Ваш VPN дарує ваше підключення? Два напрямки для перевірки

Дві людини, підключені до одного провайдера, не обов’язково користуються домашнім підключенням одна одної, бо за звичайної схеми обидва пристрої надсилають трафік на кінцеву точку провайдера й ділять лише адресу виходу. Продукт для обміну ресурсами може працювати у зворотному напрямку, коли ваша машина надає шлях для чужого трафіку. Напрямок — це все питання, і на нього можна відповісти з застосунку, який перед вами. Далі йде порядок запитань і докази, які варто зберегти.

Два напрямки, і лише один потребує згоди

Використовувати віддалений вихід означає, що ваш трафік виходить через провайдера, а пункт призначення бачить адресу провайдера. Віддавати вихід означає, що чужий трафік виходить через ваше підключення, а пункт призначення бачить вашу. І те й інше називають VPN, і вони накладають цілком різні обов’язки на того, хто керує клієнтом. Продукт може робити перше й нічого з другого, а може робити обидва одночасно.

1. Віддалений вихід: ваш застосунок надсилає трафік на кінцеву точку провайдера, і пункт призначення записує адресу провайдера.
2. Відданий вихід: трафік іншої людини проходить через компонент спільного доступу на вашій машині, виходить через вашу лінію, і пункт призначення записує вашу адресу.

Перше — вибір приватності щодо власного трафіку. Друге — рішення щодо чужого трафіку, тому спільна адреса виходу є проблемою репутації, а віддане підключення — проблемою походження трафіку. Ці дві турботи постійно плутають, і їх розділення становить більшу частину аналізу.

Прочитайте перемикач спільного доступу в установленому застосунку

Відкрийте продукт, який справді встановлено, і пошукайте в його налаштуваннях слова на кшталт спільного доступу, внеску, рівноправної мережі чи доступу спільноти. Занотуйте, чи є перемикач, чи він запускається ввімкненим і до якого рівня облікового запису належить, потім зніміть панель з видимим рядком версії, бо відповідь підтримки попросить його. Повторіть перевірку після наступного оновлення, бо усталені значення змінюються між версіями. Панель без жодної згадки про спільний доступ — корисна знахідка, хоч сама по собі вона не гарантія.

Провайдер, який описує рівноправний обмін для одного продукту й виключає інші видання, щойно назвав вам різницю, яку приховує назва бренду. Часті запитання провайдера для такої послуги відділяють продукти, що діляться, від видань без рівноправного режиму, і саме таку різницю варто прочитати самому. Статус оплати теж не технічний опис, бо платна підписка може містити компонент обміну, а безплатний рівень — це той, де його немає.

Що продовжує працювати після закриття вікна

Розширення браузера й окремо встановлена служба можуть виконувати різні завдання під одним логотипом, тож закрийте вікно й перевірте, чи виживає процес. Процес, який живе довше за вкладку, — це різниця між функцією, яку ви ввімкнули, і компонентом, який працює без неї. Обидва можуть бути законними, і лише один із них видно з вкладки.

Блок нижче призначений для Windows. Він читає процес, потім сокети, якими володіє цей процес, а ідентифікатор з першого рядка — це те, за чим фільтрують інші два, тож підставте його, а не запускайте три незв’язані виводи. Читайте шлях процесу й встановлені з’єднання разом, бо кожне окремо доводить дуже мало.

Get-Process | Where-Object Path -like '*VPN*' | Select-Object Name, Id, Path
Get-NetTCPConnection -State Established | Where-Object OwningProcess -eq <pid> | Select-Object RemoteAddress, RemotePort
netstat -ano | Select-String 'ESTABLISHED' | Select-String '<pid>'

Ретранслятор — це не спільний доступ до файлів

Передавання чужого трафіку — це інший дозвіл, ніж відкриття файлів або служб на вашій машині. Документація про одне не описує інше, і згода на тунель не є згодою на спільний доступ до файлів, навіть коли один інсталятор налаштував обидва. Тримайте два питання окремо, коли читаєте сторінку налаштувань.

Відсутність порту, що слухає, не доводить, що нічого не ділиться, бо ретранслятор може ініціювати вихідні з’єднання й ніколи не приймати вхідне, і саме так рівноправні системи уникають проблем із міжмережевим екраном. Дивіться, куди йдуть з’єднання, а не лише що слухає. Одне з’єднання з власною кінцевою точкою провайдера виглядає як клієнт, а кілька до адрес, які ви не можете пояснити, заслуговують уважнішого погляду. Якщо після налаштувань і документації модель усе ще неясна, поставте оператору конкретне питання; на робочому пристрої чи в керованій мережі вирішує адміністратор, а не людина з ноутбуком.

Запишіть те, що бачили, і перевірте знову

Запишіть версію, стани налаштувань і сокети, які ви спостерігали, з позначками часу, бо цей запис перетворює підозру на питання, на яке хтось може відповісти. Він же знадобиться, якщо через місяці надійде повідомлення про зловживання, а нотатка у вікні чату не є записом.

Блок нижче призначений для Linux або macOS і відповідає на ті самі питання, що й блок для Windows. Запустіть його й після оновлення, бо розташування компонентів змінюється між версіями, а новий допоміжний процес легко пропустити. Список сокетів називає процес-власник, і саме це робить два блоки порівнюваними між версіями.

ss -tunp | head -n 20
lsof -i -P -n | grep -i vpn
journalctl --since '1 hour ago' | grep -i -E 'vpn|relay' | tail -n 20

Якщо в скарзі з’явиться ваша адреса, пам’ятайте, що IP-адреса сама по собі не ідентифікує людину. Збережіть повідомлення, позначки часу й записані налаштування, потім дотримуйтесь процедури повідомлення провайдера або адміністратора. Це не відкидає скаргу й справді відділяє спільну адресу виходу від трафіку, який насправді залишив ваше власне підключення.