Deelt je VPN je verbinding? Twee richtingen om te controleren

Twee mensen die op dezelfde provider zijn aangesloten, gebruiken niet per se elkaars thuisverbinding, want in de gebruikelijke opzet sturen beide apparaten hun verkeer naar het eindpunt van de provider en delen ze alleen het uitgangsadres. Een product voor het delen van bronnen kan de andere kant op werken, waarbij jouw machine een pad bijdraagt voor het verkeer van iemand anders. De richting is de hele vraag, en die is te beantwoorden vanuit de app die voor je staat. Hierna volgt de volgorde waarin je moet vragen, en het bewijs dat het waard is te bewaren.

Twee richtingen, en slechts één heeft toestemming nodig

Een uitgang op afstand gebruiken betekent dat je verkeer via de provider naar buiten gaat en de bestemming het adres van de provider ziet. Een uitgang bijdragen betekent dat het verkeer van iemand anders via jouw verbinding naar buiten gaat en de bestemming jouw adres ziet. Beide heten een VPN, en ze leggen degene die de client beheert volledig verschillende verplichtingen op. Een product kan het eerste doen zonder iets van het tweede, en het kan beide tegelijk doen.

1. Uitgang op afstand: je applicatie stuurt haar verkeer naar het eindpunt van de provider, en de bestemming registreert het adres van de provider.
2. Bijgedragen uitgang: het verkeer van iemand anders gaat via het deelonderdeel op jouw machine naar buiten, verlaat via jouw link, en de bestemming registreert jouw adres.

Het eerste is een privacykeuze over je eigen verkeer. Het tweede is een beslissing over dat van iemand anders, daarom is een gedeeld uitgangsadres een reputatieprobleem, terwijl een bijgedragen verbinding een probleem is rond de herkomst van verkeer. Die twee zorgen worden voortdurend verward, en ze scheiden is het grootste deel van de analyse.

Lees de deelschakelaar in de app die je hebt geïnstalleerd

Open het product dat daadwerkelijk is geïnstalleerd en zoek in de instellingen naar woorden als delen, bijdragen, peer-to-peer of communitytoegang. Noteer of er een schakelaar is, of die ingeschakeld start en bij welk accountniveau hij hoort, en leg het paneel vast met de versiestring zichtbaar, want een supportantwoord zal daarom vragen. Herhaal de controle na de volgende update, want standaardwaarden verschuiven tussen releases. Een paneel zonder enige deeltaal is een nuttige vondst, al is het op zichzelf geen garantie.

Een provider die peer-to-peer delen voor één product beschrijft en andere edities uitsluit, heeft je net het verschil verteld dat een merknaam verbergt. De FAQ van de provider voor zo’n dienst scheidt bijdragende producten van edities zonder peer, en juist zo’n verschil is het waard zelf te lezen. Ook de betaalstatus is geen technische beschrijving, want een betaald abonnement kan een deelonderdeel bevatten, terwijl het gratis niveau dat niet heeft.

Wat blijft draaien nadat het venster sluit

Een browserextensie en een apart geïnstalleerde dienst kunnen verschillende taken uitvoeren onder één logo, dus sluit het venster en controleer of een proces het overleeft. Een proces dat langer leeft dan het tabblad is het verschil tussen een functie die je hebt ingeschakeld en een onderdeel dat zonder die functie doorwerkt. Beide kunnen legitiem zijn, en slechts één ervan is zichtbaar vanaf het tabblad.

Het blok hieronder is voor Windows. Het leest het proces, dan de sockets die dat proces bezit, en de identificatie uit de eerste regel is waarop de andere twee filteren, dus vervang die in plaats van drie ongerelateerde uitvoer te draaien. Lees het procespad en de opgezette verbindingen samen, want elk daarvan alleen bewijst zeer weinig.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Een relay is geen bestandsdeling

Het verkeer van iemand anders doorsturen is een andere toestemming dan bestanden of diensten op jouw machine blootleggen. Documentatie over het ene beschrijft het andere niet, en instemmen met een tunnel is niet instemmen met bestandsdeling, zelfs wanneer één installatieprogramma beide heeft ingesteld. Houd de twee vragen apart wanneer je een instellingenpagina leest.

Het ontbreken van een luisterende poort is geen bewijs dat er niets wordt gedeeld, want een relay kan uitgaande verbindingen starten en nooit een inkomende accepteren, en precies zo vermijden peer-to-peersystemen problemen met de firewall. Kijk waar verbindingen heen gaan in plaats van alleen wat er luistert. Eén verbinding naar het eigen eindpunt van de provider ziet eruit als een client, terwijl meerdere naar adressen die je niet kunt verklaren een nadere blik verdienen. Als het model na de instellingen en de documentatie nog onduidelijk is, stel de operator dan een concrete vraag; op een werkapparaat of in een beheerd netwerk beslist de beheerder, niet de persoon met de laptop.

Schrijf op wat je zag, en controleer daarna opnieuw

Schrijf de versie, de toestanden van de instellingen en de sockets die je hebt waargenomen op, met tijdstempels, want die registratie maakt van een vermoeden een vraag die iemand kan beantwoorden. Het is ook wat je wilt hebben als maanden later een melding over misbruik binnenkomt, en een notitie in een chatvenster is geen registratie.

Het blok hieronder is voor Linux of macOS en beantwoordt dezelfde vragen als dat voor Windows. Voer het ook na een update uit, want de indeling van onderdelen verandert tussen releases en een nieuw hulpproces is gemakkelijk te missen. De socketlijst noemt het proces dat ze bezit, en dat maakt de twee blokken vergelijkbaar over releases heen.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Als een adres van jou in een klacht opduikt, bedenk dan dat een IP-adres op zichzelf geen persoon identificeert. Bewaar de melding, de tijdstempels en de instellingen die je hebt vastgelegd, en volg daarna de meldprocedure van de provider of de beheerder. Dat verwerpt de klacht niet, en het houdt een gedeeld uitgangsadres gescheiden van verkeer dat daadwerkelijk jouw eigen verbinding heeft verlaten.