ਤੁਹਾਡੇ VPN ਰਾਹੀਂ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਅਜੇ ਵੀ ਕੀ ਦੇਖਦਾ ਹੈ

ਜਦੋਂ ਵੀ ਕੋਈ ਪੁੱਛਦਾ ਹੈ ਕਿ ਕੀ VPN ਉਸ ਦਾ ਟ੍ਰੈਫ਼ਿਕ ਲੁਕਾਉਂਦਾ ਹੈ, ਤਿੰਨ ਨਿਰੀਖਕ ਇੱਕ ਸਵਾਲ ਵਿੱਚ ਰਲ ਜਾਂਦੇ ਹਨ: ਜਿਸ ਨੈੱਟਵਰਕ ਨਾਲ ਉਹ ਜੁੜਿਆ ਹੈ, ਉਸ ਦੇ ਹੱਥ ਵਿੱਚਲੀ ਮਸ਼ੀਨ, ਅਤੇ ਸੁਰੰਗ ਦਾ ਆਪਰੇਟਰ। ਹਰ ਇੱਕ ਵੱਖਰੀ ਚੀਜ਼ ਸਿੱਖਦਾ ਹੈ, ਅਤੇ ਸੁਰੰਗ ਉਹਨਾਂ ਨਜ਼ਰੀਆਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਨੂੰ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਬਦਲਦੀ ਹੈ। ਉਲਟ ਦਿਸ਼ਾ ਵਿੱਚ ਕੰਮ ਕਰਨਾ ਅਤੇ ਜਿਹੜਾ ਦਾਅਵਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ ਉਸ ਤੋਂ ਸ਼ੁਰੂ ਕਰਨਾ ਲਾਹੇਵੰਦ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਜਾਂਚ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਦਾਅਵੇ ਨੇ ਹੀ ਹੁੰਦਾ ਹੈ। ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਦਾਅਵਾ ਚਾਹੀਦਾ ਹੈ ਇਹ ਤੈਅ ਕਰੋ, ਫਿਰ ਉਸ ਨਾਲ ਸਾਧਨਾਂ ਦੀ ਤੁਲਨਾ ਕਰੋ।

ਪਹਿਲਾ ਦਾਅਵਾ: ਕੋਈ ਟ੍ਰੈਫ਼ਿਕ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ

ਸਭ ਤੋਂ ਸੰਕੀਰਣ ਦਾਅਵੇ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ: ਪੇਲੋਡ ਪੜ੍ਹਨਯੋਗ ਨਹੀਂ ਰਹਿੰਦਾ। ਰਸਤੇ ਉੱਤੇ ਬੈਠਾ ਨਿਸ਼ਕਿਰਿਆ ਨਿਰੀਖਕ TLS ਸੈਸ਼ਨ ਦੇ ਅੰਦਰ ਨਹੀਂ ਦੇਖ ਸਕਦਾ, ਇਸ ਲਈ ਸੁਰੰਗ ਉਸ ਸਾਈਟ ਵਿੱਚ ਥੋੜ੍ਹਾ ਹੀ ਜੋੜਦੀ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ HTTPS ਵਰਤਦੀ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਸਿਰਿਆਂ ਦੇ ਖਿਲਾਫ਼ ਕੁਝ ਨਹੀਂ ਜੋੜਦੀ। ਇਹ ਦਾਅਵਾ ਉਹ ਤੋੜਦਾ ਹੈ ਜੋ ਡਿਵਾਈਸ ਨੂੰ ਕੰਟਰੋਲ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਜਾਂਚ ਪ੍ਰੌਕਸੀ ਕਨੈਕਸ਼ਨ ਖ਼ਤਮ ਕਰਦੀ ਹੈ ਅਤੇ ਉਸ ਨੂੰ ਉਸ ਮੂਲ ਨਾਲ ਦੁਬਾਰਾ ਦਸਤਖ਼ਤ ਕਰਦੀ ਹੈ ਜਿਸ ਉੱਤੇ ਮਸ਼ੀਨ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਕਰਦੀ ਹੈ। ਇਸੇ ਲਈ ਸਰਟੀਫਿਕੇਟ ਲੜੀ ਵਿੱਚ ਮੂਲ ਸਥਾਪਿਤ ਕਰਨ ਵਾਲੀ ਸੰਸਥਾ ਦਾ ਨਾਮ ਹੋਣ ਦੇ ਬਾਵਜੂਦ ਤਾਲਾ ਅਜੇ ਵੀ ਦਿਸਦਾ ਹੈ।

