VPN mi kurdunuz? Yerel ağ cihazı hâlâ görüyor

Tünel kurmak yerel ağın makineyi unutmasını sağlamaz, oysa yaygın varsayım budur. Komşu tabloları, kiralamalar ve yerel ad kayıtları başka bir şey söyler. Tünel, paketlerinizin nereden çıktığını değiştirir; komşularınızın ne görebileceğini değiştirmez.

İki bakış açısının denetlenmesi gerekir. İkisi de çoğu kişinin ilk yaptığı gizli-mi-değil-mi testi değildir.

Komşularınız makineyi hâlâ tanıyor

Yerel adres, donanım adresi ve çoğu ağda kiralanmış ana bilgisayar adı, makine bağlı olduğu sürece ona bağlı kalır. Yönlendirici bunları listeler ve düz bir segmentte başka ana bilgisayarlar da öğrenebilir. Komşu keşfi, adres ataması ve yerel ad çözümlemesi tünelin içinde değil segmentte gerçekleşir, bu yüzden VPN bunları bastırmaz. Trafiğinizi taşıyan çerçeveler uçtan uca şifrelidir, oysa kiralama ve komşu kaydı hiçbir zaman o konuşmanın parçası olmadı.

Tünelin gizlediği şey hedef listesidir. Yönlendiriciniz bir dizi site yerine tek bir uç noktaya giden tek bir şifreli akış görür, gerçi hacim, zamanlama ve uç noktanın itibarı hâlâ çok şey anlatır.

Çıkış adresi yalnızca bir kimliktir

Bir VPN’in yerel ağdaki cihazı gizlediği iddiası dar bir anlamda doğrudur: uzak bir gözlemci artık genel adresinizi öğrenmez. Bu, bağlı olduğunuz erişim noktası hakkında hiçbir şey söylemez; o, konuştuğu donanım adresini hâlâ bilir. İki gözlemi tek soru olarak ele almak, insanların bir tünel tam da tünelin yaptığını yaptığında başarısız olduğu sonucuna varma biçimidir. Bunları ayırın ve her sonuç kendi başına yorumlanabilir hale gelir.

Konumun bir adrese hiç dokunmayan ikinci bir kanalı vardır. Tarayıcı coğrafi konumu bir adresten değil, yakındaki erişim noktalarının taranmasından yanıtlanabilir, çünkü işletim sistemi bunların tanımlayıcılarını onları zaten yerlere eşleyen bir arama hizmetine verir. Radyoyu sökmek bu girdiyi ortadan kaldırır; farklı bir çıkış ülkesi kaldırmaz.

Sunucuyu kiralarsanız sağlayıcı deseni görür

Tüneli kiralanmış bir örnek üzerinde çalıştırmak gözlemi ortadan kaldırmaz, taşır. Barındırma sağlayıcısı dış akışın kaynağını ve hedefini görür çünkü onu yönlendirmek zorundadır ve uç noktanın adresi hizmeti tanımlar. Yük okunamaz kalır, ama yalnızca tek bir eşle ve başka hiçbir şeyle konuşmayan bir ana bilgisayarı sınıflandırmak zor değildir. O betimlemede hiçbir şey bir şifrenin kırılmasını gerektirmez.

Desen içerik değildir. Kaygı sağlayıcının kayıtlarıysa yanıt, başka bir şifre değil, açıklanmış politikası ve kabul ettiğiniz yargı yetkisi olan bir sağlayıcıdır. Daha güçlü bir şifre, akışın dışarıdan nasıl göründüğü konusunda hiçbir şeyi değiştirmez.

Bölünmüş tünelleme sorgularınızı kimin gördüğüne karar verir

Bir iş tüneliyle, yöneticinin neleri gözleyebileceği istemcinin kurduğu rotalara bağlıdır. Tünelde yalnızca kurumsal önekler varsa, ağ geçidi trafiğinizin tam o dilimini kaydeder ve başka hiçbir şeyi. Bölünmüş tünelleme yoksa her paket işverenden geçer; çözümleyicileri istemciye itildiğinde alan adı sorguları da dahil. Bu fark, işverenin alışkanlıklarınızın hangilerini hiç gözleyebileceğini belirler.

Varsaymak yerine yönlendirme tablosunu denetleyin ve genel bir ad için yapılan sorguya kimin yanıt verdiğine dikkat edin. Onların çözümleyicisi sorgularınızı yanıtladığında, sayfa başka yerden alınsa bile sorguyu onlar tutar.

Herhangi birine inanmadan önce iki bakış açısını da denetleyin

Aynı segmentteki ikinci bir cihazdan ana bilgisayar adınızı çözmesini ve komşu tablosunu yazdırmasını isteyin, sonra bir hizmetin hangi adresi bildirdiğini dışarıdan gözleyin. Bu iki yanıt farklı katmanları betimler ve tek bir gizli-mi-değil-mi testi ikisini birden kapsamaz.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Test ederken her seferinde bir katmanı değiştirin. Keşif protokolünü kapatın, tünel dokunulmadan kalırken segment o görüşü kaybeder; çıkış ülkesini değiştirin, segment değişmezken bir sitenin kaydı değişir.