Instalirali ste VPN? Lokalna mreža i dalje vidi uređaj

Podizanje tunela ne čini da lokalna mreža zaboravi mašinu, iako je to uobičajena pretpostavka. Tabele suseda, zakupi i lokalni zapisi imena govore drugačije. Tunel menja gde vaši paketi izlaze; ne menja ono što vaši susedi mogu da vide.

Dva pogleda treba proveriti. Nijedan od njih nije test „skriveno ili ne“ koji većina ljudi prvo radi.

Vaši susedi i dalje poznaju mašinu

Lokalna adresa, hardverska adresa i, u većini mreža, iznajmljeno ime hosta ostaju vezani za mašinu dok je povezana. Ruter ih navodi, a na ravnom segmentu i drugi hostovi mogu da ih nauče. Otkrivanje suseda, dodela adresa i lokalno razrešavanje imena odvijaju se na segmentu, a ne unutar tunela, zato ih VPN ne potiskuje. Okviri koji nose vaš saobraćaj šifrovani su s kraja na kraj, dok zakup i unos suseda nikada nisu bili deo tog razgovora.

Ono što tunel skriva jeste lista odredišta. Vaš ruter vidi jedan šifrovan tok ka jednoj krajnjoj tački umesto niza sajtova, premda obim, vreme i reputacija krajnje tačke još uvek opisuju mnogo toga.

Izlazna adresa je samo jedan identitet

Tvrdnja da VPN skriva uređaj na lokalnoj mreži istinita je u jednom uskom smislu: udaljeni posmatrač više ne saznaje vašu javnu adresu. To ne govori ništa o pristupnoj tački na koju ste priključeni, a ona još uvek zna hardversku adresu s kojom razgovara. Tretiranje dva zapažanja kao jednog pitanja jeste način na koji ljudi zaključe da je tunel zakazao kad je učinio upravo ono što tunel čini. Razdvojite ih i svaki rezultat postaje objašnjiv sam po sebi.

Lokacija ima drugi kanal koji nikada ne dira adresu. Geolokacija u pregledaču može da se odgovori iz skeniranja obližnjih pristupnih tačaka, a ne iz adrese, jer operativni sistem predaje njihove identifikatore usluzi pretrage koja ih već povezuje sa mestima. Isključivanje radija uklanja taj unos; druga izlazna zemlja to ne čini.

Ako iznajmite server, provajder vidi obrazac

Pokretanje tunela na iznajmljenoj instanci premešta zapažanje umesto da ga ukloni. Hosting provajder vidi izvor i odredište spoljnog toka jer mora da ga rutira, a adresa krajnje tačke identifikuje uslugu. Sadržaj ostaje nečitljiv, ali hosta koji razgovara sa jednim peerom i ni sa čim drugim nije teško klasifikovati. Ništa u tom opisu ne zahteva razbijanje šifre.

Obrazac nije sadržaj. Ako je briga provajderova evidencija, odgovor je provajder sa objavljenom politikom i jurisdikcijom koju prihvatate, a ne druga šifra. Jača šifra ne menja ništa u tome kako tok izgleda spolja.

Podeljeno tuneliranje odlučuje ko vidi vaše upite

Sa poslovnim tunelom, ono što administrator može da vidi zavisi od ruta koje klijent instalira. Ako su u tunelu samo korporativni prefiksi, pristupnik beleži tačno taj deo vašeg saobraćaja i ništa drugo. Bez podeljenog tuneliranja svaki paket prolazi kroz poslodavca, uključujući pretrage domena kada se njihov razrešivač gura na klijenta. Ta razlika odlučuje koje vaše navike poslodavac uopšte može da vidi.

Proverite tabelu rutiranja umesto da pretpostavljate i zabeležite ko odgovara na upit za javno ime. Kada njihov razrešivač odgovori na vaše upite, oni drže upit i kad se stranica preuzima negde drugde.

Proverite oba pogleda pre nego što poverujete bilo kojem

Zamolite drugi uređaj na istom segmentu da razreši ime vašeg hosta i odštampa tabelu suseda, pa spolja posmatrajte koju adresu usluga prijavljuje. Ta dva odgovora opisuju različite slojeve i nijedan pojedinačni test „skriveno ili ne“ ne pokriva oba.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Menjajte jedan sloj po jedan kad testirate. Isključite protokol otkrivanja i segment gubi taj pogled dok tunel ostaje netaknut; promenite izlaznu zemlju i zapis sajta se menja dok segment ne.