మీ VPN ద్వారా స్థానిక నెట్‌వర్క్ ఇంకా చూస్తున్నది

ఎవరైనా VPN తమ ట్రాఫిక్‌ను దాచుతుందా అని అడిగిన ప్రతిసారీ మూడు పరిశీలకులు ఒకే ప్రశ్నలో కలుస్తారు: అతను కనెక్ట్ అయిన నెట్‌వర్క్, అతని చేతిలోని యంత్రం మరియు సొరంగం నిర్వాహకుడు. ప్రతి ఒక్కరూ వేరే విషయం నేర్చుకుంటారు, సొరంగం ఆ దృశ్యాలలో ప్రతిదాన్ని వేరే విధంగా మారుస్తుంది. వ్యతిరేక దిశలో పని చేసి, ముందుకు తేబడిన వాదన నుండి ప్రారంభించడం ఉపయోగకరం, ఎందుకంటే పరిశీలనను తట్టుకోవాల్సింది ఆ వాదనే. మీకు ఏ వాదన కావాలో నిర్ణయించుకుని, తర్వాత సాధనాలను దానితో పోల్చండి.

మొదటి వాదన: ఎవరూ ట్రాఫిక్‌ను చదవలేరు

అత్యంత సన్నిహిత వాదనతో ప్రారంభించండి: పేలోడ్ చదవలేనిదిగానే ఉంటుంది. మార్గంలో ఉన్న నిష్క్రియ పరిశీలకుడు TLS సెషన్ లోపలికి చూడలేడు, కాబట్టి సొరంగం ఇప్పటికే HTTPS ఉపయోగించే సైట్‌కు కొద్దిగా జోడిస్తుంది మరియు రెండు చివరలకు ఏమీ జోడించదు. ఈ వాదనను బద్దలు కొట్టేది పరికరాన్ని నియంత్రించే వ్యక్తి, ఎందుకంటే తనిఖీ ప్రాక్సీ కనెక్షన్‌ను ముగించి యంత్రం ఇప్పటికే విశ్వసించే మూలంతో దాన్ని మళ్లీ సంతకం చేస్తుంది. అందుకే ధృవపత్రాల గొలుసులో మూలాన్ని ఇన్‌స్టాల్ చేసిన సంస్థ పేరు ఉన్నప్పటికీ తాళం ఇంకా కనిపిస్తుంది.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

macOS లో ఆ పైప్‌లైన్ యంత్రం కీచైన్‌లోని ప్రతి ధృవపత్రానికి ఒక విషయ పంక్తిని ముద్రిస్తుంది, విండో తెరవకుండా, Windows లో certutil -store Root certlm.msc గ్రాఫిక్‌గా చూపే అదే నిల్వను జాబితా చేస్తుంది. పాఠశాల, యజమాని లేదా నెట్‌వర్క్ భద్రతా ఉత్పత్తికి చెందిన మూలమే వెతకాల్సిన నమోదు. ఒకటి కనుగొనడం అడ్డగింపు సాధ్యమని మాత్రమే నిరూపిస్తుంది, అది జరుగుతోందని కాదు.

దీని గురించి మీరు ఏమి చేయగలరు అనేది సాంకేతిక ప్రశ్న కాదు, విధాన ప్రశ్న. మీకు స్వంతం కాని హార్డ్‌వేర్ నుండి ప్రొఫైల్ లేదా తనిఖీ మూలాన్ని తీసివేయడం సాధారణంగా ఆమోదయోగ్య వినియోగ ఒప్పందాన్ని ఉల్లంఘిస్తుంది, నిర్వహణ వ్యవస్థ దాన్ని గమనించి మళ్లీ వర్తింపజేస్తుంది, కాబట్టి పరికర యజమాని మీ ట్రాఫిక్ చదవకూడదనే షరతుకు మరో పరికరం కావాలి, మరో సెట్టింగ్ కాదు.

రెండవ వాదన: మీరు ఎక్కడికి వెళ్తున్నారో ఎవరూ చూడరు

గమ్యం కష్టతరమైన వాదన, ఎందుకంటే పేజీ లోడ్ అయ్యే ముందు రెండు బహిర్గతాలు జరుగుతాయి. ప్రశ్న సిస్టమ్ ఉపయోగించడానికి కాన్ఫిగర్ చేయబడిన పరిష్కర్తకు వెళ్తుంది, సమాధానం దాన్ని మోసే నెట్‌వర్క్‌కు కనిపిస్తుంది. తర్వాత TLS చేతుల కలయిక అభ్యర్థించిన సర్వర్ పేరును బహిరంగంగా మోస్తుంది, రెండు చివరల్లో Encrypted Client Hello మద్దతు లేకపోతే. రెండు బహిర్గతాలలో డీక్రిప్షన్ లేదు, కాబట్టి సొరంగం ఏదానిపైనా ప్రభావం చూపదు.

resolvectl status | grep -A2 "Link"
nslookup example.com

ఏ పరిష్కర్త వాస్తవంగా ఉపయోగించబడుతోందో అదే బహిర్గతాన్ని నిర్ణయిస్తుంది, దాన్ని వాదించడం కంటే కొలవవచ్చు. Linux లో resolvectl status ప్రతి లింక్‌కు DNS సర్వర్లను ముద్రిస్తుంది, దాని అవుట్‌పుట్ సైట్ పరిష్కర్త సమాధానమిస్తోందా లేదా బలవంతంగా విధించినదా అని చెబుతుంది. Windows అదే ప్రశ్నకు nslookup example.com తో సమాధానమిస్తుంది, దాని అవుట్‌పుట్ మొదటి బ్లాక్ సమాధానమిచ్చిన DNS సర్వర్.

