Кој може да го види вашиот VPN сообраќај? Четири набљудувачи
Локалната мрежа, VPN операторот, работодавачот и дестинацијата секој гледа различен дел. Споредете ги пред да му верувате на тунел за приватност.
Тунелот го менува местото каде вашиот сообраќај станува видлив. Тој не го прави невидлив, а страната што добива видливост е онаа низ која го насочивте сообраќајот. Дали таа размена вреди зависи од тоа на кој чекор не му верувате, затоа корисната споредба е меѓу набљудувачите, а не меѓу брендовите.
Четири страни седат на една врска
Проследете барање од преносниот компјутер кон надвор и се појавуваат четири позиции: пристапната мрежа на која се приклучивте, излезот на VPN, корпоративната околина ако уредот е управуван и самата дестинација. Секоја зазема различно место на патеката, затоа секоја собира различен вид докази. Табелата е целиот аргумент во еден поглед.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Читајте ја табелата од заканата кон надвор. Ако Wi-Fi во кафето е грижата, се менува првиот ред; ако давателот е грижата, вие сте замениле еден оператор со друг и вториот ред сега е поважен. Редовите не се натпреваруваат; секој опишува различна позиција на истата патека.
Пристапната мрежа сѐ уште го гледа тунелот
Вашиот давател или хотелската мрежа гледа врска кон IP адреса, пренесените бајти и времињата кога се движеле. Не ги гледа страниците внатре во тунелот, под услов и разрешувањето на имиња да патува внатре во него и дестинацијата да се достигнува низ излезот, а не директно.
Две протекувања опстојуваат почесто отколку што луѓето очекуваат. DNS-барањата испратени до локалниот резолвер сѐ уште ги именуваат страниците, а името на серверот во обичен TLS-ракување е читливо на патеката, освен ако не се користи шифриран поздрав на клиентот. Ниту едно не се поправа со инсталирање клиент; двете се прашања на конфигурација.
VPN операторот и работодавачот зад него
Комерцијален давател стои точно таму каде што стоеше вашиот давател: ги препраќа вашите пакети и може да чита сѐ што не е посебно шифрирано. Лозинка внесена во обична HTTP-форма е читлива на излезот, иако првиот чекор беше шифриран. Тунелот ја премести довербата, тој не ја отстрани изложеноста. Прочитајте ја политиката за логирање на давателот пред да претпоставите дека размената подобрила нешто.
На управуван работен преносен компјутер организацијата го поседува крајниот пункт, затоа управувањето со уреди, DNS-логирањето и записниците на проксито го набљудуваат без оглед на тоа дали тунелот е поврзан. Личен VPN не го прави управуваниот уред приватен, а во многу мрежи тоа е прекршување на политиката, а не мерка за приватност.
Сообраќајот од другите уреди во вашиот дом не е видлив за тој работодавач, освен ако работниот преносен компјутер намерно не дејствува како нивна порта. Таа разлика е важна кога домаќинството дели една врска и претпоставува најлошото.
Дестинацијата и соседите на излезот
Страницата што ја посетувате го гледа излезната адреса, сметката со која се најавивте, колачињата и карактеристиките на прелистувачот. Тунелот го менува само првиот елемент, а најавувањето сепак ја поврзува излезната адреса со вас.
Споделените услуги додаваат пофин ризик. Ако давателот не ги изолира клиентите еден од друг, машина што слуша на порта може да биде достапна од други клиенти на истиот излез. Блокирањето на влезниот сообраќај стандардно на огнениот ѕид на домаќинот го покрива поголемиот дел од тој ризик. Тестирањето значи поврзување на втор уред на истата услуга и обид да се достигне портата што слуша.
Некои работи никогаш не се менуваат: идентификаторите на сметката, следењето на ниво на апликација и знаењето на самиот телефон дека препраќа сообраќај кога ја споделувате врската. Тунелот е одлука за рутирање, не промена на идентитетот.
Изберете го набљудувачот од кого се криете пред да изберете производ. Ако е локалната мрежа, помага речиси секој правилно конфигуриран излез. Ако е логирањето на самиот давател, договорот е дел од одлуката. Ако е вашиот работодавач, ниту еден личен тунел нема да ја заврши работата.