Zainstalowałeś VPN? Twoja sieć lokalna nadal widzi urządzenie

Postawienie tunelu nie sprawia, że sieć lokalna zapomina o maszynie, choć to zwykłe założenie. Tablice sąsiadów, dzierżawy i lokalne rekordy nazw mówią co innego. Tunel zmienia, skąd wychodzą Twoje pakiety; nie zmienia tego, co mogą zobaczyć Twoi sąsiedzi.

Trzeba sprawdzić dwie perspektywy. Żadna z nich nie jest testem ukryte-albo-nie, który większość ludzi wykonuje najpierw.

Twoi sąsiedzi nadal znają maszynę

Adres lokalny, adres sprzętowy i w większości sieci dzierżawiona nazwa hosta pozostają przypisane do maszyny, dopóki jest podłączona. Router je wypisuje, a w płaskim segmencie inne hosty też mogą się ich nauczyć. Wykrywanie sąsiadów, przydzielanie adresów i lokalne rozwiązywanie nazw odbywają się w segmencie, a nie w tunelu, dlatego VPN ich nie tłumi. Ramki przenoszące Twój ruch są szyfrowane od końca do końca, podczas gdy dzierżawa i wpis sąsiada nigdy nie były częścią tej rozmowy.

To, co tunel ukrywa, to lista miejsc docelowych. Twój router widzi jeden zaszyfrowany strumień do jednego punktu końcowego zamiast szeregu witryn, choć wolumen, czas i reputacja punktu końcowego nadal wiele opisują.

Adres wyjściowy to tylko jedna tożsamość

Twierdzenie, że VPN ukrywa urządzenie w sieci lokalnej, jest prawdziwe w jednym wąskim sensie: zdalny obserwator nie poznaje już Twojego publicznego adresu. Nie mówi to nic o punkcie dostępowym, do którego jesteś podłączony, a on nadal zna adres sprzętowy, z którym rozmawia. Traktowanie obu obserwacji jako jednego pytania to sposób, w jaki ludzie dochodzą do wniosku, że tunel zawiódł, gdy zrobił dokładnie to, co robi tunel. Rozdziel je, a każdy wynik stanie się zrozumiały sam z siebie.

Lokalizacja ma drugi kanał, który nigdy nie dotyka adresu. Geolokalizację przeglądarki można ustalić na podstawie skanowania pobliskich punktów dostępowych, a nie adresu, ponieważ system operacyjny przekazuje ich identyfikatory usłudze wyszukiwania, która już przypisuje je do miejsc. Odłączenie radia usuwa to wejście; inny kraj wyjściowy nie.

Jeśli wynajmujesz serwer, dostawca widzi wzorzec

Uruchamianie tunelu na wynajętej instancji przenosi obserwację, a nie ją usuwa. Dostawca hostingu widzi źródło i cel zewnętrznego strumienia, ponieważ musi go trasować, a adres punktu końcowego identyfikuje usługę. Ładunek pozostaje nieczytelny, ale host, który rozmawia z jednym partnerem i z niczym innym, nie jest trudny do klasyfikacji. Nic w tym opisie nie wymaga złamania szyfru.

Wzorzec to nie treść. Jeśli chodzi o rejestry dostawcy, odpowiedzią jest dostawca z deklarowaną polityką i jurysdykcją, którą akceptujesz, a nie inny szyfr. Silniejszy szyfr niczego nie zmienia w tym, jak strumień wygląda z zewnątrz.

Tunelowanie dzielone decyduje, kto widzi Twoje zapytania

W tunelu służbowym to, co administrator może obserwować, zależy od tras instalowanych przez klienta. Jeśli w tunelu są tylko prefiksy firmowe, brama rejestruje dokładnie tę część Twojego ruchu i nic więcej. Bez tunelowania dzielonego każdy pakiet przechodzi przez pracodawcę, w tym zapytania o domeny, gdy ich resolver jest wpychany do klienta. Ta różnica decyduje, które z Twoich nawyków pracodawca w ogóle może obserwować.

Sprawdź tablicę routingu zamiast zakładać, i zauważ, kto odpowiada na zapytanie o nazwę publiczną. Gdy ich resolver odpowie na Twoje zapytania, zatrzymują zapytanie nawet wtedy, gdy strona jest pobierana gdzie indziej.

Sprawdź obie perspektywy, zanim uwierzysz którejkolwiek

Poproś drugie urządzenie w tym samym segmencie o rozwiązanie Twojej nazwy hosta i wydrukowanie swojej tablicy sąsiadów, a potem obserwuj z zewnątrz, jaki adres zgłasza usługa. Te dwie odpowiedzi opisują różne warstwy i żaden pojedynczy test ukryte-albo-nie nie obejmuje obu.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Zmieniaj jedną warstwę naraz, gdy testujesz. Wyłącz protokół wykrywania, a segment traci ten widok, podczas gdy tunel pozostaje nietknięty; zmień kraj wyjściowy, a rekord witryny się zmienia, podczas gdy segment nie.