Įdiegėte VPN? Vietinis tinklas vis tiek mato įrenginį

Tunelio iškėlimas nepriverčia vietinio tinklo pamiršti mašinos, nors tai įprasta prielaida. Kaimynų lentelės, nuomos ir vietiniai vardų įrašai sako ką kita. Tunelis keičia, iš kur išeina jūsų paketai; jis nekeičia to, ką gali matyti jūsų kaimynai.

Reikia patikrinti du požiūrius. Nė vienas jų nėra tas „paslėpta ar ne“ testas, kurį dauguma žmonių atlieka pirmiausia.

Jūsų kaimynai vis dar pažįsta mašiną

Vietinis adresas, aparatinės įrangos adresas ir daugumoje tinklų išnuomotas pagrindinio kompiuterio vardas lieka pririšti prie mašinos, kol ji prijungta. Maršrutizatorius juos išvardija, o plokščiame segmente juos gali išmokti ir kiti mazgai. Kaimynų aptikimas, adresų priskyrimas ir vietinis vardų sprendimas vyksta segmente, o ne tunelio viduje, todėl VPN jų neslopina. Kadrai, kurie neša jūsų srautą, yra šifruojami nuo galo iki galo, o nuoma ir kaimyno įrašas niekada nebuvo to pokalbio dalis.

Tai, ką tunelis slepia, yra paskirties vietų sąrašas. Jūsų maršrutizatorius mato vieną šifruotą srautą į vieną galinį tašką, o ne keletą svetainių, nors apimtis, laikas ir galinio taško reputacija vis dar daug ką pasako.

Išėjimo adresas yra tik viena tapatybė

Teiginys, kad VPN slepia įrenginį vietiniame tinkle, yra teisingas viena siaura prasme: nuotolinis stebėtojas nebesužino jūsų viešo adreso. Tai nieko nesako apie prieigos tašką, prie kurio esate prisijungę, o jis vis dar žino aparatinės įrangos adresą, su kuriuo kalba. Abiejų stebėjimų traktavimas kaip vieno klausimo yra būdas, kuriuo žmonės daro išvadą, kad tunelis nepavyko, nors jis padarė būtent tai, ką daro tunelis. Atskirkite juos ir kiekvienas rezultatas taps suprantamas atskirai.

Vieta turi antrą kanalą, kuris niekada neliečia adreso. Naršyklės geolokaciją galima atsakyti iš netoliese esančių prieigos taškų nuskaitymo, o ne iš adreso, nes operacinė sistema perduoda jų identifikatorius paieškos paslaugai, kuri juos jau susieja su vietomis. Išjungus radiją tas įvestis pašalinama; kita išėjimo šalis to nepadaro.

Jei nuomositės serverį, teikėjas mato šabloną

Tunelio paleidimas nuomojamoje instancijoje perkelia stebėjimą, o ne jį pašalina. Hostingo teikėjas mato išorinio srauto šaltinį ir paskirties vietą, nes turi jį maršrutizuoti, o galinio taško adresas identifikuoja paslaugą. Naudingasis krūvis lieka neįskaitomas, bet mazgą, kuris kalba tik su vienu partneriu ir su niekuo kitu, nesunku klasifikuoti. Niekas tame apraše nereikalauja sulaužyti šifro.

Šablonas nėra turinys. Jei nerimaujama dėl teikėjo įrašų, atsakymas yra teikėjas su paskelbta politika ir jūsų priimama jurisdikcija, o ne kitas šifras. Stipresnis šifras nieko nekeičia tame, kaip srautas atrodo iš išorės.

Padalytas tunelis nusprendžia, kas mato jūsų užklausas

Su darbo tuneliu tai, ką gali stebėti administratorius, priklauso nuo maršrutų, kuriuos įdiegia klientas. Jei tunelyje yra tik įmonės prefiksai, šliuzas įrašo būtent tą jūsų srauto dalį ir nieko daugiau. Be padalyto tunelio kiekvienas paketas eina per darbdavį, įskaitant domenų užklausas, kai jų sprendiklis nustumiamas klientui. Būtent šis skirtumas nusprendžia, kuriuos jūsų įpročius darbdavys apskritai gali stebėti.

Patikrinkite maršrutizavimo lentelę, o ne darykite prielaidas, ir atkreipkite dėmesį, kas atsako į viešo vardo užklausą. Kai jų sprendiklis atsako į jūsų užklausas, jie išlaiko užklausą net tada, kai puslapis gaunamas kitur.

Patikrinkite abu požiūrius prieš kuo nors patikėdami

Paprašykite antrojo įrenginio tame pačiame segmente išspręsti jūsų pagrindinio kompiuterio vardą ir atspausdinti savo kaimynų lentelę, tada stebėkite iš išorės, kokį adresą praneša paslauga. Šie du atsakymai apibūdina skirtingus sluoksnius, ir nė vienas „paslėpta ar ne“ testas neapima abiejų.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Bandydami keiskite po vieną sluoksnį. Išjunkite aptikimo protokolą ir segmentas praras tą vaizdą, o tunelis liks nepaliestas; pakeiskite išėjimo šalį ir svetainės įrašas pasikeis, o segmentas ne.