する

バージョン、設定の状態、観察したソケットを時刻とともに書き留めてください。その記録が疑いを、誰かが答えられる問いに変えるからです。数か月後に不正利用の通知が届いたときにも必要なものであり、チャット画面のメモは記録ではありません。

以下のブロックはLinuxまたはmacOS用で、Windows用と同じ問いに答えます。更新の後にも実行してください。コンポーネントの配置はリリース間で変わり、新しい補助プロセスは見落としやすいからです。ソケット一覧は所有するプロセスを示し、それが二つのブロックをリリースをまたいで比較可能にします。

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

苦情の中にあなたのアドレスが現れたら、IPアドレスだけでは人を特定できないことを思い出してください。通知、時刻、記録した設定を保存し、プロバイダーまたは管理者の報告手順に従ってください。それは苦情を退けるものではなく、共有された出口アドレスを、本当にあなた自身の接続から出た通信から切り離します。