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS ਉੱਤੇ ਉਹ ਪਾਈਪਲਾਈਨ ਮਸ਼ੀਨ ਦੀ ਕੁੰਜੀਗੁੱਛ ਵਿੱਚ ਹਰ ਸਰਟੀਫਿਕੇਟ ਲਈ ਇੱਕ ਵਿਸ਼ਾ-ਲਾਈਨ ਛਾਪਦੀ ਹੈ, ਵਿੰਡੋ ਖੋਲ੍ਹੇ ਬਿਨਾਂ, ਅਤੇ Windows ਉੱਤੇ certutil -store Root ਉਹੀ ਸਟੋਰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ ਜੋ certlm.msc ਗ੍ਰਾਫ਼ਿਕ ਰੂਪ ਵਿੱਚ ਦਿਖਾਉਂਦਾ ਹੈ। ਸਕੂਲ, ਰੁਜ਼ਗਾਰਦਾਤਾ ਜਾਂ ਨੈੱਟਵਰਕ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਦਾ ਮੂਲ ਹੀ ਉਹ ਐਂਟਰੀ ਹੈ ਜੋ ਲੱਭਣੀ ਚਾਹੀਦੀ ਹੈ। ਇੱਕ ਮਿਲਣਾ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਰੋਕਥਾਮ ਸੰਭਵ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਉਹ ਹੋ ਰਹੀ ਹੈ।

ਇਸ ਬਾਰੇ ਤੁਸੀਂ ਕੀ ਕਰ ਸਕਦੇ ਹੋ ਇਹ ਤਕਨੀਕ ਦਾ ਨਹੀਂ, ਨੀਤੀ ਦਾ ਸਵਾਲ ਹੈ। ਜੋ ਹਾਰਡਵੇਅਰ ਤੁਹਾਡਾ ਨਹੀਂ ਉਸ ਵਿੱਚੋਂ ਪ੍ਰੋਫ਼ਾਈਲ ਜਾਂ ਜਾਂਚ ਮੂਲ ਹਟਾਉਣਾ ਆਮ ਤੌਰ ਉੱਤੇ ਸਵੀਕਾਰਯੋਗ ਵਰਤੋਂ ਦੇ ਸਮਝੌਤੇ ਦੀ ਉਲੰਘਣਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਬੰਧਨ ਪ੍ਰਣਾਲੀ ਇਸ ਨੂੰ ਨੋਟਿਸ ਕਰਕੇ ਦੁਬਾਰਾ ਲਾਗੂ ਕਰਦੀ ਹੈ, ਇਸ ਲਈ ਇਹ ਸ਼ਰਤ ਕਿ ਡਿਵਾਈਸ ਦਾ ਮਾਲਕ ਤੁਹਾਡਾ ਟ੍ਰੈਫ਼ਿਕ ਨ ਪੜ੍ਹੇ, ਦੂਜਾ ਡਿਵਾਈਸ ਮੰਗਦੀ ਹੈ, ਦੂਜੀ ਸੈਟਿੰਗ ਨਹੀਂ।

