Beth all cofnod VPN ei brofi am bori, a beth na all

Cyn dewis casglwr cofnodion, penderfynwch pa ddigwyddiad y mae'n rhaid i'r archwiliad ei sefydlu. Mae gofyn pa sesiwn VPN a gysylltodd â chyrchfan yn gwestiwn gwahanol i ofyn pa berson a agorodd dudalen benodol. Mae'r ddau yn gofyn am gofnodion gwahanol, cysylltiadau gwahanol a lefelau hyder gwahanol. Mae cofnod cysylltiad OpenVPN yn ateb y cyntaf ac ni all ateb yr ail.

Enwwch y digwyddiad cyn dewis casglwr

Mae cofnod sesiwn yn dangos hunaniaeth a dderbyniwyd, amser dechrau a diwedd, a chyfeiriad a neilltuodd y gweinydd o dan ei bolisi ei hun. Mae cofnod datrysiad yn dangos bod enw wedi'i holi yn y datrysiad hwnnw. Mae cofnod llif yn dangos cyfeiriadau, porthladdoedd, protocol ac amser, ac mae cofnod cymhwysiad yn dangos y trafodiad a driniodd y cymhwysiad hwnnw mewn gwirionedd. Nid oes yr un o'r pedwar yn cymryd lle'r llall.

Mae pob un ohonynt yn sefydlu un digwyddiad ac yn gadael y lleill yn agored. Mae ysgrifennu'r cwestiwn i lawr yn gyntaf yn eich atal rhag llunio stori na all y data ei chefnogi.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Mae'r gorchymyn cyntaf yn dangos digwyddiadau sesiwn o gofnod y gwasanaeth. Mae'r ail yn argraffu'r rhestr cleientiaid bresennol gyda chyfeiriadau a neilltuwyd, sef y mapio y mae cysylltiad archwiliad yn dibynnu arno. Mae'r trydydd yn dangos cyflwr llif byw, sy'n ddefnyddiol dim ond tra bo'r cysylltiad yn bodoli.

Nid yw chwiliad yn ymweliad

Mae porwr yn datrys enwau'n ddamcaniaethol, yn cadw atebion ac yn eu hailddefnyddio heb ofyn i'r datrysiad a fonitrwyd eto. Felly mae enw mewn cofnod datrysiad yn profi chwiliad, nid ymweliad. Mae DNS dros HTTPS yn ehangu'r bwlch hwnnw, oherwydd mae porwr a ffurfweddwyd ar ei gyfer yn anfon ei gwestiynau i rywle na fydd eich cofnodwr arferol byth yn ei weld.

Nid yw cyrchfannau ar eu pennau eu hunain yn well. Gall un cyfeiriad gynnal llawer o safleoedd di-gysylltiad, mae DNS gwrthdro yn ddyfaliad yn hytrach nag ail-greu, ac nid yw enw gwesteiwr a welir yn ystod ysgwyd llaw TLS yn llwybr y cais y tu mewn i'r sesiwn amgryptiedig.

Ar gyfer trafodion manwl mae angen cofnodion digwyddiadau'r cymhwysiad ei hun neu ddyluniad dirprwy a gefnogir yn benodol ar gyfer cofnodi. Mae twnnel CONNECT yn rhoi'r gyrchfan a'r cyfaint i ddirprwy, nid y llwybrau tudalen y tu mewn iddo. Nid yw mynediad gweinyddol i'r rhwydwaith yn drwydded i ddisodli model ymddiriedaeth y cymhwysiad yn dawel.

Cysylltwch hunaniaeth ac amser cyn enwi person

Nid yw cofnod llif sy'n cario cyfeiriad ffynhonnell mewnol yn golygu dim nes bod y cyfeiriad hwnnw'n cael ei gysylltu â sesiwn ar yr un pryd. Mae cyfeiriadau'n cael eu hailddefnyddio, a gallai'r un cyfeiriad fod wedi perthyn i sesiwn wahanol awr yn gynt. Mae neilltuo statig yn un ffordd o gadw'r cysylltiad, nid yr unig ffordd.

Mae ffiniau cyfieithu yn gwanhau'r cysylltiad ymhellach. Os oedd sawl dyfais eisoes yn rhannu un cyfeiriad ffynhonnell cyn eich pwynt arsylwi, y gorau y gallwch ei adnabod yw sesiwn y pyrth cyffredin yn hytrach nag un ddyfais. Mae gan dystysgrif neu gyfrif a ddefnyddir gan sawl person yr un effaith.

Cofnodwch barthau amser, ffynonellau cloc, pwyntiau arsylwi a phob cam cyfieithu. Gall cofnodion coll olygu bod cofnod llif wedi hen ddod i ben, bod synhwyrydd wedi'i osgoi neu fod cofnod cymhwysiad wedi'i ddiffodd. Nid yw absenoldeb yn brawf na ddigwyddodd dim.

Yna diffiniwch y meysydd lleiaf, y darllenwyr a ganiateir a'r cyfnod cadw ar gyfer y diben a nodwyd. Mae cydberthyniad a cham-briodoli'n faterion dylunio yn hytrach nag ôl-ystyriaeth, ac mae metadata sy'n adnabod pobl yn haeddu'r un amddiffyniad â'r mapio hunaniaeth y mae'n dibynnu arno.

Profwch yr archwiliad gyda gweithgarwch a reolwch

Cynhyrchwch draffig a ganiateir y gwyddoch ei sesiwn a'i gymhwysiad yn barod, yna gwiriwch beth a gofnododd pob cofnod mewn gwirionedd. Rheswch chwiliad heb lwytho'r dudalen, llwythwch dudalen o'r storfa, ac agorwch gysylltiad trwy ddirprwy, a gwelwch ba ddigwyddiadau sy'n ymddangos.

Adroddwch y digwyddiad y mae'r dystiolaeth yn ei gefnogi a dywedwch beth nad yw'n ei gynnwys. Mae cofnod cymedrol â chwmpas a nodwyd yn goroesi'r adolygiad; nid yw hanes pori uchelgeisiol a luniwyd o ddyfaliadau yn goroesi.