VPN орнаттыңыз ба? Жергілікті желі құрылғыны әлі көреді

Туннельді көтеру жергілікті желінің машинаны ұмытуына әкелмейді, дегенмен бұл әдеттегі болжам. Көршілер кестелері, жалдау жазбалары және жергілікті атау жазбалары басқаша айтады. Туннель пакеттеріңіздің қайдан шығатынын өзгертеді; ол көршілеріңіздің нені көре алатынын өзгертпейді.

Екі көзқарасты тексеру қажет. Олардың ешқайсысы адамдардың көбі бірінші жасайтын «жасырын ба, жоқ па» тесті емес.

Көршілеріңіз машинаны әлі біледі

Жергілікті мекенжай, аппараттық мекенжай және көптеген желілерде жалға алынған хост атауы машина қосылған кезде оған байланып қалады. Маршрутизатор оларды тізімдейді, ал тегіс сегментте басқа хосттар да оларды үйрене алады. Көршілерді табу, мекенжайларды бөлу және жергілікті атауларды шешу туннельдің ішінде емес, сегментте жүреді, сондықтан VPN оларды баспайды. Трафигіңізді тасымалдайтын кадрлар ұшынан ұшына шифрланған, ал жалдау мен көрші жазбасы ешқашан сол әңгіменің бөлігі болған емес.

Туннель жасыратыны — мақсаттар тізімі. Маршрутизаторыңыз бірнеше сайттың орнына бір шеткі нүктеге баратын бір шифрланған ағынды көреді, дегенмен көлем, уақыт және шеткі нүктенің беделі әлі де көп нәрсені сипаттайды.

Шығу мекенжайы — тек бір жеке бас

VPN жергілікті желідегі құрылғыны жасырады деген тұжырым бір тар мағынада дұрыс: қашықтағы бақылаушы енді сіздің жария мекенжайыңызды білмейді. Бұл сіз қосылған кіру нүктесі туралы ештеңе айтпайды, ол әлі де сөйлесіп жатқан аппараттық мекенжайды біледі. Екі бақылауды бір сұрақ ретінде қарау — адамдар туннель дәл туннель істейтінді істеген кезде оны «сәтсіз» деп қорытындылайтын жол. Оларды ажыратыңыз, сонда әр нәтиже өз бетінше түсінікті болады.

Орналасқан жердің мекенжайға ешқашан тимейтін екінші арнасы бар. Браузердің геолокациясына мекенжайдан емес, жақын кіру нүктелерін сканерлеуден жауап беруге болады, өйткені операциялық жүйе олардың идентификаторларын оларды орындарға байланыстыратын іздеу қызметіне береді. Радионы өшіру бұл кірісті жояды; басқа шығу елі оны жоймайды.

Серверді жалдасаңыз, провайдер үлгіні көреді

Туннельді жалданған инстанцияда жүргізу бақылауды жояды емес, орнын ауыстырады. Хостинг провайдері сыртқы ағынның көзі мен мақсатын көреді, өйткені оны маршруттауға тиіс, ал шеткі нүктенің мекенжайы қызметті анықтайды. Пайдалы жүктеме оқылмай қалады, бірақ тек бір серіктеспен және басқа ешкіммен сөйлеспейтін хостты жіктеу қиын емес. Бұл сипаттамада ештеңе шифрды бұзуды талап етпейді.

Үлгі — мазмұн емес. Егер алаңдаушылық провайдердің жазбалары болса, жауап — басқа шифр емес, жарияланған саясаты және сіз қабылдайтын юрисдикциясы бар провайдер. Неғұрлым күшті шифр ағынның сырттан көрінісін өзгертпейді.

Бөлінген туннель сұрауларыңызды кім көретінін шешеді

Жұмыс туннелімен әкімшінің нені бақылай алатыны клиент орнататын маршруттарға байланысты. Туннельде тек корпоративтік префикстер болса, шлюз трафигіңіздің дәл сол бөлігін жазады, басқа ештеңені жазбайды. Бөлінген туннель болмаса, әр пакет жұмыс берушіден өтеді, оның ішінде олардың шешушісі клиентке жіберілгенде домендік іздеулер де. Дәл осы айырмашылық жұмыс берушінің әдеттеріңіздің қайсысын мүлдем бақылай алатынын шешеді.

Болжам жасаудың орнына маршруттау кестесін тексеріңіз және жария атауға сұрауға кім жауап беретінін байқаңыз. Олардың шешушісі сұрауларыңызға жауап берген соң, парақ басқа жерден алынса да сұрау оларда қалады.

Біреуіне сенбес бұрын екі көзқарасты тексеріңіз

Сол сегменттегі екінші құрылғыдан хост атауыңызды шешуді және өз көршілер кестесін шығаруды сұраңыз, содан кейін қызмет қай мекенжайды хабарлайтынын сырттан бақылаңыз. Бұл екі жауап түрлі қабаттарды сипаттайды, ал бір ғана «жасырын ба, жоқ па» тесті екеуін де қамтымайды.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Тексеру кезінде бір уақытта бір қабатты өзгертіңіз. Анықтау протоколын өшіріңіз — туннель тиіспеген күйде қалса да, сегмент бұл көзқарастан айырылады; шығу елін өзгертіңіз — сегмент өзгермесе де, сайттың жазбасы өзгереді.