సొరంగం పైకి రాకముందే ల్యాప్‌టాప్ సైట్ పరిష్కర్తను అడిగినప్పుడు, లేదా ప్రొఫైల్ ప్రత్యామ్నాయ సర్వర్ లేకుండా వచ్చి పాతది వినియోగంలో ఉండిపోయినప్పుడు, నిర్వాహకుడు ఏమీ డీక్రిప్ట్ చేయకుండా హోస్ట్ పేర్లను సేకరిస్తూనే ఉంటాడు. బ్రౌజర్‌లోని ఎన్‌క్రిప్టెడ్ DNS బలవంతంగా విధించిన పరిష్కర్తను దాటవేస్తుంది లేదా పూర్తిగా నిరోధించబడి మూసిన స్థితిలో విఫలమవుతుంది. నిష్క్రమణ ఆపరేటర్ తన వైపు నుండి అదే పేర్లను చూస్తాడు. కాబట్టి పరిష్కర్తను మార్చడం ఆ బహిర్గతాన్ని సొరంగం ప్రదాత నుండి దూరం చేయదు.

మూడవ వాదన: మీరు కనెక్ట్ అయినట్లు ఎవరికీ తెలియదు

మూడవ వాదనను సొరంగం మద్దతించలేదు, ఎందుకంటే ప్యాకెట్లు ఇంకా స్థానిక నెట్‌వర్క్‌ను దాటుతాయి. ఆ నెట్‌వర్క్ చివరి చిరునామా, సుమారు పరిమాణం, సమయం మరియు ఒక దీర్ఘకాలిక ఎన్‌క్రిప్టెడ్ సెషన్ ఉనికిని తెలుసుకుంటుంది, ఇది నిరోధించడానికి, పరిమితం చేయడానికి లేదా కేవలం గమనించడానికి సరిపోతుంది. ప్యాకెట్‌ను చదవలేని ఫైర్‌వాల్ కూడా దాన్ని దాటనివ్వకుండా నిరాకరించగలదు. గమనించబడటం ఎవరూ గమనించకపోవడంతో సమానం కాదు: మీరు పరిశీలకుడిని కదిలించారు, తొలగించలేదు.

విభజిత సొరంగీకరణ మరియు బలవంతంగా విధించిన మార్గాన్ని పట్టించుకోని ఏ యాప్ అయినా సొరంగం వెలుపల మునుపటిలాగే కనిపించే ప్రవాహాలను సృష్టిస్తాయి. జాగ్రత్తగా చూసే పరిశీలకుడు మొదట గమనించేది ఆ ప్రవాహాలనే, మరియు క్లయింట్ మార్గ పట్టిక ఏ గమ్యాలు మినహాయించబడ్డాయో చూపిస్తుంది.

అవతలి చివరిలోని ఆపరేటర్ ఆ దృశ్యం యొక్క అద్దం ప్రతిబింబాన్ని కలిగి ఉంటాడు: నిష్క్రమణ చిరునామా, సమయం, పరిమాణం మరియు సాధారణంగా సైట్ల పేర్లు. మీ ప్రదాతే వీక్షణ పాయింట్ ఉన్న పక్షం అవుతుంది, ఇది అదృశ్యతకు భిన్నమైన ఒప్పందం. మీరు నమ్మే ప్రదాతను ఎంచుకోవడం నిజమైన నిర్ణయం; ఫలితాన్ని గమనించబడనిది అని పిలవడం కాదు.

మీకు ఏ వాదన కావాలో నిర్ణయించుకోండి

క్లయింట్‌ను తాకే ముందు అవసరాన్ని ఒక పంక్తిలో రాయండి: విషయాన్ని దాచండి, గమ్యాలను దాచండి, లేదా మీరు కనెక్ట్ అయ్యారా అనేదాన్నే దాచండి. విషయాన్ని HTTPS మరియు సొరంగం ఇప్పటికే నిర్వహిస్తాయి, గమ్యాలకు సైట్ పరికరాలను పూర్తిగా దాటవేసే పరిష్కర్త మరియు మార్గం కావాలి.

మూడవ అవసరమే అసౌకర్యమైనది, ఎందుకంటే ఎక్కడో ఏదో ఇంకా కనిపించేలా కనెక్ట్ అయి ఉంది, ఎన్‌క్రిప్ట్ చేయబడినా కాకపోయినా. ఏ క్లయింట్ సెట్టింగ్ దాన్ని మార్చదు. అవసరం మరియు విధానం విడిపోతే, ఆ అంతరం విధానం యజమానితో సంభాషణకు చెందుతుంది, క్లయింట్ ఎంపికకు కాదు. దానికి సమాధానం చెప్పగల వ్యక్తి విధానాన్ని రాసిన వ్యక్తే.