Инсталирали сте VPN? Локална мрежа и даље види уређај

Подизање тунела не чини да локална мрежа заборави машину, иако је то уобичајена претпоставка. Табеле суседа, закупи и локални записи имена говоре другачије. Тунел мења где ваши пакети излазе; не мења оно што ваши суседи могу да виде.

Два погледа треба проверити. Ниједан од њих није тест „скривено или не“ који већина људи прво ради.

Ваши суседи и даље познају машину

Локална адреса, хардверска адреса и, у већини мрежа, изнајмљено име хоста остају везани за машину док је повезана. Рутер их наводи, а на равном сегменту и други хостови могу да их науче. Откривање суседа, додела адреса и локално разрешавање имена одвијају се на сегменту, а не унутар тунела, зато их VPN не потискује. Оквири који носе ваш саобраћај шифровани су с краја на крај, док закуп и унос суседа никада нису били део тог разговора.

Оно што тунел скрива јесте листа одредишта. Ваш рутер види један шифрован ток ка једној крајњој тачки уместо низа сајтова, премда обим, време и репутација крајње тачке још увек описују много тога.

Излазна адреса је само један идентитет

Тврдња да VPN скрива уређај на локалној мрежи истинита је у једном уском смислу: удаљени посматрач више не сазнаје вашу јавну адресу. То не говори ништа о приступној тачки на коју сте прикључени, а она још увек зна хардверску адресу с којом разговара. Третирање два запажања као једног питања јесте начин на који људи закључе да је тунел заказао кад је учинио управо оно што тунел чини. Раздвојите их и сваки резултат постаје објашњив сам по себи.

Локација има други канал који никада не дира адресу. Геолокација у прегледачу може да се одговори из скенирања оближњих приступних тачака, а не из адресе, јер оперативни систем предаје њихове идентификаторе услузи претраге која их већ повезује са местима. Искључивање радија уклања тај унос; друга излазна земља то не чини.

Ако изнајмите сервер, провајдер види образац

Покретање тунела на изнајмљеној инстанци премешта запажање уместо да га уклони. Хостинг провајдер види извор и одредиште спољашњег тока јер мора да га рутира, а адреса крајње тачке идентификује услугу. Садржај остаје нечитљив, али хоста који разговара са једним партнером и ни са чим другим није тешко класификовати. Ништа у том опису не захтева разбијање шифре.

Образац није садржај. Ако је брига провајдерова евиденција, одговор је провајдер са објављеном политиком и јурисдикцијом коју прихватате, а не друга шифра. Јача шифра не мења ништа у томе како ток изгледа споља.

Подељено тунелирање одлучује ко види ваше упите

Са пословним тунелом, оно што администратор може да види зависи од рута које клијент инсталира. Ако су у тунелу само корпоративни префикси, приступник бележи тачно тај део вашег саобраћаја и ништа друго. Без подељеног тунелирања сваки пакет пролази кроз послодавца, укључујући претраге домена када се њихов разрешивач гура на клијента. Та разлика одлучује које ваше навике послодавац уопште може да види.

Проверите табелу рутирања уместо да претпостављате и забележите ко одговара на упит за јавно име. Када њихов разрешивач одговори на ваше упите, они држе упит и кад се страница преузима негде другде.

Проверите оба погледа пре него што поверујете било коме

Замолите други уређај на истом сегменту да разреши име вашег хоста и одштампа табелу суседа, па споља посматрајте коју адресу услуга пријављује. Та два одговора описују различите слојеве и ниједан појединачни тест „скривено или не“ не покрива оба.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Мењајте један слој по један кад тестирате. Искључите протокол откривања и сегмент губи тај поглед док тунел остаје нетакнут; промените излазну земљу и запис сајта се мења док сегмент не.