VPN o‘rnatdingizmi? Mahalliy tarmoq qurilmani hamon ko‘radi

Tunnel ko‘tarish mahalliy tarmoqni qurilmani unutishga majbur qilmaydi, garchi bu odatiy taxmin bo‘lsa ham. Qo‘shni jadvallari, ijara yozuvlari va mahalliy nom yozuvlari boshqacha gapiradi. Tunnel paketlaringiz qayerdan chiqishini o‘zgartiradi; qo‘shnilaringiz nimalarni ko‘ra olishini o‘zgartirmaydi.

Ikki qarashni tekshirish kerak. Ularning hech biri ko‘pchilik birinchi qiladigan «yashirinmi yoki yo‘qmi» sinovi emas.

Qo‘shnilaringiz qurilmani hamon taniydi

Mahalliy manzil, apparat manzili va aksariyat tarmoqlarda ijaraga olingan xost nomi qurilma ulangan ekan unga bog‘langan qoladi. Router ularni sanab chiqadi, tekis segmentda boshqa xostlar ham ularni o‘rganishi mumkin. Qo‘shnilarni aniqlash, manzillarni taqsimlash va mahalliy nomlarni hal qilish tunnel ichida emas, segmentda sodir bo‘ladi, shuning uchun VPN ularni bostirmaydi. Trafigingizni tashuvchi freymlar uchdan-uchgacha shifrlangan, ijara va qo‘shni yozuvi esa hech qachon o‘sha suhbatning qismi bo‘lmagan.

Tunnel yashiradigan narsa — manzillar ro‘yxati. Routeringiz bir necha sayt o‘rniga bitta oxirgi nuqtaga ketadigan bitta shifrlangan oqimni ko‘radi, garchi hajm, vaqt va oxirgi nuqtaning obro‘si hali ham ko‘p narsani tasvirlaydi.

Chiqish manzili faqat bitta identifikator

VPN mahalliy tarmoqdagi qurilmani yashiradi degan da’vo tor ma’noda to‘g‘ri: uzoqdagi kuzatuvchi endi ommaviy manzilingizni bilmaydi. Bu siz ulangan kirish nuqtasi haqida hech narsa demaydi, u hali ham gaplashayotgan apparat manzilini biladi. Ikki kuzatuvni bitta savol deb qarash — odamlar tunnel aynan tunnel qiladigan ishni qilganda ham u muvaffaqiyatsiz deb xulosa qilish yo‘lidir. Ularni ajrating va har bir natija o‘z-o‘zidan tushunarli bo‘ladi.

Joylashuvning manzilga hech qachon tegmaydigan ikkinchi kanali bor. Brauzer geolokatsiyasiga manzildan emas, yaqin kirish nuqtalarini skanerlashdan javob berish mumkin, chunki operatsion tizim ularning identifikatorlarini allaqachon joylarga bog‘laydigan qidiruv xizmatiga beradi. Radioni o‘chirish bu kirishni yo‘q qiladi; boshqa chiqish davlati buni qilmaydi.

Serverni ijaraga olsangiz, provayder naqshni ko‘radi

Tunnelni ijaraga olingan instansda ishga tushirish kuzatishni yo‘q qilmaydi, ko‘chiradi. Xosting provayderi tashqi oqimning manbasi va manzilini ko‘radi, chunki u uni marshrutlashi kerak, oxirgi nuqta manzili esa xizmatni aniqlaydi. Yuk o‘qilmasdan qoladi, lekin faqat bitta hamkor bilan va boshqa hech kim bilan gaplashmaydigan xostni tasniflash qiyin emas. Bu tavsifda hech narsa shifrni buzishni talab qilmaydi.

Naqsh mazmun emas. Agar xavotir provayder yozuvlari bo‘lsa, javob boshqa shifr emas, e’lon qilingan siyosat va siz qabul qiladigan yurisdiksiyaga ega provayderdir. Kuchliroq shifr oqimning tashqaridan ko‘rinishini o‘zgartirmaydi.

Bo‘lingan tunnel so‘rovlaringizni kim ko‘rishini hal qiladi

Ish tunnelida administrator nimani kuzata olishi klient o‘rnatadigan marshrutlarga bog‘liq. Tunnelda faqat korporativ prefikslar bo‘lsa, shlyuz trafigingizning aynan o‘sha qismini qayd etadi va boshqa hech narsani. Bo‘lingan tunnelsiz har bir paket ish beruvchidan o‘tadi, ularning hal qiluvchisi klientga surilsa, domen qidiruvlari ham. Aynan shu farq ish beruvchi odatlaringizning qaysilarini umuman kuzata olishini hal qiladi.

Taxmin qilish o‘rniga marshrutlash jadvalini tekshiring va ommaviy nom uchun so‘rovga kim javob berishini kuzating. Ularning hal qiluvchisi so‘rovlaringizga javob bergach, sahifa boshqa joydan olinsa ham so‘rov ularda qoladi.

Birortasiga ishonishdan oldin ikkala qarashni ham tekshiring

Xuddi shu segmentdagi ikkinchi qurilmadan xost nomingizni hal qilishni va o‘z qo‘shni jadvalini chop etishni so‘rang, so‘ng xizmat qaysi manzilni bildirishini tashqaridan kuzating. Bu ikki javob turli qatlamlarni tasvirlaydi va bitta «yashirinmi yoki yo‘qmi» sinovi ikkalasini ham qamrab olmaydi.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Sinov paytida bir vaqtda bitta qatlamni o‘zgartiring. Aniqlash protokolini o‘chiring va tunnel tegilmagan holda segment bu qarashdan mahrum bo‘ladi; chiqish davlatini almashtiring va segment o‘zgarmasa ham sayt yozuvi o‘zgaradi.