Zer erakusten duten sistema-erregistro lokalek VPN konexio bati buruz
Sistema eragileak zerbitzu hasierak, egokigailu aldaketak eta aplikazio batek inoiz idazten ez dituen bide hutsegiteak erregistratzen ditu. Irakurri leiho estu bat eta korrelazionatu ezazu.
Mahaigain bakoitzak bere erregistroa du VPN batek zer egin zuen jakiteko, eta aplikazioaren esportazioa izaten da osatuena ez dena. Zerbitzu-kudeatzaileek unitate bat noiz abiatu zen ohartematen dute, kernelak interfaze bat noiz agertu zen ohartematen du, eta sare-pilak bideak noiz aplikatu ezin izan ziren ohartematen du. Instalazio horietako batek ere ez daki bezeroak zer asmo zuen, eta bezeroak ez daki kernelak zer egin zuen bere eskaerarekin.
Horrelako erregistro bat bakarrean irakurtzeak okerreko ondoriora bultzatzen du. Irakurri bi, minutu beretik, eta sekuentzia ikusgai bihurtzen da.
Hiru instalazio, hiru hiztegi
Linuxen systemd egunkariak unitatearen bizitza-zikloaren mezuak harrapatzen ditu wg-quick@wg0 edo NetworkManager VPN plugin-etik, eta kernelaren eraztun-bufferak interfaze eta bideratze mezuak daramatza. Windowsen gertaeren erregistroak istorioa sistema, WLAN eta urrutiko sarbide hornitzaileen artean banatzen du, bakoitza bere identifikatzaileekin. macOSen erregistro bateratuak azpisistemara mugatutako mezuak daramatza, Console grafikoak zati batean baino erakusten ez dituenak.
Hiztegiek ez dute itzultzen. Plataforma bateko gertaera-identifikatzaileak ez du ezer esan nahi bestean, eta Windows elkarrizketa baten pantaila-kapturak ez du ezer frogatzen Linux unitate bati buruz.
Hirurek partekatzen dutena denbora-marka, iturria eta larritasuna da, eta hirukote horrek egiten du posible bezeroaren erregistroaren eta sistema eragilearen erregistroaren arteko korrelazioa. Eskuragarritasunak ere aldatzen du: egunkaririk gabeko edukiontzi batek, moztutako Windows irudi batek edo konpilazio garaian murriztutako erregistro maila batek geruza oso bat ezkuta dezake.
| Facility | What it records | What it cannot show |
|---|---|---|
| systemd journal | Unit start and stop, helper output, exit status | Whether packets actually reached the peer |
| Kernel and netlink | Interface creation, address assignment, route changes | Why the client asked for that configuration |
| Windows event log | Provider-specific connection and adapter events | Anything the provider chose not to log |
Zer frogatzen duen konektatutako lerro batek eta zer ez
Zerbitzu-hasierako gertaera batek erregistratzen du unitate lokalari hasteko eskatu zitzaiola eta ez zela berehala irten. Ez du erregistratzen osatutako handshakerik, baliozko pare-kakirik ezta funtzionatzen duen biderik ere. Lerro hori tunel baten froga gisa hartzea da erregistro hauen okerreko irakurketa ohikoena. Lerroak asmoa eta prozesuaren egoera frogatzen ditu, eta erabat ezer ez iristeko gaitasunari buruz.
Birbidaltze-egoera behaketa bereizia da, eta bideratze-taulatik dator, ez inongo erregistrotik.
Egokigailuaren gertaera batek isileko hutsegite bat azal dezake: interfazea altxatu zen, helbidea esleitu zen, eta bideak ez ziren inoiz instalatu politika-arau batek baztertu zituelako. Sekuentzia horretan ikusgai dagoen lerro bakoitza osasuntsu dirudi ezer bideratzen ez den bitartean, eta hori ikusteko modu bakarra erregistroaren denbora-markak une berean bideratze-taularekin alderatzea da. Eduki bezeroaren gertaera-ordenari biek ondoan, bezeroa baita eskatu zuenaren berri duen iturri bakarra. Elkarrekin behar dituzun bi gertaerak ia inoiz ez dira lerro berean agertzen.
Beranduagoko berriz konektatzeak irudi honen zati interesgarria gainidazten du, beraz harrapatu leihoa lehen hutsegitean, ez hiru saiakeren ondoren.
Korrelazionatu leiho estua
Erregistratu saiakeraren ordua bere ordu-eremuarekin, eta gero atera inguruko minutu gutxi horiek. Leihoan lehen errorea ia beti da laguntza-txartelek aipatzen duten deskonexio-lerroa baino lehenagokoa.
journalctl -u wg-quick@wg0 --since "today 09:00" --until "today 09:20" ip route show table all | grep wg0 log show --last 20m --predicate 'subsystem == "com.apple.network"'
Komando bakoitzak galderaren zati desberdinari erantzuten dio: lehenak bizitza-zikloa ematen du, bigarrenak birbidaltze-egoera, hirugarrenak macOS sare azpisistema. Windowsen iragazi sistema-erregistroa hornitzailearen izenaren arabera kanal osoa korritu beharrean, eta esportatu bat datozen gertaerak soilik.
Eduki erauzketa irakurle batek jarraitu ahal izateko bezain txikia. Lau gertaera esanguratsu dituen hogei minutuko leiho batek ondorio bat sostengatzen du; milaka lerro dituen egun osoko esportazio batek ez du ezer sostengatzen.
Non gelditzen diren erregistro hauek
Erregistro lokalek gailua deskribatzen dute, ez bidea. Ezin dute erakutsi hornitzaileak zer gorde zuen, saio bat kontu batekin parekatu zen ala helmuga batek zer ikusi zuen. Hornitzaile batek erregistrorik ez duela dioen adierazpenak ez du ezer esaten zure eramangarriko sistema eragileari buruz, eta tokiko gertaera batek ez du ezer frogatzen hornitzailearen erregistro historikoei buruz.
Espero baino datu pertsonal gehiago ere daramatzate: erabiltzaile-izenak, ostalari-izenak, muntatze-bideak eta gailu-identifikatzaileak ohiko sistema-mezuetan agertzen dira nabigazio-edukirik ez dagoenean ere. Kendu horiek txartel bati zerbait erantsi aurretik, eta gorde jatorrizkoa sarbide-kontrol arrunten pean.
Kudeatutako gailu batean, eskatu dagokion erauzketa IT sailari erregistro organizatiboa garbitzen saiatu beharrean. Helburu diagnostikoa bi iturrik erantzuten duten galdera estu bat da, ez makinaren historia osoa.