Kuidas salvestada ja kontrollida kasutatud VPN väljumisaadressi

Küsige töölaua VPN-kliendilt, milliseid servereid te kasutasite, ja aus vastus on tavaliselt koha nimi. See nimi on sisenemispunkt, mille te valisite, ja aadress, kust teie liiklus väljus, võib olla hoopis teine masin. Miski rakenduses ei ole mõeldud teise numbri hoidmiseks, seega tuleb kirje luua kasutamise hetkel. On kaks lähenemist ja ainult üks neist peab vastu tugijuhtumile.

Kaks kirjet, ja neist on olemas ainult üks

Kliendi enda vaade on parimal juhul valitud kohtade loend ajatemplitega. See on disainiotsus, mitte möödalaskmine: aadressid on kasutusteadmise detail, need vahetuvad määramiste vahel, ja vastavuse avalikustamine raskendab nii tuge kui ka kuritarvituste käsitlemist. Pakkujad panevad oma võrkude ette pilveinstantsid just selleks, et lõpp-punkt saaks liikuda ilma kellelegi teatamata. See, mida rakendus teile näitab, on teie valik, mitte marsruut, mida liiklus läks.

Kirje, mille saate ise luua, on kohalik fail, kus on üks avalik aadress ja üks UTC ajatempel rea kohta. See on väiksem, koledam ja palju kasulikum, sest kirjeldab täpselt seda, mida näeb ka kõrvaline vaatleja.

Variant A: salvestage väljumisaadress ise

Kajateenus tagastab päritoluaadressi, kust päring saabus, ja see on definitsiooni järgi väljumisaadress. Käivitage salvestus pärast seda, kui tunnel teatab ühendatud, sest klient, mis ütleb ühendatud enne, kui marsruudid ja DNS on paigas, salvestab aadressi enne tunnelit ja mürgitab logi juba esimesest reast.

#!/bin/sh
umask 077
log="$HOME/vpn-exit.log"
printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$(curl -fsS https://api.ipify.org)" >> "$log"

Kaks detaili teevad selle katkendi kasutatavaks, mitte dekoratiivseks. Ajatempel ja aadress jagavad ühte rida, nii et hilisem töötlus ei pea kirjeid paaristama, ja umask 077 hoiab faili privaatsena loomise hetkest. Käivitage seda üks kord ühenduse kohta, mitte üks kord käivituse kohta, ja hoidke üks fail seadme kohta.

Logi märgib, millal te tunnelit kasutasite ja millisest võrgust ilmusite, mis on lähemal brauseriajaloole kui loendurile. Valige säilitusaeg, mida suudate põhjendada, hoidke faili jagatud sünkroonimiskaustadest väljas ja kustutage see teadlikult.

Variant B: küsige pakkujalt ajalugu

Mõned pakkujad peavad ühenduslogisid ja vastavad tugiküsimusele ajatempli ja serverinimega. See kirje kirjeldab nende taristut, mitte teie liiklust, ja see on väärt täpselt nii palju, kui väärt on nende säilitusaken ja nende valmisolek pilku heita. See kirjeldab ka sessiooni, mitte päringut. Aken on tavaliselt lühike ja seda mõõdetakse tunneli pakkuja poolt.

Pakkujad, kes reklaamivad, et nad ei pea logisid, ei saa seda nõudmisel esitada, ja kliendipoolne hiljutiste kohtade loend ei ole sama asi. Logideta pakkujalt väljumisaadressi küsimine lõpeb tavaliselt selgitusega, miks neid andmeid ei ole.

Mida kumbki kirje tugijuhtumis tõestada suudab

Kaks kirjet vastavad erinevatele küsimustele ja just tabelis lakkab võrdlus olemast akadeemiline.

Ainult esimene veerg on teie kontrolli all. Pakkuja kirje võib kinnitada, et konto oli antud ajal ühendatud, kuid ei saa kinnitada, millised päringud tunnelit kasutasid, ega nimeta aadressi, mida pakkuja peab kasutusteadmise detailiks. Kumbki kirje ei identifitseeri inimest, sest jagatud väljumisaadress võib samal minutil kanda palju kliente.

Võrrelge mõlemat baasjoonega, enne kui kummagi usaldate

Aadress iseenesest ei tõesta midagi. Salvestage otsene aadress enne ühendamist, tunneliaadress pärast seda ja võrrelge neid. Identsed väärtused tähendavad, et tunnel ei kanna seda päringut, olgu põhjuseks jagatud tunnel, ülempoolne puhverserver või klient, mis langes tagasi otsesele teele.

curl -fsS https://api.ipify.org; echo
curl -fsS https://api64.ipify.org; echo
dig +short TXT o-o.myaddr.l.google.com @1.1.1.1

Korrake võrdlust DNS-i ja IPv6 puhul, sest aadressi kaja tõestab ühe HTTP-päringu teekonda ja mitte midagi selle kohta, milline resolver vastas. Seade, mis lekitab ühel neist, võib teisel paista täiesti terve.