ਦੂਜਾ ਦਾਅਵਾ: ਕੋਈ ਨਹੀਂ ਦੇਖ ਸਕਦਾ ਕਿ ਤੁਸੀਂ ਕਿੱਥੇ ਜਾਂਦੇ ਹੋ

ਮੰਜ਼ਿਲ ਵੱਧ ਔਖਾ ਦਾਅਵਾ ਹੈ, ਕਿਉਂਕਿ ਪੰਨਾ ਲੋਡ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋ ਖੁਲਾਸੇ ਹੁੰਦੇ ਹਨ। ਕੁਐਰੀ ਉਸ ਰਿਜ਼ੋਲਵਰ ਕੋਲ ਜਾਂਦੀ ਹੈ ਜਿਸ ਨੂੰ ਵਰਤਣ ਲਈ ਸਿਸਟਮ ਸੰਰਚਿਤ ਹੈ, ਅਤੇ ਜਵਾਬ ਉਸ ਨੈੱਟਵਰਕ ਨੂੰ ਦਿਸਦਾ ਹੈ ਜੋ ਇਸ ਨੂੰ ਢੋਂਦਾ ਹੈ। ਫਿਰ TLS ਹੈਂਡਸ਼ੇਕ ਮੰਗੇ ਗਏ ਸਰਵਰ ਦਾ ਨਾਮ ਖੁੱਲ੍ਹੇ ਰੂਪ ਵਿੱਚ ਢੋਂਦਾ ਹੈ, ਜਦ ਤੱਕ ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ Encrypted Client Hello ਸਮਰਥਿਤ ਨਾ ਹੋਵੇ। ਦੋਵਾਂ ਖੁਲਾਸਿਆਂ ਵਿੱਚ ਡੀਕ੍ਰਿਪਸ਼ਨ ਨਹੀਂ ਹੁੰਦਾ, ਇਸ ਲਈ ਸੁਰੰਗ ਦਾ ਦੋਵਾਂ ਉੱਤੇ ਕੋਈ ਅਸਰ ਨਹੀਂ।

resolvectl status | grep -A2 "Link"
nslookup example.com

ਕਿਹੜਾ ਰਿਜ਼ੋਲਵਰ ਅਸਲ ਵਿੱਚ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ ਇਹੀ ਖੁਲਾਸੇ ਦੀ ਮਾਤਰਾ ਤੈਅ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਬਹਿਸ ਕਰਨ ਦੀ ਥਾਂ ਮਾਪਿਆ ਜਾ ਸਕਦਾ ਹੈ। Linux ਉੱਤੇ resolvectl status ਹਰ ਲਿੰਕ ਲਈ DNS ਸਰਵਰ ਛਾਪਦਾ ਹੈ, ਅਤੇ ਇਸ ਦਾ ਆਉਟਪੁੱਟ ਦੱਸਦਾ ਹੈ ਕਿ ਸਾਈਟ ਦਾ ਰਿਜ਼ੋਲਵਰ ਜਵਾਬ ਦੇ ਰਿਹਾ ਹੈ ਜਾਂ ਥੋਪਿਆ ਗਿਆ। Windows ਉਸੇ ਸਵਾਲ ਦਾ ਜਵਾਬ nslookup example.com ਨਾਲ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਦੇ ਆਉਟਪੁੱਟ ਦਾ ਪਹਿਲਾ ਬਲਾਕ ਜਵਾਬ ਦੇਣ ਵਾਲਾ DNS ਸਰਵਰ ਹੈ।

