Beth mae logiau llwybrydd yn ei ddangos pan fo llwyth VPN wedi’i amgryptio

Mae amgryptio’n penderfynu a ellir darllen cynnwys pecyn, ac nid yw’n dweud dim am a fydd bodolaeth, maint ac amseru’r pecyn yn cael eu hysgrifennu. Mae llwybrydd sy’n anfon twnnel amgryptiedig ymlaen yn gweld llif y mae’n rhaid iddo ei ddanfon, a gall gyfrif, amseru a phriodoli’r llif hwnnw. Cymharwch yr hyn y mae porth cartref yn ei gofnodi â’r hyn y mae rhwydwaith uwch yn ei gofnodi, a daw’r gwahaniaeth i’r golwg yn y cwestiwn pa feysydd sydd gan bob un reswm i’w cadw.

Y gymhariaeth honno yw’r un ddefnyddiol, oherwydd bod y ddau gofnod yn cael eu cymysgu’n gyson mewn trafodaethau preifatrwydd. Maent yn ateb gwahanol gwestiynau ac yn cael eu cadw am wahanol gyfnodau.

Dau arsylwr, dau gofnod gwahanol

Mae’r porth ar eich ymyl yn gwybod pa ryngwyneb lleol y defnyddiodd y llif ac, pan mae’n dosbarthu cyfeiriadau ei hun, pa ddyfais oedd â’r cyfeiriad hwnnw ar y pryd. Gall hefyd weld pa ddatryswr y gwnaethoch holi a pha bwynt terfyn y cysylltoch ag ef. Uwch i fyny, mae’r un traffig yn cyrraedd wedi’i gyfieithu, felly mae rhwydwaith arall yn gweld un cyfeiriad cyhoeddus a rannir gan yr holl aelwyd, sef y swyddogaeth a ddisgrifir yn RFC 3022. Ni ddarllenodd y naill arsylwr na’r llall y llwyth, ac nid yw’r naill gofnod na’r llall yn cynnwys y llall.

Mae cyfansymiau beitiau’n perthyn i’r categori hwn hefyd. Mae cownter cyfaint yn cofnodi bod traffig wedi mynd heibio heb gofnodi beth oedd.

Pa feysydd sy’n gadael ôl mewn gwirionedd

Mae’r hyn y mae dyfais benodol yn ei storio’n dibynnu ar yr hyn sydd wedi’i alluogi, felly mae unrhyw honiad cyffredinol yn haeddu amheuaeth. Mae’r tabl yn rhestru’r meysydd sy’n bwysig yn ymarferol a’r hyn y mae pob un yn ei awgrymu.

Darllenwch y tabl fesul rhes yn hytrach nag fesul colofn, oherwydd bod pob rhes yn cefnogi casgliad gwahanol. Mae cyfeiriad y pwynt terfyn yn dangos bod twnnel yn bodoli, nid beth oedd yn ei gario. Mapio dyfeisiau lleol yw’r rhes sy’n clymu llif wrth berson, a honno yw’r rhes y mae porth cartref yn ei chadw tra nad yw arsylwr uwch fel arfer yn ei chadw.

Mae rhes y llwyth yr un fath yn y ddwy golofn, a dyna’r rhan y mae amgryptio’n ei gwarantu mewn gwirionedd. Mae popeth arall yn dibynnu ar ddewisiadau logio.

Mae llwybrydd sy’n terfynu’r twnnel yn gweld mwy

Mae porth sy’n anfon traffig amgryptiedig rhywun arall ymlaen a llwybrydd sy’n rhedeg y twnnel ei hun yn gwbl wahanol. Mae’r ail yn cadw cyflwr y twnnel ac allweddi ar ei gyfer, ac felly gall weld cyfeiriadau mewnol a’r cyrchfannau y tu mewn i’r twnnel. Os yw’r llwybrydd hwnnw hefyd yn cyfieithu cyfeiriadau ar gyfer y rhwydwaith mewnol, gall ei logiau uno dyfais â chyrchfan fewnol mewn un cofnod. Mae hynny’n ddatgeliad gwahanol i’r llif allanol, a gynhyrchir gan yr un blwch.

Cymharwch hynny â chleient gliniadur y tu ôl i borth cyffredin: mae’r porth yn cofnodi’r llif allanol, ac mae log y cleient ei hun yn cadw’r manylion mewnol. Mae gofyn pwy sy’n dal pa hanner o’r darlun yn fwy cynhyrchiol na gofyn a all y rhwydwaith weld trwy amgryptio. Yr ateb onest i’r ail gwestiwn yw na, ac nid dyna’r cwestiwn sy’n penderfynu eich datguddiad chwaith.

Gwiriwch beth mae eich dyfais eich hun yn ei gofnodi

Edrychwch ar eich offer eich hun cyn rhesymu am offer rhywun arall. Mae’r gorchmynion isod yn rhestru rheolau mur cadarn sydd â chownteri, cofnodion cysylltiad sy’n dal yn fyw, a llinellau log sy’n sôn am gysylltiad. Maent yn berthnasol i lwybrydd sy’n seiliedig ar Linux, y mae’r rhan fwyaf o firmware defnyddwyr yn deillio ohono.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Mae set o reolau â chownteri’n dweud wrthych beth y mae’r ddyfais yn fodlon ei gyfrif, ac mae’r tabl cysylltiadau’n dangos llifoedd byw yn hytrach na hanes. Mae llinellau log yn cadarnhau a yw’r firmware’n ysgrifennu digwyddiadau cysylltiad o gwbl, ac mae hynny’n datrys y rhan fwyaf o’r ddadl. Mae allbwn gwag ar bob un o’r pedwar gorchymyn yn golygu bod y blwch yn anfon ymlaen heb gofnodi, ac mae hynny’n ateb hefyd. Ailadroddwch y gwiriad ar y cleient, oherwydd bod ei log yn cadw’r hanner arall o’r darlun.

Cofnodwch y cyfleusterau sydd wedi’u galluogi a’r gosodiad cadw wrth ymyl yr allbynnau. Gall yr un caledwedd fod yn dawel heddiw ac yn siaradus ar ôl diweddariad firmware sy’n troi telemetri ymlaen.