Đã cài VPN? Mạng cục bộ vẫn thấy thiết bị

Bật một đường hầm không khiến mạng cục bộ quên chiếc máy, dù đó là giả định thường thấy. Bảng láng giềng, hợp đồng thuê và bản ghi tên cục bộ nói khác. Đường hầm thay đổi nơi các gói tin của bạn đi ra; nó không thay đổi những gì láng giềng của bạn có thể thấy.

Cần kiểm tra hai góc nhìn. Không góc nào là phép thử ẩn-hay-không mà phần lớn mọi người làm trước tiên.

Láng giềng của bạn vẫn biết chiếc máy

Một địa chỉ cục bộ, một địa chỉ phần cứng và trong hầu hết mạng là một tên máy chủ đi thuê vẫn gắn với chiếc máy khi nó còn kết nối. Bộ định tuyến liệt kê chúng, và trên một phân đoạn phẳng các máy chủ khác cũng có thể học được. Việc dò tìm láng giềng, cấp phát địa chỉ và phân giải tên cục bộ diễn ra trên phân đoạn chứ không trong đường hầm, đó là lý do VPN không chặn chúng. Các khung mang lưu lượng của bạn được mã hóa từ đầu đến cuối, trong khi hợp đồng thuê và mục láng giềng chưa bao giờ là phần của cuộc trao đổi đó.

Điều đường hầm che giấu là danh sách đích. Bộ định tuyến của bạn thấy một luồng mã hóa duy nhất tới một điểm cuối duy nhất thay vì một loạt trang, dù khối lượng, thời điểm và danh tiếng của điểm cuối vẫn mô tả khá nhiều.

Địa chỉ ra chỉ là một danh tính

Tuyên bố rằng VPN che giấu thiết bị trên mạng cục bộ đúng theo một nghĩa hẹp: một quan sát viên từ xa không còn biết địa chỉ công khai của bạn. Điều đó không nói gì về điểm truy cập mà bạn đang kết nối, nơi vẫn biết địa chỉ phần cứng mà nó đang nói chuyện. Coi hai quan sát là một câu hỏi chính là cách người ta kết luận rằng đường hầm thất bại khi nó đã làm đúng việc một đường hầm làm. Hãy tách chúng ra và mỗi kết quả sẽ tự nó diễn giải được.

Vị trí có một kênh thứ hai không bao giờ chạm vào địa chỉ. Định vị của trình duyệt có thể được trả lời từ việc quét các điểm truy cập gần đó thay vì từ địa chỉ, vì hệ điều hành chuyển các mã định danh của chúng cho một dịch vụ tra cứu vốn đã ánh xạ chúng tới địa điểm. Rút radio đi sẽ loại bỏ đầu vào đó; một quốc gia ra khác thì không.

Nếu thuê máy chủ, nhà cung cấp thấy mẫu hình

Chạy đường hầm trên một phiên bản thuê di chuyển sự quan sát chứ không xóa nó. Nhà cung cấp lưu trữ thấy nguồn và đích của luồng bên ngoài vì họ phải định tuyến nó, và địa chỉ điểm cuối nhận diện dịch vụ. Phần tải vẫn không đọc được, nhưng một máy chủ chỉ nói chuyện với một đối tác và không nói với gì khác thì không khó phân loại. Không gì trong mô tả đó đòi phải bẻ khóa một mật mã.

Mẫu hình không phải nội dung. Nếu mối lo là hồ sơ của nhà cung cấp, câu trả lời là một nhà cung cấp có chính sách công bố và thẩm quyền pháp lý bạn chấp nhận, không phải một mật mã khác. Mật mã mạnh hơn không thay đổi gì về việc luồng trông thế nào từ bên ngoài.

Đường hầm chia tách quyết định ai thấy truy vấn của bạn

Với một đường hầm công việc, điều quản trị viên có thể quan sát phụ thuộc vào các tuyến mà máy khách cài đặt. Nếu chỉ có các tiền tố của công ty trong đường hầm, cổng ghi lại đúng phần lưu lượng đó và không gì khác. Không có đường hầm chia tách, mọi gói tin đều đi qua chủ lao động, kể cả truy vấn tên miền khi bộ phân giải của họ được đẩy xuống máy khách. Chính khác biệt đó quyết định chủ lao động có thể quan sát thói quen nào của bạn.

Hãy xem bảng định tuyến thay vì giả định, và để ý ai trả lời truy vấn cho một cái tên công khai. Khi bộ phân giải của họ trả lời truy vấn của bạn, họ giữ truy vấn đó ngay cả khi trang được lấy từ nơi khác.

Hãy kiểm tra cả hai góc nhìn trước khi tin bất kỳ góc nào

Nhờ một thiết bị thứ hai trên cùng phân đoạn phân giải tên máy chủ của bạn và in bảng láng giềng của nó, rồi quan sát từ bên ngoài xem một dịch vụ báo cáo địa chỉ nào. Hai câu trả lời đó mô tả các lớp khác nhau, và không phép thử ẩn-hay-không đơn lẻ nào bao trùm cả hai.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Mỗi lần chỉ đổi một lớp khi bạn kiểm tra. Tắt giao thức dò tìm thì phân đoạn mất góc nhìn đó trong khi đường hầm không bị chạm tới; đổi quốc gia ra thì bản ghi của một trang thay đổi trong khi phân đoạn thì không.