Що ваш провайдер досі бачить, коли ви завантажуєте торенти через VPN

Пройдіть питання по порядку: що може спостерігати мережа доступу, що виходить із тунелю без неї, що розкриває пошук імен і що все одно дізнаються піри та трекери. Кожна відповідь не залежить від інших, і VPN повністю вирішує лише першу. Четверта — це місце, де більшість очікувань тихо руйнується, бо жоден тунель не прибирає імені облікового запису.

Почніть із рішення, який спостерігач вас турбує, бо відповідь змінюється разом зі спостерігачем.

Одне з'єднання замінює багато

Коли клієнт справді перебуває всередині тунелю, мережа доступу бачить одне постійне зашифроване з'єднання з однією адресою VPN. Обсяг, час і сам факт використання VPN залишаються видимими; імена хостів трекерів, адреси пірів і назви файлів — ні. Це реальне покращення, і вужче, ніж натякає маркетинг. Оператор тунелю сидить посередині і бачить більше, ніж мережа доступу.

Заява про відсутність журналів описує політику зберігання, а не технічну видимість. Це різні твердження, і лише перше провайдер може пообіцяти.

Витік іде від прив'язки, а не від тунелю

BitTorrent створює потік короткоживучих з'єднань TCP і UDP до пірів, трекерів, вузлів DHT і локального виявлення. Прив'яжіть клієнт до фізичного адаптера або перезапустіть його після падіння тунелю, і отриманий трафік буде саме тим, заради чого тунель існував. Правила брандмауера — слабший контроль, ніж здається: правило, що збігається лише з маршрутом за замовчуванням, лише з IPv4 або лише з новими з'єднаннями, залишає шляхи відкритими. Прив'язка клієнта до інтерфейсу тунелю та перевірка цієї прив'язки — сильніший шаблон.

Перевірте, навмисно зупинивши тунель і спостерігаючи, чи припиняються передачі. Якщо вони тривають, клієнт ніколи не був усередині. Повторіть після перезапуску клієнта і після пробудження ноутбука, бо саме тоді прив'язки зазвичай губляться.

DNS називає сайт, не торкаючись передачі

Якщо пошук імен досі йде до локального резолвера, сам запит оголошує сайт, поки передача залишається зашифрованою. Перенесення розв'язання в тунель або його шифрування закриває цю прогалину. Ні те, ні інше нічого не робить для клієнта, чиї пакети виходять за межі тунелю. Перевірте, який резолвер використовується і через який інтерфейс виходить запит; дві перевірки відповідають на різні питання.

Ім'я, що розв'язується через тунель, і передача, яка поважає прив'язку, — окремі властивості, і кожна може зламатися сама.

Рій і трекер бачать різне

Обмін адресами — частина протоколу, тож піри записують те, що бачать. Підключення з виходу дає їм вихід; пряме підключення дає домашню адресу. DHT і обмін пірами поширюють це спостереження далі, і пізніша сесія без тунелю може пов'язати той самий порт клієнта і версію. Трекер може знати ще більше: ключ доступу в URL оголошення ідентифікує обліковий запис незалежно від того, з якого виходу прийшли пакети.

Шифрування знову покриває іншу вісь. HTTPS захищає запит починаючи з виходу; звичайний HTTP відкриває рядок запиту кожній мережі на шляху, і тому один протокол можна формувати, а інший ні.

Дайте відповіді на чотири питання доказами, а не значком. Значок лише каже, що тунель існує.