מה VPN באמת עושה, וממה הוא לא מגן עליכם גם כשהוא פועל

VPN נמכר כגלימת קסמים: לוחצים על כפתור והופכים לבלתי נראים. המציאות צנועה יותר ושימושית יותר: מנהרה שעושה שלושה דברים מסוימים, עושה אותם טוב ועוצרת שם. הבנת הגבולות האלה חוסכת כסף על מנויים ומונעת הפתעות לא נעימות ברגע הכי גרוע.

איך המנהרה עובדת

אפליקציית VPN יוצרת במערכת ממשק רשת וירטואלי ומפנה אליו את כל תעבורת המכשיר. החבילות מוצפנות ונוסעות בזרם אחד עד השרת, שם הן מפוענחות ויוצאות לאתרים בדרך הרגילה, והתשובות חוזרות באותה מנהרה. מילת המפתח כאן היא כל התעבורה, מהדפדפן ועד שירותי הרקע. פרוקסי משרת את התוכנות שהוגדרו, ומנהרה תופסת את המערכת כולה, כולל אפליקציות שלא יודעות על קיומה.

שלוש פונקציות כנות

• הצפנה עד השרת. הרשת המקומית, מ-Wi-Fi בבית קפה ועד כל צומת ביניים, רואה זרם מוצפן אחד לכתובת אחת. אילו אתרים אתם פותחים ומה אתם שולחים אי אפשר להוציא מהזרם הזה.
• החלפת כתובת ומיקום. אתרים רואים את כתובת שרת ה-VPN: עמוד ממדינה אחרת, מחירים של אזור אחר, גישה למשאבים שסגורים לכתובת שלכם.
• כניסה לרשת סגורה. הגרסה הארגונית: מנהרה למשרד הופכת אתכם לחברים ברשת הפנימית עם המשאבים שלה. זו, אגב, המשמעות המקורית של הראשי התיבות: רשת פרטית וירטואלית.

מה VPN לא עושה

כאן מתחיל אזור ההגזמות הפרסומיות, וכדאי לעבור עליו סעיף אחר סעיף. אנונימיות: אתרים מזהים אתכם לפי חשבונות, עוגיות וטביעת אצבע של הדפדפן, והחלפת כתובת לא מבטלת את זה. הגנה מווירוסים ומפישינג: המנהרה מעבירה בייטים בלי להבחין אם הם מועילים או מזיקים, ודף כניסה מזויף מסוכן באותה מידה דרך VPN. הצפנה «עד הסוף»: המנהרה מסתיימת בשרת ה-VPN, משם התעבורה ממשיכה כרגיל וההגנה שלה תלויה ב-HTTPS של האתר. ולבסוף, אמון: כל מה שהספק שלכם ראה קודם, עכשיו רואה מפעיל ה-VPN. לא הסרתם את הצופה, בחרתם אותו, אז בחרו במודע.

VPN או פרוקסי

המשימה מכריעה. מנהרה טובה להגנה אישית: משתמש אחד, כל המכשיר, רשתות זרות. פרוקסי נבנה למערכי עבודה: תוכנות נפרדות, הרבה כתובות שונות, אוטומציה. סורק שצריך אלף יציאות לא בונים על VPN, כי המנהרה נותנת כתובת אחת לכל המכשיר. וגם להפך: למחשב נייד בשדה תעופה פרוקסי לא מספיק, הוא לא מכסה תעבורה של אפליקציות ששכחתם. השוואה מפורטת לפי שלבי הבקשה נמצאת במאמר על עבודת הפרוקסי, וסקירה מעשית של משימות במאמר על ייעוד שרתי פרוקסי.

מילה על פרוטוקולים

מתחת למכסה המנהרה חי פרוטוקול: את התקן המודרני WireGuard מעריכים על מהירות ועמידות ברשתות סלולריות, את הוותיק OpenVPN על תאימות, ואת IKEv2 על התאוששות מהירה בהחלפת רשת. למשתמש ההבדל מסתכם במהירות וביציבות: אם הלקוח מציע בחירה, התחילו מ-WireGuard. מתמטיקת ההצפנה אמינה באותה מידה בשלושתם בהגדרה נכונה.

בחירת מפעיל המנהרה

מכיוון שכל התעבורה עוברת דרך שרת ה-VPN, זהות בעל השרת הופכת לתכונה המרכזית של המוצר. מנהרות חינמיות בלי מודל הכנסה חיות לפי אותם חוקים של פרוקסי חינמי ותוספי דפדפן: מישהו משלם עליהן, בדרך כלל בנתוני המשתמשים. לגישה ארגונית התשובה ברורה: מנהרת החברה. לשימוש אישי: מפעיל עם סמכות שיפוט ברורה, מודל בתשלום והיסטוריה. מי שבטוח טכנית יכול להקים שרת WireGuard משלו בערב אחד ולפתור את שאלת האמון, ונשארת שאלת הכתובת היחידה.

איך לבדוק את המנהרה שלכם

אחרי החיבור פתחו את דף איתור IP: הכתובת צריכה להיות של שרת ה-VPN. אחר כך בדיקת האנונימיות: דליפת WebRTC ואזור זמן שלא תואם לכתובת חושפים את המנהרה בפני אתרים, ושני הסעיפים נראים בדוח מיד. DNS הוא סיפור נפרד: שאילתות שמות צריכות לעבור דרך המנהרה ולא לספק המקומי, אחרת רשימת הדומיינים שבהם ביקרתם נשארת גלויה לרשת שממנה רציתם להסתתר. לקוח טוב פותר את זה לבד, ואפשר לוודא באותה בדיקת אנונימיות לפי שרתי השמות.

נוסחה קצרה לזכור: ‏VPN הוא צינור מוצפן עם החלפת כתובת. כל מה שמבטיח יותר מצינור בדקו מול נוהלי ההגנה ברשתות זרות: שם רואים איזה חלק מהעבודה עושה המנהרה ואיזה חלק ההרגלים.