तुमच्या VPN मधून स्थानिक नेटवर्क अजूनही काय पाहते

जेव्हा कोणी विचारते की VPN त्याची रहदारी लपवते का, तेव्हा तीन निरीक्षक एका प्रश्नात एकत्र येतात: तो ज्या नेटवर्कशी जोडलेला आहे ते, त्याच्या हातातील यंत्र आणि बोगद्याचा ऑपरेटर। प्रत्येकजण वेगळी गोष्ट शिकतो आणि बोगदा त्या प्रत्येक दृष्टिकोनाला वेगळ्या पद्धतीने बदलतो। उलट दिशेने काम करणे आणि जो दावा केला जात आहे त्यापासून सुरुवात करणे उपयुक्त ठरते, कारण तपासणीला तोंड देणारी गोष्ट म्हणजे तोच दावा। तुम्हाला कोणता दावा हवा आहे ते ठरवा, मग त्याच्याशी साधनांची तुलना करा।

पहिला दावा: कोणीही रहदारी वाचू शकत नाही

सर्वात अरुंद दाव्यापासून सुरुवात करा: पेलोड वाचनीय राहत नाही। मार्गावरील निष्क्रिय निरीक्षक TLS सत्राच्या आत पाहू शकत नाही, म्हणून बोगदा आधीच HTTPS वापरणाऱ्या साइटला थोडेच जोडतो आणि दोन्ही टोकांविरुद्ध काहीही जोडत नाही। हा दावा जो मोडतो तो उपकरण नियंत्रित करणारा असतो, कारण तपासणी प्रॉक्सी जोडणी संपवते आणि यंत्र आधीच विश्वास ठेवत असलेल्या मूळासह तिला पुन्हा स्वाक्षरी करते। म्हणून प्रमाणपत्र शृंखलेवर मूळ स्थापित करणाऱ्या संस्थेचे नाव असले तरी कुलूप अजूनही दिसते।

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS वर ती पाइपलाइन यंत्राच्या किल्लीगुच्छातील प्रत्येक प्रमाणपत्रासाठी एक विषय-ओळ छापते, खिडकी न उघडता, आणि Windows वर certutil -store Root तेच भांडार सूचीबद्ध करते जे certlm.msc ग्राफिक पद्धतीने दाखवते। शाळा, नियोक्ता किंवा नेटवर्क सुरक्षा उत्पादनाचे मूळ हीच शोधायची नोंद आहे। एक सापडणे फक्त हे सिद्ध करते की अडवणे शक्य आहे, ते होत आहे हे नाही।

याबद्दल तुम्ही काय करू शकता हा तंत्रज्ञानाचा नाही, धोरणाचा प्रश्न आहे। तुमच्या मालकीच्या नसलेल्या हार्डवेअरमधून प्रोफाइल किंवा तपासणी मूळ काढणे सहसा स्वीकार्य वापराच्या कराराचा भंग करते आणि व्यवस्थापन प्रणाली ते लक्षात घेऊन पुन्हा लागू करते, म्हणून उपकरणाच्या मालकाने तुमची रहदारी वाचू नये ही अट दुसरे उपकरण मागते, दुसरे सेटिंग नाही।

दुसरा दावा: तुम्ही कुठे जाता हे कोणी पाहत नाही

गंतव्य हा अधिक कठीण दावा आहे, कारण पृष्ठ लोड होण्यापूर्वी दोन उघडकीस येणे घडतात। क्वेरी त्या रिझॉल्व्हरकडे जाते ज्याचा वापर करण्यासाठी प्रणाली संरचित आहे आणि उत्तर ते वाहणाऱ्या नेटवर्कला दिसते। मग TLS हस्तांदोलन मागितलेले सर्व्हर नाव उघडपणे वाहून नेते, दोन्ही टोकांवर Encrypted Client Hello समर्थित नसेल तर। दोन्हीपैकी कोणत्याही उघडकीस येण्यात डिक्रिप्शन नसते, म्हणून बोगद्याचा दोन्हीवर परिणाम नसतो।

resolvectl status | grep -A2 "Link"
nslookup example.com

कोणता रिझॉल्व्हर प्रत्यक्षात वापरला जात आहे हेच उघडपणा ठरवते आणि ते वाद घालण्याऐवजी मोजता येते। Linux वर resolvectl status प्रत्येक लिंकसाठी DNS सर्व्हर छापते आणि त्याचे आउटपुट तुम्हाला सांगते की साइटचा रिझॉल्व्हर उत्तर देत आहे की लादलेला। Windows त्याच प्रश्नाचे उत्तर nslookup example.com ने देते, ज्याचा आउटपुटचा पहिला खंड उत्तर देणारा DNS सर्व्हर आहे।

