Ste namestili VPN? Lokalno omrežje še vedno vidi napravo

Postavitev tunela ne naredi, da bi lokalno omrežje pozabilo napravo, čeprav je to običajna predpostavka. Tabele sosedov, zakupi in lokalni zapisi imen pravijo drugače. Tunel spremeni, od kod izhajajo vaši paketi; ne spremeni tega, kar lahko vidijo vaši sosedje.

Preveriti je treba dva pogleda. Nobeden od njiju ni test skrito-ali-ne, ki ga večina ljudi opravi prvega.

Vaši sosedje še vedno poznajo napravo

Lokalni naslov, naslov strojne opreme in v večini omrežij najeto ime gostitelja ostanejo pritrjeni na napravo, dokler je povezana. Usmerjevalnik jih našteje, v ravnem segmentu pa se jih lahko naučijo tudi druga gostitelji. Odkrivanje sosedov, dodeljevanje naslovov in lokalno razreševanje imen potekajo v segmentu in ne v tunelu, zato jih VPN ne zatira. Okviri, ki prenašajo vaš promet, so šifrirani od konca do konca, medtem ko zakup in vnos soseda nikoli nista bila del tega pogovora.

Kar tunel skrije, je seznam ciljev. Vaš usmerjevalnik vidi en šifriran tok do ene končne točke namesto vrste spletnih mest, čeprav obseg, čas in ugled končne točke še vedno opisujejo precej.

Izhodni naslov je le ena identiteta

Trditev, da VPN skrije napravo v lokalnem omrežju, drži v enem ozkem smislu: oddaljeni opazovalec ne izve več vašega javnega naslova. To ne pove ničesar o dostopni točki, na katero ste priključeni, ta pa še vedno pozna naslov strojne opreme, s katero govori. Obravnavanje obeh opažanj kot enega vprašanja je pot, po kateri ljudje sklenejo, da je tunel spodletel, ko je storil natanko to, kar tunel počne. Ločite ju in vsak rezultat postane razumljiv sam po sebi.

Lokacija ima drugi kanal, ki se nikoli ne dotakne naslova. Geolokacijo brskalnika je mogoče ugotoviti s skeniranjem bližnjih dostopnih točk namesto z naslovom, ker operacijski sistem preda njihove identifikatorje iskalni storitvi, ki jih že povezuje s kraji. Odklop radia odstrani ta vnos; druga izhodna država ne.

Če najamete strežnik, ponudnik vidi vzorec

Izvajanje tunela na najeti instanci opazovanje premakne, namesto da bi ga odstranilo. Ponudnik gostovanja vidi vir in cilj zunanjega toka, ker ga mora usmerjati, naslov končne točke pa identificira storitev. Koristni tovor ostane neberljiv, a gostitelja, ki govori z enim partnerjem in z ničimer drugim, ni težko razvrstiti. Nič v tem opisu ne zahteva lomljenja šifre.

Vzorec ni vsebina. Če gre za ponudnikove evidence, je odgovor ponudnik z objavljeno politiko in jurisdikcijo, ki jo sprejmete, ne druga šifra. Močnejša šifra ne spremeni ničesar v tem, kako tok izgleda od zunaj.

Razdeljeno tuneliranje odloči, kdo vidi vaše poizvedbe

Pri delovnem tunelu je to, kar lahko skrbnik opazuje, odvisno od poti, ki jih namesti odjemalec. Če so v tunelu le korporativne predpone, prehod zabeleži natanko tisti del vašega prometa in nič drugega. Brez razdeljenega tuneliranja gre vsak paket skozi delodajalca, vključno s poizvedbami po domenah, ko se njihov razreševalnik potisne na odjemalca. Prav ta razlika odloči, katere vaše navade lahko delodajalec sploh opazuje.

Preverite usmerjevalno tabelo, namesto da predvidevate, in opazite, kdo odgovori na poizvedbo za javno ime. Ko njihov razreševalnik odgovori na vaše poizvedbe, poizvedbo obdržijo tudi takrat, ko se stran prenese drugje.

Preverite oba pogleda, preden kateremu verjamete

Prosite drugo napravo v istem segmentu, naj razreši ime vašega gostitelja in natisne svojo tabelo sosedov, nato od zunaj opazujte, kateri naslov poroča storitev. Ta dva odgovora opisujeta različne sloje in noben posamezen test skrito-ali-ne ne pokriva obeh.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Pri testiranju spreminjajte en sloj naenkrat. Izklopite protokol odkrivanja in segment izgubi ta pogled, medtem ko tunel ostane nedotaknjen; zamenjajte izhodno državo in zapis spletnega mesta se spremeni, medtem ko segment ne.