Uzstādījāt VPN? Vietējais tīkls joprojām redz ierīci

Tuneļa pacelšana neliek vietējam tīklam aizmirst iekārtu, lai gan tas ir ierastais pieņēmums. Kaimiņu tabulas, nomas un vietējie vārdu ieraksti saka ko citu. Tunelis maina to, no kurienes iznāk jūsu paketes; tas nemaina to, ko var redzēt jūsu kaimiņi.

Jāpārbauda divi skatupunkti. Neviens no tiem nav tas „paslēpts vai nē“ tests, ko vairums cilvēku veic vispirms.

Jūsu kaimiņi joprojām pazīst iekārtu

Vietējā adrese, aparatūras adrese un lielākajā daļā tīklu nomāts resursdatora nosaukums paliek piesaistīti iekārtai, kamēr tā ir savienota. Maršrutētājs tos uzskaita, un plakanā segmentā tos var apgūt arī citi resursdatori. Kaimiņu atklāšana, adrešu piešķiršana un vietējā vārdu izšķiršana notiek segmentā, nevis tuneļa iekšienē, tāpēc VPN tos nenomāc. Kadri, kas pārvadā jūsu trafiku, ir šifrēti no gala līdz galam, savukārt noma un kaimiņa ieraksts nekad nav bijuši šīs sarunas daļa.

Tas, ko tunelis slēpj, ir galamērķu saraksts. Jūsu maršrutētājs redz vienu šifrētu plūsmu uz vienu galapunktu, nevis virkni vietņu, lai gan apjoms, laiks un galapunkta reputācija joprojām daudz ko raksturo.

Izejas adrese ir tikai viena identitāte

Apgalvojums, ka VPN slēpj ierīci vietējā tīklā, ir patiess vienā šaurā nozīmē: attāls novērotājs vairs neuzzina jūsu publisko adresi. Tas neko nepasaka par piekļuves punktu, kuram esat pievienojušies, un tas joprojām zina aparatūras adresi, ar ko runā. Abu novērojumu uztveršana kā viena jautājuma ir veids, kā cilvēki nonāk pie secinājuma, ka tunelis cieta neveiksmi, kad tas izdarīja tieši to, ko dara tunelis. Atdaliet tos, un katrs rezultāts kļūs saprotams pats par sevi.

Atrašanās vietai ir otrs kanāls, kas nekad neaizskar adresi. Pārlūka ģeolokāciju var atbildēt no tuvumā esošo piekļuves punktu skenēšanas, nevis no adreses, jo operētājsistēma nodod to identifikatorus meklēšanas pakalpojumam, kas tos jau saista ar vietām. Radio atvienošana noņem šo ievadi; cita izejas valsts to nedara.

Ja nomājat serveri, pakalpojumu sniedzējs redz modeli

Tuneļa darbināšana nomātā instancē pārvieto novērojumu, nevis to likvidē. Hostinga pakalpojumu sniedzējs redz ārējās plūsmas avotu un galamērķi, jo tam tā ir jāmaršrutē, un galapunkta adrese identificē pakalpojumu. Kravnesība paliek neizlasāma, bet resursdatoru, kas runā tikai ar vienu partneri un ar neko citu, nav grūti klasificēt. Nekas šajā aprakstā neprasa uzlauzt šifru.

Modelis nav saturs. Ja bažas ir pakalpojumu sniedzēja ieraksti, atbilde ir sniedzējs ar deklarētu politiku un jūsu pieņemtu jurisdikciju, nevis cits šifrs. Spēcīgāks šifrs neko nemaina tajā, kā plūsma izskatās no ārpuses.

Sadalītais tunelis nosaka, kas redz jūsu vaicājumus

Ar darba tuneli tas, ko administrators var novērot, ir atkarīgs no maršrutiem, ko instalē klients. Ja tunelī ir tikai uzņēmuma prefiksi, vārteja reģistrē tieši to jūsu trafika daļu un neko citu. Bez sadalītā tuneļa katra pakete iet caur darba devēju, tostarp domēnu vaicājumi, kad viņu risinātājs tiek piespiests klientam. Tieši šī atšķirība nosaka, kurus jūsu ieradumus darba devējs vispār var novērot.

Pārbaudiet maršrutēšanas tabulu, nevis pieņemiet, un ievērojiet, kas atbild uz publiska vārda vaicājumu. Kad viņu risinātājs atbild uz jūsu vaicājumiem, viņi patur vaicājumu arī tad, kad lapa tiek iegūta citur.

Pārbaudiet abus skatupunktus, pirms kam uzticaties

Palūdziet otru ierīci tajā pašā segmentā atrisināt jūsu resursdatora nosaukumu un izdrukāt savu kaimiņu tabulu, pēc tam novērojiet no ārpuses, kādu adresi pakalpojums ziņo. Šīs divas atbildes raksturo dažādus slāņus, un neviens atsevišķs „paslēpts vai nē“ tests neaptver abus.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Testējot mainiet pa vienam slānim. Izslēdziet atklāšanas protokolu, un segments zaudēs šo skatu, kamēr tunelis paliks neskarts; nomainiet izejas valsti, un vietnes ieraksts mainīsies, kamēr segments nē.