जेव्हा लॅपटॉप बोगदा वर येण्यापूर्वी साइटच्या रिझॉल्व्हरला विचारतो, किंवा प्रोफाइल बदली सर्व्हरशिवाय येते आणि जुना वापरात राहतो, तेव्हाही प्रशासक काहीही डिक्रिप्ट न करता होस्टनावे गोळा करत राहतो। ब्राउझरमधील एन्क्रिप्टेड DNS एकतर लादलेल्या रिझॉल्व्हरला टाळते किंवा पूर्णपणे अवरोधित होऊन बंद स्थितीत अयशस्वी होते। एग्झिट ऑपरेटर आपल्या बाजूने तीच नावे पाहतो। म्हणून रिझॉल्व्हर बदलल्याने ते उघडकीस येणे बोगदा पुरवठादारापासून दूर जात नाही।

तिसरा दावा: तुम्ही जोडले गेलात हे कोणालाही माहीत नाही

तिसरा दावा असा आहे ज्याला बोगदा पाठिंबा देऊ शकत नाही, कारण पॅकेट अजूनही स्थानिक नेटवर्क ओलांडतात। ते नेटवर्क टोकाचा पत्ता, अंदाजे प्रमाण, वेळ आणि एक दीर्घकालीन एन्क्रिप्टेड सत्राचे अस्तित्व शिकते, जे अवरोधित करण्यास, मर्यादित करण्यास किंवा फक्त लक्ष देण्यास पुरते। पॅकेट वाचू न शकणारा फायरवॉल तरीही ते जाऊ देण्यास नकार देऊ शकतो। पाहिले जाणे म्हणजे कोणीच न पाहणे असे नाही: तुम्ही निरीक्षक हलवला, पुसला नाही।

विभाजित टनेलिंग आणि लादलेला मार्ग दुर्लक्षित करणारे कोणतेही अनुप्रयोग बोगद्याबाहेर पूर्वीसारखे दिसणारे प्रवाह तयार करतात। सतर्क निरीक्षकाचे पहिले लक्ष याच प्रवाहांकडे जाते आणि क्लायंटचे मार्ग तक्ते कोणती गंतव्ये वगळली आहेत हे दाखवते।

पलीकडील ऑपरेटरकडे त्या दृश्याची आरसा-प्रतिमा असते: बाहेर पडण्याचा पत्ता, वेळ, प्रमाण आणि सहसा साइटांची नावे। तुमचा पुरवठादारच दृष्टिकोन असलेला पक्ष बनतो, हा अदृश्यतेपेक्षा वेगळा सौदा आहे। विश्वासार्ह पुरवठादार निवडणे हा खरा निर्णय आहे; निकालाला अनिरीक्षित म्हणणे नाही।

तुम्हाला कोणता दावा हवा आहे ते ठरवा

क्लायंटला स्पर्श करण्यापूर्वी आवश्यकता एका ओळीत लिहा: सामग्री लपवा, गंतव्ये लपवा किंवा तुम्ही जोडले गेलात का हेच लपवा। सामग्री HTTPS आणि बोगदा आधीच हाताळतात, तर गंतव्यांसाठी असे रिझॉल्व्हर आणि मार्ग लागतो जे साइटची उपकरणे पूर्णपणे टाळतात।

तिसरी आवश्यकता हीच अस्वस्थ करणारी आहे, कारण कुठेतरी काहीतरी अजूनही दृश्यपणे जोडलेले आहे, एन्क्रिप्टेड असो वा नसो। कोणतेही क्लायंट सेटिंग ते बदलत नाही। आवश्यकता आणि धोरण वेगळे झाल्यास ती दरी धोरणाच्या मालकाशी संवादाचा विषय आहे, क्लायंट पर्यायाचा नाही। याचे उत्तर देऊ शकणारी व्यक्ती तीच आहे जिने धोरण लिहिले।