VPN을 설치했나요? 로컬 네트워크는 여전히 기기를 봅니다

터널을 올린다고 로컬 네트워크가 기기를 잊는 것은 아니지만, 대부분은 그렇게 가정합니다. 이웃 테이블, 임대, 로컬 이름 레코드는 다른 것을 말해 줍니다. 터널이 바꾸는 것은 패킷이 나가는 지점이고, 이웃이 볼 수 있는 것을 바꾸지는 않습니다.

확인해야 할 관점은 두 가지입니다. 둘 다 대부분의 사람이 먼저 하는 ‘숨겨졌는지 아닌지’ 테스트는 아닙니다.

이웃은 여전히 그 기기를 압니다

로컬 주소, 하드웨어 주소, 그리고 대부분의 네트워크에서는 임대된 호스트 이름이 기기가 연결된 동안 계속 붙어 있습니다. 라우터가 그것들을 나열하고, 평평한 세그먼트에서는 다른 호스트도 배울 수 있습니다. 이웃 탐색, 주소 할당, 로컬 이름 해석은 모두 터널 안이 아니라 세그먼트에서 일어나므로 VPN이 그것들을 억제하지 않습니다. 트래픽을 나르는 프레임은 종단 간 암호화되어 있지만, 임대와 이웃 항목은 애초에 그 대화의 일부가 아니었습니다.

터널이 숨기는 것은 목적지 목록입니다. 라우터는 여러 사이트 대신 하나의 종단점으로 향하는 암호화된 흐름 하나를 보지만, 양, 시점, 종단점의 평판은 여전히 많은 것을 설명합니다.

출구 주소는 하나의 신원일 뿐

VPN이 로컬 네트워크에서 기기를 숨긴다는 주장은 원격 관찰자가 더 이상 당신의 공인 주소를 알지 못한다는 좁은 의미에서만 참입니다. 하지만 연결된 액세스 포인트에 대해서는 아무것도 말하지 않으며, 그 액세스 포인트는 여전히 대화 상대의 하드웨어 주소를 압니다. 두 관찰을 하나의 질문으로 다루는 것이야말로, 터널이 원래 하는 일을 했을 뿐인데 실패했다고 결론짓는 방식입니다. 둘을 분리하면 각 결과를 따로 해석할 수 있습니다.

위치에는 주소를 전혀 거치지 않는 두 번째 경로가 있습니다. 브라우저 위치 정보는 주소가 아니라 주변 액세스 포인트 스캔으로 답할 수 있는데, 운영체제가 그 식별자를 이미 장소와 매핑해 둔 조회 서비스로 넘기기 때문입니다. 무선을 끄면 그 입력이 사라지지만, 출구 국가를 바꿔도 사라지지 않습니다.

서버를 빌리면 공급자가 패턴을 봅니다

터널을 임대 인스턴스에서 돌리면 관찰이 사라지는 것이 아니라 옮겨집니다. 호스팅 공급자는 경로를 정해야 하므로 바깥 흐름의 출발지와 목적지를 봅니다. 종단점 주소는 서비스를 식별합니다. 페이로드는 읽을 수 없지만, 상대 하나와만 대화하고 다른 무엇과도 대화하지 않는 호스트를 분류하기는 어려우며, 그 설명 어디에도 암호를 깨야 한다는 요구는 없습니다.

패턴은 내용이 아닙니다. 걱정이 공급자의 기록이라면, 답은 다른 암호가 아니라 정책을 명시하고 당신이 받아들일 수 있는 관할을 가진 공급자입니다. 더 강한 암호도 밖에서 본 흐름의 모습을 바꾸지 않습니다.

분할 터널링이 누가 당신의 쿼리를 보는지 정합니다

업무용 터널에서는 관리자가 관찰할 수 있는 범위가 클라이언트가 설치하는 경로에 달려 있습니다. 터널에 회사 접두사만 넣으면 게이트웨이는 트래픽의 바로 그 부분만 기록하고 다른 것은 기록하지 않습니다. 분할 터널링이 없으면 리졸버가 클라이언트에 밀려 있을 때 도메인 조회까지 모든 패킷이 고용주를 거칩니다. 이 차이가 고용주가 당신의 어떤 습관을 관찰할 수 있는지를 정합니다.

가정하지 말고 라우팅 테이블을 확인하고, 공인 이름에 대한 조회에 누가 답하는지 보세요. 상대 리졸버가 당신의 조회에 답하기 시작하면, 페이지를 다른 곳에서 가져와도 조회는 그들 손에 남습니다.

어느 쪽이든 믿기 전에 두 관점을 모두 확인하세요

같은 세그먼트의 두 번째 기기에 당신의 호스트 이름을 해석하게 하고 그 이웃 테이블을 출력하게 한 뒤, 서비스가 어떤 주소를 보고하는지 밖에서 관찰하세요. 이 두 답은 서로 다른 계층을 설명하며, 단일한 ‘숨겨졌는지 아닌지’ 테스트로는 둘 다를 덮지 못합니다.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

시험할 때는 한 번에 한 계층만 바꾸세요. 탐색 프로토콜을 끄면 터널은 그대로인데 세그먼트가 그 관점을 잃고, 출구 국가를 바꾸면 세그먼트는 그대로인데 사이트의 레코드가 바뀝니다.