ਜਦੋਂ ਲੈਪਟਾਪ ਸੁਰੰਗ ਉੱਠਣ ਤੋਂ ਪਹਿਲਾਂ ਸਾਈਟ ਦੇ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਪੁੱਛਦਾ ਹੈ, ਜਾਂ ਪ੍ਰੋਫ਼ਾਈਲ ਬਿਨਾਂ ਬਦਲਵੇਂ ਸਰਵਰ ਦੇ ਆਉਂਦਾ ਹੈ ਤਾਂ ਪੁਰਾਣਾ ਵਰਤੋਂ ਵਿੱਚ ਰਹਿੰਦਾ ਹੈ, ਤਾਂ ਵੀ ਪ੍ਰਬੰਧਕ ਕੁਝ ਵੀ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਬਿਨਾਂ ਹੋਸਟਨਾਮ ਇਕੱਠੇ ਕਰਦਾ ਹੈ। ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟਿਡ DNS ਜਾਂ ਤਾਂ ਥੋਪੇ ਰਿਜ਼ੋਲਵਰ ਨੂੰ ਬਚਾ ਜਾਂਦਾ ਹੈ ਜਾਂ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਲਾਕ ਹੋ ਕੇ ਬੰਦ ਹਾਲਤ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ। ਐਗਜ਼ਿਟ ਆਪਰੇਟਰ ਆਪਣੇ ਪਾਸਿਓਂ ਉਹੀ ਨਾਮ ਦੇਖਦਾ ਹੈ। ਇਸ ਲਈ ਰਿਜ਼ੋਲਵਰ ਬਦਲਣ ਨਾਲ ਉਹ ਖੁਲਾਸਾ ਸੁਰੰਗ ਸਪਲਾਇਰ ਤੋਂ ਦੂਰ ਨਹੀਂ ਹੁੰਦਾ।

ਤੀਜਾ ਦਾਅਵਾ: ਕਿਸੇ ਨੂੰ ਨਹੀਂ ਪਤਾ ਕਿ ਤੁਸੀਂ ਜੁੜੇ

ਤੀਜਾ ਦਾਅਵਾ ਉਹ ਹੈ ਜਿਸ ਨੂੰ ਸੁਰੰਗ ਸਹਾਰਾ ਨਹੀਂ ਦੇ ਸਕਦੀ, ਕਿਉਂਕਿ ਪੈਕਟ ਅਜੇ ਵੀ ਸਥਾਨਕ ਨੈੱਟਵਰਕ ਪਾਰ ਕਰਦੇ ਹਨ। ਉਹ ਨੈੱਟਵਰਕ ਸਿਰੇ ਦਾ ਪਤਾ, ਅੰਦਾਜ਼ਨ ਮਾਤਰਾ, ਸਮਾਂ ਅਤੇ ਇੱਕ ਲੰਮੇ ਸਮੇਂ ਚੱਲਣ ਵਾਲੇ ਐਨਕ੍ਰਿਪਟਿਡ ਸੈਸ਼ਨ ਦੀ ਹੋਂਦ ਜਾਣਦਾ ਹੈ, ਜੋ ਬਲਾਕ ਕਰਨ, ਸੀਮਤ ਕਰਨ ਜਾਂ ਕੇਵਲ ਧਿਆਨ ਦੇਣ ਲਈ ਕਾਫ਼ੀ ਹੈ। ਪੈਕਟ ਨ ਪੜ੍ਹ ਸਕਣ ਵਾਲਾ ਫਾਇਰਵਾਲ ਵੀ ਉਸ ਨੂੰ ਲੰਘਣ ਤੋਂ ਇਨਕਾਰ ਕਰ ਸਕਦਾ ਹੈ। ਦੇਖਿਆ ਜਾਣਾ ਉਹੀ ਨਹੀਂ ਜੋ ਕੋਈ ਨਾ ਦੇਖੇ: ਤੁਸੀਂ ਨਿਰੀਖਕ ਹਟਾਇਆ ਨਹੀਂ, ਬਦਲਿਆ ਹੈ।

ਵੰਡਿਆ ਟਨਲਿੰਗ ਅਤੇ ਥੋਪੇ ਰਸਤੇ ਨੂੰ ਅਣਡਿੱਠਾ ਕਰਨ ਵਾਲੀ ਕੋਈ ਵੀ ਐਪ ਸੁਰੰਗ ਤੋਂ ਬਾਹਰ ਪਹਿਲਾਂ ਵਰਗੇ ਦਿਸਣ ਵਾਲੇ ਪ੍ਰਵਾਹ ਬਣਾਉਂਦੇ ਹਨ। ਸਾਵਧਾਨ ਨਿਰੀਖਕ ਪਹਿਲਾਂ ਇਹਨਾਂ ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਹੀ ਨੋਟਿਸ ਕਰਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਦੀ ਰੂਟ ਸਾਰਣੀ ਦਿਖਾਉਂਦੀ ਹੈ ਕਿ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਬਾਹਰ ਰੱਖੀਆਂ ਹਨ।

