Встановили VPN? Локальна мережа все одно бачить пристрій

Підняття тунелю не змушує локальну мережу забути машину, хоч зазвичай саме так і думають. Таблиці сусідів, оренди та локальні записи імен кажуть інше. Тунель змінює те, звідки виходять ваші пакети; він не змінює того, що бачать ваші сусіди.

Перевірити треба два погляди. Жоден із них не є тестом «приховано чи ні», який більшість робить першим.

Ваші сусіди досі знають машину

Локальна адреса, апаратна адреса і в більшості мереж орендоване ім’я хоста залишаються прив’язаними до машини, поки вона підключена. Маршрутизатор перелічує їх, а в плоскому сегменті їх можуть вивчити й інші хости. Виявлення сусідів, призначення адрес і локальне розв’язання імен відбуваються в сегменті, а не всередині тунелю, тому VPN їх не придушує. Кадри, що несуть ваш трафік, шифруються від краю до краю, а оренда й запис сусіда ніколи не були частиною тієї розмови.

Тунель приховує список призначень. Ваш маршрутизатор бачить один шифрований потік до однієї кінцевої точки замість низки сайтів, хоч обсяг, час і репутація кінцевої точки все ще описують чимало.

Адреса виходу — лише одна ідентичність

Твердження, що VPN приховує пристрій у локальній мережі, правильне в одному вузькому сенсі: віддалений спостерігач більше не дізнається вашу публічну адресу. Це нічого не говорить про точку доступу, до якої ви підключені, а вона досі знає апаратну адресу, з якою говорить. Ставлення до двох спостережень як до одного питання — це шлях, яким люди доходять висновку, що тунель не спрацював, хоча він зробив саме те, що робить тунель. Розділіть їх, і кожен результат стане зрозумілим сам по собі.

Місцеположення має другий канал, який ніколи не торкається адреси. Геолокацію браузера можна визначити зі сканування близьких точок доступу, а не з адреси, бо операційна система передає їхні ідентифікатори службі пошуку, яка вже зіставляє їх із місцями. Відключення радіо прибирає цей вхід; інша країна виходу — ні.

Якщо ви орендуєте сервер, провайдер бачить шаблон

Запуск тунелю на орендованому екземплярі переносить спостереження, а не прибирає його. Хостинг-провайдер бачить джерело й призначення зовнішнього потоку, бо мусить його маршрутизувати, а адреса кінцевої точки визначає службу. Корисне навантаження залишається нечитабельним, але хост, що говорить лише з одним партнером і ні з чим більше, неважко класифікувати. Ніщо в цьому описі не вимагає зламу шифру.

Шаблон — це не вміст. Якщо йдеться про записи провайдера, відповідь — провайдер із заявленою політикою та юрисдикцією, яку ви приймаєте, а не інший шифр. Сильніший шифр нічого не змінює в тому, як потік виглядає ззовні.

Розділений тунель вирішує, хто бачить ваші запити

З робочим тунелем те, що може спостерігати адміністратор, залежить від маршрутів, які встановлює клієнт. Якщо в тунелі лише корпоративні префікси, шлюз записує саме ту частину вашого трафіку і нічого більше. Без розділеного тунелю кожен пакет іде через роботодавця, включно із запитами доменів, коли їхній резолвер проштовхується на клієнт. Саме ця різниця вирішує, які з ваших звичок роботодавець узагалі може спостерігати.

Перевірте таблицю маршрутизації замість припущень і зауважте, хто відповідає на запит публічного імені. Щойно їхній резолвер відповість на ваші запити, вони тримають запит навіть тоді, коли сторінка завантажується в іншому місці.

Перевірте обидва погляди, перш ніж вірити будь-якому

Попросіть другий пристрій у тому самому сегменті розв’язати ім’я вашого хоста і надрукувати свою таблицю сусідів, а потім ззовні поспостерігайте, яку адресу повідомляє служба. Ці дві відповіді описують різні рівні, і жоден окремий тест «приховано чи ні» не охоплює обидва.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Змінюйте по одному рівню за раз, коли тестуєте. Вимкніть протокол виявлення, і сегмент втратить цей погляд, а тунель залишиться недоторканим; змініть країну виходу, і запис сайту зміниться, а сегмент — ні.