Установили VPN? Локальная сеть всё равно видит устройство

Поднятие туннеля не заставляет локальную сеть забыть машину, хотя обычно именно так и думают. Таблицы соседей, аренды и локальные записи имён говорят об обратном. Туннель меняет то, откуда выходят ваши пакеты; он не меняет того, что видят ваши соседи.

Проверить нужно два взгляда. Ни один из них не является тестом «скрыто или нет», который большинство делает первым.

Ваши соседи по-прежнему знают машину

Локальный адрес, аппаратный адрес и в большинстве сетей арендованное имя хоста остаются привязанными к машине, пока она подключена. Маршрутизатор перечисляет их, а в плоском сегменте их могут узнать и другие хосты. Обнаружение соседей, назначение адресов и локальное разрешение имён происходят в сегменте, а не внутри туннеля, поэтому VPN их не подавляет. Кадры, несущие ваш трафик, шифруются от конца до конца, а аренда и запись соседа никогда не были частью этого разговора.

Туннель скрывает список назначений. Ваш маршрутизатор видит один шифрованный поток к одной конечной точке вместо ряда сайтов, хотя объём, время и репутация конечной точки всё ещё описывают немало.

Адрес выхода — только одна идентичность

Утверждение, что VPN скрывает устройство в локальной сети, верно в одном узком смысле: удалённый наблюдатель больше не узнаёт ваш публичный адрес. Это ничего не говорит о точке доступа, к которой вы подключены, а она по-прежнему знает аппаратный адрес, с которым говорит. Отношение к двум наблюдениям как к одному вопросу — это путь, которым люди приходят к выводу, что туннель не сработал, хотя он сделал именно то, что делает туннель. Разделите их, и каждый результат станет понятным сам по себе.

У местоположения есть второй канал, который никогда не касается адреса. Геолокацию браузера можно определить по сканированию близких точек доступа, а не по адресу, потому что операционная система передаёт их идентификаторы службе поиска, которая уже сопоставляет их с местами. Отключение радио убирает этот ввод; другая страна выхода — нет.

Если вы арендуете сервер, провайдер видит шаблон

Запуск туннеля на арендованном экземпляре переносит наблюдение, а не убирает его. Хостинг-провайдер видит источник и назначение внешнего потока, потому что должен его маршрутизировать, а адрес конечной точки определяет службу. Полезная нагрузка остаётся нечитаемой, но хост, который общается только с одним партнёром и ни с чем больше, нетрудно классифицировать. Ничто в этом описании не требует взлома шифра.

Шаблон — это не содержание. Если беспокоят записи провайдера, ответ — провайдер с заявленной политикой и приемлемой для вас юрисдикцией, а не другой шифр. Более сильный шифр ничего не меняет в том, как поток выглядит снаружи.

Раздельный туннель решает, кто видит ваши запросы

С рабочим туннелем то, что может наблюдать администратор, зависит от маршрутов, которые устанавливает клиент. Если в туннеле только корпоративные префиксы, шлюз записывает ровно эту часть вашего трафика и ничего больше. Без раздельного туннеля каждый пакет идёт через работодателя, включая запросы доменов, когда их резолвер проталкивается на клиент. Именно эта разница решает, какие из ваших привычек работодатель вообще может наблюдать.

Проверьте таблицу маршрутизации вместо предположений и отметьте, кто отвечает на запрос публичного имени. Как только их резолвер отвечает на ваши запросы, они хранят запрос, даже когда страница загружается в другом месте.

Проверьте оба взгляда, прежде чем верить любому

Попросите второе устройство в том же сегменте разрешить имя вашего хоста и напечатать свою таблицу соседей, а затем понаблюдайте снаружи, какой адрес сообщает служба. Эти два ответа описывают разные уровни, и ни один отдельный тест «скрыто или нет» не охватывает оба.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Меняйте по одному уровню за раз, когда тестируете. Отключите протокол обнаружения, и сегмент потеряет этот взгляд, а туннель останется нетронутым; смените страну выхода, и запись сайта изменится, а сегмент — нет.