Nainštalovali ste VPN? Miestna sieť zariadenie stále vidí

Postavenie tunela nespôsobí, že miestna sieť zabudne na stroj, hoci je to bežný predpoklad. Tabuľky susedov, lízingy a miestne záznamy mien hovoria niečo iné. Tunel mení, kadiaľ vychádzajú vaše pakety; nemení to, čo môžu vidieť vaši susedia.

Treba overiť dva pohľady. Ani jeden z nich nie je test „skryté alebo nie“, ktorý väčšina ľudí robí ako prvý.

Vaši susedia stroj stále poznajú

Miestna adresa, hardvérová adresa a vo väčšine sietí prenajaté meno hostiteľa zostávajú pripútané k stroju, kým je pripojený. Smerovač ich vypisuje a v plochom segmente sa ich môžu naučiť aj iné hostiteľe. Zisťovanie susedov, prideľovanie adries a miestne rozlišovanie mien prebiehajú v segmente, nie vnútri tunela, preto ich VPN nepotláča. Rámce, ktoré nesú váš prenos, sú šifrované od konca do konca, zatiaľ čo lízing a záznam suseda nikdy neboli súčasťou toho rozhovoru.

To, čo tunel skrýva, je zoznam cieľov. Váš smerovač vidí jeden šifrovaný tok k jednému koncovému bodu namiesto radu lokalít, hoci objem, časovanie a povesť koncového bodu stále opisujú dosť.

Výstupná adresa je len jedna identita

Tvrdenie, že VPN skrýva zariadenie v miestnej sieti, platí v jednom úzkom zmysle: vzdialený pozorovateľ už nezistí vašu verejnú adresu. To nehovorí nič o prístupovom bode, ku ktorému ste pripojení, a ten stále pozná hardvérovú adresu, s ktorou hovorí. Pokladať obe pozorovania za jednu otázku je spôsob, akým ľudia dospejú k záveru, že tunel zlyhal, keď urobil presne to, čo tunel robí. Oddeľte ich a každý výsledok bude sám o sebe zrozumiteľný.

Poloha má druhý kanál, ktorý sa nikdy nedotkne adresy. Geolokáciu prehliadača možno určiť zo skenovania blízkych prístupových bodov namiesto adresy, pretože operačný systém odovzdáva ich identifikátory vyhľadávacej službe, ktorá ich už priraďuje k miestam. Odpojenie rádia ten vstup odstráni; iná výstupná krajina nie.

Ak si server prenajmete, poskytovateľ vidí vzor

Prevádzkovanie tunela na prenajatej inštancii pozorovanie presúva, namiesto toho aby ho odstránilo. Poskytovateľ hostingu vidí zdroj a cieľ vonkajšieho toku, pretože ho musí smerovať, a adresa koncového bodu identifikuje službu. Obsah zostáva nečitateľný, ale hostiteľa, ktorý hovorí len s jedným partnerom a s ničím iným, nie je ťažké klasifikovať. Nič v tom opise nevyžaduje prelomenie šifry.

Vzor nie je obsah. Ak ide o záznamy poskytovateľa, odpoveďou je poskytovateľ s deklarovanou politikou a jurisdikciou, ktorú prijímate, nie iná šifra. Silnejšia šifra nič nemení na tom, ako tok vyzerá zvonku.

Rozdelené tunelovanie rozhoduje, kto vidí vaše dopyty

Pri pracovnom tuneli závisí to, čo môže správca pozorovať, od trás, ktoré klient nainštaluje. Ak sú v tuneli len firemné prefixy, brána zaznamená presne tú časť vášho prenosu a nič iné. Bez rozdeleného tunelovania prechádza každý paket cez zamestnávateľa, vrátane dopytov na domény, keď sa ich resolver tlačí do klienta. Práve tento rozdiel rozhoduje, ktoré z vašich zvykov môže zamestnávateľ vôbec pozorovať.

Skontrolujte smerovaciu tabuľku namiesto predpokladania a všimnite si, kto odpovedá na dopyt na verejné meno. Keď ich resolver odpovie na vaše dopyty, podržia dopyt aj vtedy, keď sa stránka načítava inde.

Skontrolujte oba pohľady, kým niektorému uveríte

Požiadajte druhé zariadenie v tom istom segmente, aby vyriešilo vaše meno hostiteľa a vytlačilo svoju tabuľku susedov, a potom zvonku pozorujte, akú adresu hlási služba. Tie dve odpovede opisujú rôzne vrstvy a žiadny jediný test „skryté alebo nie“ nepokrýva obe.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Pri testovaní meňte jednu vrstvu po druhej. Vypnite protokol zisťovania a segment stratí ten pohľad, zatiaľ čo tunel zostane nedotknutý; zmeňte výstupnú krajinu a záznam lokality sa zmení, zatiaľ čo segment nie.