ਦੂਜੇ ਸਿਰੇ ਦਾ ਆਪਰੇਟਰ ਉਸ ਦ੍ਰਿਸ਼ ਦਾ ਸ਼ੀਸ਼ਾ-ਚਿੱਤਰ ਰੱਖਦਾ ਹੈ: ਨਿਕਾਸ ਪਤਾ, ਸਮਾਂ, ਮਾਤਰਾ ਅਤੇ ਆਮ ਤੌਰ ਉੱਤੇ ਸਾਈਟਾਂ ਦੇ ਨਾਮ। ਤੁਹਾਡਾ ਸਪਲਾਇਰ ਹੀ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਵਾਲਾ ਧਿਰ ਬਣ ਜਾਂਦਾ ਹੈ, ਜੋ ਅਦ੍ਰਿਸ਼ਤਾ ਤੋਂ ਵੱਖਰਾ ਸੌਦਾ ਹੈ। ਭਰੋਸੇਯੋਗ ਸਪਲਾਇਰ ਚੁਣਨਾ ਸੱਚਾ ਫ਼ੈਸਲਾ ਹੈ; ਨਤੀਜੇ ਨੂੰ ਅਣ-ਨਿਰੀਖਿਤ ਕਹਿਣਾ ਨਹੀਂ।

ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਦਾਅਵਾ ਚਾਹੀਦਾ ਹੈ ਇਹ ਤੈਅ ਕਰੋ

ਕਲਾਇੰਟ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜ ਇੱਕ ਲਾਈਨ ਵਿੱਚ ਲਿਖੋ: ਸਮੱਗਰੀ ਲੁਕਾਓ, ਮੰਜ਼ਿਲਾਂ ਲੁਕਾਓ, ਜਾਂ ਤੁਸੀਂ ਜੁੜੇ ਸੀ ਕਿ ਨਹੀਂ ਇਹੀ ਲੁਕਾਓ। ਸਮੱਗਰੀ HTTPS ਅਤੇ ਸੁਰੰਗ ਪਹਿਲਾਂ ਹੀ ਸੰਭਾਲਦੇ ਹਨ, ਪਰ ਮੰਜ਼ਿਲਾਂ ਲਈ ਅਜਿਹਾ ਰਿਜ਼ੋਲਵਰ ਅਤੇ ਰਸਤਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਸਾਈਟ ਦੇ ਸਾਜ਼ੋ-ਸਾਮਾਨ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਚਾ ਜਾਵੇ।

ਤੀਜੀ ਲੋੜ ਹੀ ਅਸੁਵਿਧਾਜਨਕ ਹੈ, ਕਿਉਂਕਿ ਕਿਤੇ ਕੁਝ ਅਜੇ ਵੀ ਦਿਸਣਯੋਗ ਢੰਗ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਐਨਕ੍ਰਿਪਟਿਡ ਹੋਵੇ ਜਾਂ ਨਾ। ਕੋਈ ਕਲਾਇੰਟ ਸੈਟਿੰਗ ਇਸ ਨੂੰ ਨਹੀਂ ਬਦਲਦੀ। ਜੇ ਲੋੜ ਅਤੇ ਨੀਤੀ ਵੱਖ ਹੋ ਜਾਣ, ਤਾਂ ਉਹ ਖੱਪਾ ਨੀਤੀ ਦੇ ਮਾਲਕ ਨਾਲ ਗੱਲਬਾਤ ਦਾ ਵਿਸ਼ਾ ਹੈ, ਕਲਾਇੰਟ ਵਿਕਲਪ ਦਾ ਨਹੀਂ। ਇਸ ਦਾ ਜਵਾਬ ਦੇ ਸਕਣ ਵਾਲਾ ਵਿਅਕਤੀ ਨੀਤੀ ਲਿਖਣ ਵਾਲਾ ਹੀ ਹੈ।