Har du installert VPN? Det lokale nettverket ser fortsatt enheten

Å reise en tunnel får ikke det lokale nettverket til å glemme maskinen, selv om det er den vanlige antakelsen. Nabolagstabeller, leieavtaler og lokale navneposter sier noe annet. Tunnelen endrer hvor pakkene dine går ut; den endrer ikke hva naboene dine kan se.

To synspunkter må sjekkes. Ingen av dem er den skjult-eller-ikke-testen som folk flest kjører først.

Naboene dine kjenner fortsatt maskinen

En lokal adresse, en maskinvareadresse og i de fleste nettverk et leid vertsnavn forblir knyttet til maskinen mens den er tilkoblet. En ruter lister dem opp, og på et flatt segment kan andre verter også lære dem. Nabo-oppdagelse, adressetildeling og lokal navneoppslag skjer på segmentet og ikke inne i tunnelen, og derfor undertrykker ikke en VPN dem. Rammene som bærer trafikken din, er kryptert ende til ende, mens leieavtalen og nabooppføringen aldri var en del av den samtalen.

Det tunnelen skjuler, er listen over destinasjoner. Ruteren din ser én kryptert strøm til ett endepunkt i stedet for en rekke nettsteder, selv om volum, timing og endepunktets omdømme fortsatt beskriver en hel del.

Utgangsadressen er bare én identitet

Påstanden om at en VPN skjuler en enhet på et lokalt nettverk, er sann i én snever forstand: en ekstern observatør lærer ikke lenger din offentlige adresse. Det sier ingenting om aksesspunktet du er koblet til, som fortsatt kjenner maskinvareadressen den snakker med. Å behandle de to observasjonene som ett spørsmål er måten folk konkluderer med at en tunnel feilet, når den gjorde nøyaktig det en tunnel gjør. Skill dem, og hvert resultat blir tolkbar i seg selv.

Posisjon har en annen kanal som aldri berører en adresse. Nettleserens geolokasjon kan besvares fra en skanning av nærliggende aksesspunkter i stedet for en adresse, fordi operativsystemet gir identifikatorene deres til en oppslagstjeneste som allerede knytter dem til steder. Å koble fra radioen fjerner den inngangen; et annet utgangsland gjør ikke det.

Leier du serveren, ser leverandøren mønsteret

Å kjøre tunnelen på en leid instans flytter observasjonen i stedet for å fjerne den. Hostingleverandøren ser kilden og destinasjonen til den ytre strømmen fordi den må rute den, og endepunktets adresse identifiserer tjenesten. Nyttelasten forblir uleselig, men en vert som snakker med én motpart og med ingenting annet er ikke vanskelig å klassifisere. Ingenting i den beskrivelsen krever å bryte en chiffre.

Et mønster er ikke innhold. Hvis bekymringen er leverandørens registreringer, er svaret en leverandør med en erklært policy og en jurisdiksjon du aksepterer, ikke en annen chiffre. En sterkere chiffre endrer ingenting ved hvordan strømmen ser ut utenfra.

Splittet tunnellering avgjør hvem som ser spørringene dine

Med en arbeidstunnel avhenger det administratoren kan observere, av rutene klienten installerer. Hvis bare bedriftsprefiksene er i tunnelen, registrerer gatewayen nøyaktig den delen av trafikken din og ingenting annet. Uten splittet tunnellering går hver pakke gjennom arbeidsgiveren, inkludert domenesøk når resolvere deres skyves til klienten. Den forskjellen avgjør hvilke av vanene dine arbeidsgiveren i det hele tatt kan observere.

Sjekk rutetabellen i stedet for å anta, og legg merke til hvem som svarer på et oppslag for et offentlig navn. Når resolvere deres svarer på oppslagene dine, beholder de spørringen selv når siden hentes et annet sted.

Sjekk begge synspunkter før du tror på noen av dem

Be en annen enhet på samme segment om å slå opp vertsnavnet ditt og skrive ut nabolagstabellen sin, og observer deretter utenfra hvilken adresse en tjeneste rapporterer. De to svarene beskriver forskjellige lag, og ingen enkelt skjult-eller-ikke-test dekker begge.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Endre ett lag om gangen når du tester. Slå av oppdagelsesprotokollen, og segmentet mister det synspunktet mens tunnelen forblir urørt; bytt utgangsland, og posten til et nettsted endres mens segmentet ikke gjør det.