Uma VPN oculta o endereço MAC do Wi-Fi? Não, e eis por quê

A pergunta parece uma pergunta de sim ou não, e a resposta honesta é que depende de quem pergunta. A rede Wi-Fi à qual você se conectou continua vendo o endereço que o seu dispositivo usa nesse enlace, com ou sem VPN. Um site comum, por outro lado, normalmente nem sequer recebe o seu endereço Wi-Fi. Cinco verificações separam esses dois observadores e dizem qual deles você realmente se importa.

Verificação 1: o que o ponto de acesso vê?

Uma rede de hotel pode listar o seu dispositivo conectado enquanto o tráfego do seu navegador viaja dentro de um túnel criptografado. As duas observações são verdadeiras ao mesmo tempo, porque a rede precisa falar com um dispositivo local e não precisa ler as suas páginas para isso.

O endereço que ela vê pode ser o endereço de hardware gravado no adaptador ou um endereço privado gerado pelo sistema operacional. Se você forneceu um número de quarto ou uma conta de hóspede para se conectar, esse registro de admissão fica ao lado do registro do dispositivo e sobrevive à sua sessão de VPN.

Trocar de servidores VPN não faz nada a esses registros locais. Eles foram criados antes que qualquer túnel existisse.

Verificação 2: o que um site vê?

Os roteadores encaminham pacotes IP entre enlaces, e o endereço da camada de enlace usado no seu Wi-Fi não é um envelope que viaja inalterado até cada destino. Para o tráfego que sai por uma VPN, o site normalmente vê o endereço IP público da saída.

Ele ainda pode receber cookies, uma sessão autenticada e características do navegador que identificam o seu software cliente. A impressão digital é um método real de rastreamento e não é a mesma coisa que ler um MAC do Wi-Fi a partir de uma requisição web.

Então, se o seu modelo de ameaça é um site que correlaciona você entre visitas, a saída da VPN e o estado do seu navegador são a superfície relevante. O endereço do seu adaptador Wi-Fi não faz parte dessa conversa. É por isso que uma VPN pode mudar o que um site sabe sobre você enquanto a visão da rede local fica completamente intacta. Duas camadas, dois observadores, nenhuma contradição.

Verificação 3: a VPN é em ponte ou roteada?

A maioria das VPN de consumidor é roteada: uma interface TUN transporta pacotes IP, e o adaptador virtual do sistema operacional convidado tem o seu próprio contexto de endereçamento. Nada da sua trama Wi-Fi chega ao outro lado.

Algumas VPN de rede privada fazem ponte de tramas Ethernet em vez disso, usando uma interface TAP. Nesse desenho, informações em nível de MAC podem passar para o segmento remoto, e por isso a afirmação geral de que nenhum endereço MAC pode jamais atravessar qualquer VPN é forte demais.

Se você está depurando esse tipo de configuração, nomeie a interface à qual o endereço pertence: o adaptador Wi-Fi físico, o adaptador virtual ou um segmento remoto em ponte. São três respostas diferentes e as pessoas as confundem constantemente.

Verificação 4: você quer um identificador local diferente?

Tanto o Apple quanto o Android suportam endereços Wi-Fi privados ou aleatorizados. O recurso reduz a dependência de um identificador sem fio persistente, com comportamento que varia conforme o dispositivo, a rede e a versão do software. A documentação da Apple descreve endereços por rede e opções de persistência nos sistemas compatíveis.

O que ele não faz é ocultar o endereço em uso neste momento. O ponto de acesso ainda precisa de um endereço para onde enviar tramas, então o endereçamento privado muda a continuidade, não a visibilidade. Leia essa configuração como um controle de privacidade contra o rastreamento entre redes, não como uma forma de ficar anônimo na rede que você está usando. São promessas diferentes, e só a primeira é oferecida.

Se uma rede gerenciada recusar admitir um dispositivo que usa endereçamento privado, verifique os requisitos documentados da rede antes de supor que a culpa é da VPN. Uma VPN não pode reparar uma falha que ocorre antes de o dispositivo ter acesso normal à rede.

Verificação 5: o que você está realmente tentando impedir?

Escreva o objetivo em uma frase. Se for impedir que este café reconheça o meu dispositivo amanhã, o endereçamento privado é o controle e uma VPN é irrelevante. Se for impedir que este site veja o endereço da minha casa, a saída da VPN é o controle e o MAC nunca importou.

Se for impedir que uma rede privada remota conheça o endereço do meu adaptador, verifique se o túnel está em ponte, porque esse é o único desenho em que a pergunta tem uma resposta real.

Use uma verificação de IP público para inspecionar a rota de saída, e a configuração de endereço privado do dispositivo para inspecionar a identidade sem fio local. Elas respondem a perguntas diferentes, e a documentação da Apple sobre o endereço Wi-Fi privado é uma boa referência para a segunda. Nenhuma das configurações torna um dispositivo ativo invisível para a rede à qual ele se conectou, e nenhuma VPN muda o que o ponto de acesso já registrou.