VPN geïnstalleerd? Je lokale netwerk ziet het apparaat nog steeds

Een tunnel opzetten zorgt er niet voor dat het lokale netwerk de machine vergeet, hoewel dat de gebruikelijke aanname is. Buurtabellen, leases en lokale naamrecords zeggen iets anders. De tunnel verandert waar je pakketten naar buiten gaan; hij verandert niet wat je buren kunnen zien.

Twee perspectieven moeten worden gecontroleerd. Geen van beide is de verborgen-of-niet-test die de meeste mensen eerst doen.

Je buren kennen de machine nog steeds

Een lokaal adres, een hardwareadres en in de meeste netwerken een geleasede hostnaam blijven aan de machine gekoppeld zolang die verbonden is. Een router somt ze op, en op een plat segment kunnen andere hosts ze ook leren. Buurontdekking, adrestoewijzing en lokale naamresolutie vinden op het segment plaats en niet in de tunnel, daarom onderdrukt een VPN ze niet. De frames die je verkeer dragen zijn end-to-end versleuteld, terwijl de lease en de buurvermelding nooit deel van dat gesprek waren.

Wat de tunnel verbergt, is de lijst met bestemmingen. Je router ziet één versleutelde stroom naar één eindpunt in plaats van een reeks sites, al beschrijven volume, timing en de reputatie van het eindpunt nog steeds veel.

Het uitgangsadres is maar één identiteit

De bewering dat een VPN een apparaat op een lokaal netwerk verbergt, klopt in één nauwe zin: een externe waarnemer leert je openbare adres niet meer. Dat zegt niets over het toegangspunt waar je aan hangt, dat nog steeds het hardwareadres kent waarmee het praat. De twee waarnemingen als één vraag behandelen is de manier waarop mensen concluderen dat een tunnel faalde toen hij precies deed wat een tunnel doet. Scheid ze en elk resultaat wordt op zichzelf interpreteerbaar.

Locatie heeft een tweede kanaal dat nooit een adres raakt. Browsergeolocatie kan worden beantwoord uit een scan van nabije toegangspunten in plaats van een adres, omdat het besturingssysteem hun identificaties aan een opzoekservice geeft die ze al aan plaatsen koppelt. De radio loskoppelen haalt die invoer weg; een ander uitgangsland niet.

Huur je de server, dan ziet de provider het patroon

De tunnel op een gehuurde instantie draaien verplaatst de waarneming in plaats van haar te verwijderen. De hostingprovider ziet de bron en bestemming van de buitenste stroom omdat hij die moet routeren, en het eindpuntadres identificeert de dienst. De payload blijft onleesbaar, maar een host die met één peer en met niets anders praat is niet moeilijk te classificeren. Niets in die beschrijving vereist het breken van een versleuteling.

Een patroon is geen inhoud. Gaat het om de administratie van de provider, dan is het antwoord een provider met een verklaard beleid en een jurisdictie die je accepteert, niet een andere versleuteling. Een sterkere versleuteling verandert niets aan hoe de stroom er van buiten uitziet.

Split-tunneling bepaalt wie je queries ziet

Bij een werktunnel hangt wat de beheerder kan observeren af van de routes die de client installeert. Staan alleen de bedrijfsprefixen in de tunnel, dan registreert de gateway precies dat deel van je verkeer en niets anders. Zonder split-tunneling gaat elk pakket via de werkgever, inclusief domeinopzoekingen wanneer hun resolver naar de client wordt geduwd. Dat verschil bepaalt welke van je gewoonten de werkgever überhaupt kan observeren.

Controleer de routingtabel in plaats van aan te nemen, en let op wie een query voor een openbare naam beantwoordt. Zodra hun resolver je queries beantwoordt, houden zij de query vast, ook wanneer de pagina elders wordt opgehaald.

Controleer beide perspectieven voordat je er één gelooft

Vraag een tweede apparaat op hetzelfde segment je hostnaam op te lossen en zijn buurtabel af te drukken, en observeer dan van buiten welk adres een dienst meldt. Die twee antwoorden beschrijven verschillende lagen, en geen enkele verborgen-of-niet-test dekt beide.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Verander één laag tegelijk wanneer je test. Zet het ontdekkingsprotocol uit en het segment verliest dat zicht terwijl de tunnel onaangeroerd blijft; wissel van uitgangsland en het record van een website verandert terwijl het segment dat niet doet.