Instalou uma VPN? A rede local ainda vê o dispositivo

Levantar um túnel não faz a rede local esquecer a máquina, embora essa seja a suposição habitual. As tabelas de vizinhos, os arrendamentos e os registos de nomes locais dizem outra coisa. O túnel muda por onde os seus pacotes saem; não muda o que os seus vizinhos podem ver.

É preciso verificar duas perspetivas. Nenhuma delas é o teste de oculto ou não que a maioria das pessoas faz primeiro.

Os seus vizinhos ainda conhecem a máquina

Um endereço local, um endereço de hardware e, na maioria das redes, um nome de host arrendado continuam ligados à máquina enquanto ela está conectada. Um roteador lista-os, e num segmento plano outros hosts também podem aprendê-los. A descoberta de vizinhos, a atribuição de endereços e a resolução de nomes local acontecem no segmento e não dentro do túnel, por isso uma VPN não as suprime. As tramas que transportam o seu tráfego são cifradas de ponta a ponta, enquanto o arrendamento e a entrada de vizinho nunca fizeram parte dessa conversa.

O que o túnel esconde é a lista de destinos. O seu roteador vê um único fluxo cifrado para um único ponto final em vez de uma série de sites, ainda que o volume, o momento e a reputação do ponto final descrevam bastante.

O endereço de saída é apenas uma identidade

A afirmação de que uma VPN oculta um dispositivo numa rede local é verdadeira num sentido estreito: um observador remoto já não conhece o seu endereço público. Isso não diz nada sobre o ponto de acesso a que está ligado, que ainda conhece o endereço de hardware com que fala. Tratar as duas observações como uma só pergunta é como as pessoas concluem que um túnel falhou quando ele fez exatamente o que um túnel faz. Separe-as e cada resultado torna-se interpretável por si só.

A localização tem um segundo canal que nunca toca num endereço. A geolocalização do navegador pode ser respondida a partir de uma análise de pontos de acesso próximos em vez de um endereço, porque o sistema operativo entrega os seus identificadores a um serviço de consulta que já os associa a lugares. Desligar o rádio remove essa entrada; um país de saída diferente não.

Se alugar o servidor, o provedor vê o padrão

Executar o túnel numa instância alugada desloca a observação em vez de a eliminar. O provedor de alojamento vê a origem e o destino do fluxo exterior porque tem de o encaminhar, e o endereço do ponto final identifica o serviço. A carga útil continua ilegível, mas um host que fala com um único par e com mais nada não é difícil de classificar. Nada nessa descrição exige quebrar uma cifra.

Um padrão não é conteúdo. Se a preocupação são os registos do provedor, a resposta é um provedor com uma política declarada e uma jurisdição que aceite, não uma cifra diferente. Uma cifra mais forte não muda nada na forma como o fluxo parece do exterior.

O túnel dividido decide quem vê as suas consultas

Com um túnel de trabalho, o que o administrador pode observar depende das rotas que o cliente instala. Se só os prefixos da empresa estiverem no túnel, a passagem regista exatamente essa parte do seu tráfego e mais nada. Sem túnel dividido, cada pacote passa pelo empregador, incluindo as consultas de domínio quando o resolutor deles é empurrado para o cliente. Essa diferença decide quais dos seus hábitos o empregador pode observar.

Verifique a tabela de encaminhamento em vez de presumir, e repare em quem responde a uma consulta de um nome público. Assim que o resolutor deles responder às suas consultas, ficam com a consulta mesmo quando a página é obtida noutro sítio.

Verifique as duas perspetivas antes de acreditar em qualquer uma

Peça a um segundo dispositivo do mesmo segmento que resolva o seu nome de host e imprima a sua tabela de vizinhos, e depois observe do exterior que endereço um serviço relata. Essas duas respostas descrevem camadas diferentes, e nenhum teste único de oculto ou não cobre ambas.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Mude uma camada de cada vez quando testar. Desligue o protocolo de descoberta e o segmento perde essa vista enquanto o túnel fica intacto; mude o país de saída e o registo de um site muda enquanto o segmento não.