Har du installert VPN? Det lokale nettet ser framleis eininga

Å reise ein tunnel får ikkje det lokale nettet til å gløyme maskina, sjølv om det er den vanlege føresetnaden. Nabolagstabellar, leigeavtalar og lokale namneoppføringar seier noko anna. Tunnelen endrar kvar pakkane dine går ut; han endrar ikkje kva naboane dine kan sjå.

To synspunkt må sjekkast. Ingen av dei er den skjult-eller-ikkje-testen som folk flest køyrer først.

Naboane dine kjenner framleis maskina

Ei lokal adresse, ei maskinvareadresse og i dei fleste nettverk eit leigt vertsnamn blir verande knytte til maskina medan ho er tilkopla. Ein ruter listar dei opp, og på eit flatt segment kan andre vertar òg lære dei. Nabo-oppdaging, adressetildeling og lokalt namneoppslag skjer på segmentet og ikkje inne i tunnelen, og difor undertrykkjer ikkje ein VPN dei. Rammane som ber trafikken din, er krypterte ende til ende, medan leigeavtalen og nabo-oppføringa aldri var ein del av den samtalen.

Det tunnelen skjuler, er lista over destinasjonar. Ruteren din ser éin kryptert straum til eitt endepunkt i staden for ei rekkje nettstader, sjølv om volum, timing og omdømet til endepunktet framleis skildrar ein heil del.

Utgangsadressa er berre éin identitet

Påstanden om at ein VPN skjuler ei eining på eit lokalt nettverk, er sann i éin snever forstand: ein ekstern observatør lærer ikkje lenger den offentlege adressa di. Det seier ingenting om aksesspunktet du er kopla til, som framleis kjenner maskinvareadressa det snakkar med. Å handsame dei to observasjonane som eitt spørsmål er måten folk konkluderer med at ein tunnel feila, når han gjorde nøyaktig det ein tunnel gjer. Skil dei, og kvart resultat blir tolkande i seg sjølv.

Posisjon har ein annan kanal som aldri rører ei adresse. Nettlesaren sin geolokasjon kan svarast frå ein skanning av nærliggande aksesspunkt i staden for ei adresse, fordi operativsystemet gjev identifikatorane deira til ein oppslagsteneste som alt knyter dei til stader. Å kople frå radioen fjernar den inngangen; eit anna utgangsland gjer ikkje det.

Leiger du tenaren, ser leverandøren mønsteret

Å køyre tunnelen på ein leigd instans flyttar observasjonen i staden for å fjerne han. Hostingleverandøren ser kjelda og destinasjonen til den ytre straumen fordi han må rute han, og adressa til endepunktet identifiserer tenesta. Nyttelasta blir verande uleseleg, men ein vert som snakkar med éin motpart og med ingenting anna er ikkje vanskeleg å klassifisere. Ingenting i den skildringa krev å bryte ein chiffre.

Eit mønster er ikkje innhald. Om bekymringa er registreringane til leverandøren, er svaret ein leverandør med ein erklært policy og ein jurisdiksjon du godtek, ikkje ein annan chiffre. Ein sterkare chiffre endrar ingenting ved korleis straumen ser ut utanfrå.

Splitta tunnellering avgjer kven som ser spørjingane dine

Med ein arbeidstunnel avheng det administratoren kan observere, av rutene klienten installerer. Er berre bedriftsprefiksa i tunnelen, registrerer gatewayen nøyaktig den delen av trafikken din og ingenting anna. Utan splitta tunnellering går kvar pakke gjennom arbeidsgjevaren, inkludert domenesøk når resolvarane deira blir skyvne til klienten. Den skilnaden avgjer kva av vanane dine arbeidsgjevaren i det heile kan observere.

Sjekk rutetabellen i staden for å anta, og legg merke til kven som svarar på eit oppslag for eit offentleg namn. Når resolvaren deira svarar på oppslaga dine, held dei på spørjinga sjølv når sida blir henta ein annan stad.

Sjekk begge synspunkt før du trur på noko av dei

Be ei anna eining på same segment om å slå opp vertsnamnet ditt og skrive ut nabolagstabellen sin, og observer deretter utanfrå kva adresse ei teneste rapporterer. Dei to svara skildrar ulike lag, og ingen einskild skjult-eller-ikkje-test dekkjer begge.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Endre eitt lag om gongen når du testar. Slå av oppdagingsprotokollen, og segmentet misser det synspunktet medan tunnelen blir verande urørt; byt utgangsland, og oppføringa til eit nettstad endrar seg medan segmentet ikkje gjer det.