Wat pleatslike systeemlochs fertelle oer in VPN-ferbining
It bestjoeringssysteem registrearret tsjinststarts, adapterferoarings en rûteflaters dy't in applikaasje nea opskriuwt. Lês ien smel finster en korrelearje it.
Elts buroblêd hâldt syn eigen ferslach by fan wat in VPN die, en de eksport fan de applikaasje is meastentiids de minst folsleine dêrfan. Tsjinstbehearders notearje wannear't in ienheid starte, de kearn notearret wannear't in ynterface ferskynde, en de netwurkstapel notearret wannear't rûtes net tapast wurde koene. Gjin fan dy foarsjennings wit wat de kliïnt fan doel hie, en de kliïnt wit net wat de kearn mei syn fersyk die.
Ien sa'n ferslach op himsels lêze noeget ta de ferkearde konklúzje. Lês twa, fan deselde minút, en de folchoarder wurdt sichtber.
Trije foarsjennings mei trije wurdlisten
Op Linux fangt it systemd-journal libbenssyklusberjochten fan 'e ienheid op fan wg-quick@wg0 of de VPN-plug-in fan NetworkManager, en de ringbuffer fan 'e kearn draacht ynterface- en rûteberjochten. Op Windows ferdielt it barrenregistraasje it ferhaal oer systeem-, WLAN- en fjirde tagongsoanbieders, elk mei eigen identifiers. Op macOS draacht it feriene logboek subsysteamberjochten dy't de grafyske Console mar foar in part sjen lit.
De wurdlisten fertale net. In barrenidentifier fan it iene platfoarm betsjut neat op it oare, en in skermprint fan in Windows-dialooch bewiist neat oer in Linux-ienheid.
Wat alle trije diele is in tiidstempel, in boarne en in earnst, en dy trijehawwer makket korrelaasje mooglik tusken in kliïntloch en in registraasje fan it bestjoeringssysteem. De beskikberens ferskilt ek: in kontener sûnder journal, in ôfslanke Windows-ôfbylding of in lochnivo dat by de bou ferlege is, kin in hiele laach ferbergje.
| Facility | What it records | What it cannot show |
|---|---|---|
| systemd journal | Unit start and stop, helper output, exit status | Whether packets actually reached the peer |
| Kernel and netlink | Interface creation, address assignment, route changes | Why the client asked for that configuration |
| Windows event log | Provider-specific connection and adapter events | Anything the provider chose not to log |
Wat in ferbûne rigel bewiist en wat net
In barren fan tsjinststart registrearret dat de pleatslike ienheid frege waard om te starten en dat dy net fuortendaliks einige. It registrearret gjin foltôge handshake, gjin jildige peer-kaai en ek gjin wurkjende rûte. Dy rigel as bewiis fan in tunnel beskôgje is de meast foarkommende ferkearde lêzing fan dizze lochs. De rigel bewiist bedoeling en prosestastân, en hielendal neat oer berikberens.
De trochstjoertastân is in aparte waarnimming, en dy komt út 'e rûtetabel en net út in loch.
In adapterbarren kin in stille flater ferklearje: de ynterface kaam op, it adres waard tawiisd, en de rûtes waarden nea ynstallearre om't in beliedsregel se wegere. Yn dy folchoarder liket elke sichtbere rigel sûn, wylst neat rûte wurdt, en de iennige manier om dat te sjen is de tiidstempels fan 'e loch te fergelykjen mei de rûtetabel op itselde stuit. Hâld de eigen barrensfolchoarder fan 'e kliïnt njonken beide, want de kliïnt is de iennige boarne dy't wit wat er frege hat. De twa feiten dy't jo tegearre nedich hawwe, ferskine hast nea op deselde rigel.
In lettere werferbining skriuwt it nijsgjirrige part fan dit byld oer, dus fange it finster by de earste flater ynstee fan nei trije besykjen.
Korrelearje in smel finster
Skriuw de besykstiid mei syn tiidsône op, en lûk dan de pear minuten dêromhinne. De earste flater yn it finster giet hast altyd foarôf oan 'e ôfbrekrigel dy't stipekaartsjes oanhelje.
journalctl -u wg-quick@wg0 --since "today 09:00" --until "today 09:20" ip route show table all | grep wg0 log show --last 20m --predicate 'subsystem == "com.apple.network"'
Elk kommando beantwurdet in oar part fan 'e fraach: it earste jout de libbenssyklus, it twadde de trochstjoertastân, it tredde it macOS-netwurksubsysteem. Op Windows filterje jo it systeemloch op oanbiedernamme ynstee fan it hiele kanaal troch te rôljen, en eksportearje allinnich de oerienkommende barrens.
Hâld it úttreksel lyts genôch dat in lêzer it folgje kin. In finster fan tweintich minuten mei fjouwer relevante barrens stipet in konklúzje; in eksport fan in hiele dei mei tûzenen rigels stipet neat.
Wêr't dizze registraasjes stopje
Pleatslike registraasjes beskriuwe it apparaat, net it paad. Se kinne net sjen litte wat in oanbieder bewarre hat, oft in sesje oan in akkount keppele wie of wat in bestimming seach. De útspraak fan in oanbieder dat er gjin lochs byhâldt, seit neat oer it bestjoeringssysteem op jo laptop, en in pleatslik barren bewiist neat oer de histoaryske registraasjes fan 'e oanbieder.
Se drage ek mear persoanlike gegevens as ferwachte: brûkersnammen, hostnammen, mountpaden en apparaatidentifiers ferskine yn gewoane systeemberjochten sels as der gjin syfynhâld is. Ferwiderje dy foardat jo eat oan in kaartsje taheakje, en hâld it orizjineel ûnder normale tagongskontrôles.
Freegje op in beheard apparaat it relevante úttreksel by IT oan ynstee fan te besykjen organisatoaryske logging te wiskjen. It diagnostyske doel is ien smelle fraach beantwurde troch twa boarnen, net in folsleine skiednis fan 'e masine.