Har du installerat en VPN? Ditt lokala nätverk ser fortfarande enheten

Att resa en tunnel får inte det lokala nätverket att glömma maskinen, även om det är det vanliga antagandet. Grannabeller, leasingavtal och lokala namnutdrag säger något annat. Tunneln ändrar var dina paket går ut; den ändrar inte vad dina grannar kan se.

Två perspektiv måste kontrolleras. Inget av dem är det dold-eller-inte-test som de flesta kör först.

Dina grannar känner fortfarande igen maskinen

En lokal adress, en hårdvaruadress och i de flesta nätverk ett leasat värdnamn förblir knutna till maskinen så länge den är ansluten. En router listar dem, och på ett platt segment kan andra värdar också lära sig dem. Granndetektering, adresstilldelning och lokal namnmatchning sker på segmentet och inte inne i tunneln, därför trycker en VPN inte ner dem. Ramarna som bär din trafik är krypterade hela vägen, medan leasingavtalet och grannposten aldrig var en del av det samtalet.

Det tunneln döljer är listan över destinationer. Din router ser ett enda krypterat flöde till en enda slutpunkt i stället för en rad webbplatser, även om volym, timing och slutpunktens rykte fortfarande beskriver en hel del.

Utgångsadressen är bara en identitet

Påståendet att en VPN döljer en enhet på ett lokalt nätverk är sant i en snäv mening: en avlägsen observatör får inte längre veta din publika adress. Det säger ingenting om den åtkomstpunkt du är ansluten till, som fortfarande känner till hårdvaruadressen den talar med. Att behandla de två observationerna som en fråga är sättet folk drar slutsatsen att en tunnel misslyckades när den gjorde precis det en tunnel gör. Skilj dem åt och varje resultat blir tolkningsbart för sig.

Position har en andra kanal som aldrig rör en adress. Webbläsarens geolokalisering kan besvaras från en skanning av närliggande åtkomstpunkter i stället för en adress, eftersom operativsystemet lämnar deras identifierare till en söktjänst som redan kopplar dem till platser. Att koppla bort radion tar bort den ingången; ett annat utgångsland gör inte det.

Hyr du servern ser leverantören mönstret

Att köra tunneln på en hyrd instans flyttar observationen i stället för att ta bort den. Hostingleverantören ser källan och destinationen för det yttre flödet eftersom den måste routa det, och slutpunktens adress identifierar tjänsten. Nyttolasten förblir oläsbar, men en värd som talar med en enda motpart och med ingenting annat är inte svår att klassificera. Ingenting i den beskrivningen kräver att en chiffer bryts.

Ett mönster är inte innehåll. Om oro gäller leverantörens register är svaret en leverantör med en uttalad policy och en jurisdiktion du accepterar, inte ett annat chiffer. Ett starkare chiffer ändrar ingenting i hur flödet ser ut utifrån.

Delad tunnling avgör vem som ser dina frågor

Med en arbetstunnel beror vad administratören kan observera på de rutter klienten installerar. Om bara företagets prefix finns i tunneln registrerar gatewayen exakt den delen av din trafik och ingenting annat. Utan delad tunnling går varje paket genom arbetsgivaren, inklusive domänuppslag när deras resolver skjuts till klienten. Den skillnaden avgör vilka av dina vanor arbetsgivaren alls kan observera.

Kontrollera routingtabellen i stället för att anta, och lägg märke till vem som svarar på ett uppslag för ett publikt namn. När deras resolver svarar på dina uppslag behåller de frågan även när sidan hämtas någon annanstans.

Kontrollera båda perspektiven innan du tror på något av dem

Be en andra enhet på samma segment att slå upp ditt värdnamn och skriva ut sin grannabell, och observera sedan utifrån vilken adress en tjänst rapporterar. De två svaren beskriver olika lager, och inget enda dold-eller-inte-test täcker båda.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Ändra ett lager i taget när du testar. Stäng av upptäcktsprotokollet och segmentet förlorar den vyn medan tunneln förblir orörd; byt utgångsland och posten för en webbplats ändras medan segmentet inte gör det.