Hogyan rögzítse és ellenőrizze a használt VPN-kilépési címet
Az ügyfélalkalmazások helynevet mutatnak, nem azt a címet, ahonnan a forgalma kilépett. Rögzítse a kilépési IP-t csatlakozáskor, és hasonlítsa össze egy közvetlen alapvonallal.
Kérdezze meg az asztali VPN-klienst, milyen szervereket használt, és az őszinte válasz általában egy helynév. Ez a név a belépési pont, amelyet kiválasztott, és az a cím, ahonnan a forgalma kilépett, teljesen más gép is lehet. Az alkalmazásban semmi sem arra készült, hogy megőrizze a második számot, ezért a feljegyzést használat közben kell felépíteni. Két megközelítés létezik, és csak az egyik éli túl a támogatási esettel való találkozást.
Két feljegyzés, és csak az egyik létezik
A kliens saját nézete legjobb esetben a kiválasztott helyek listája időbélyegekkel. Ez tervezési döntés, nem mulasztás: a címek üzemeltetési részletek, a hozzárendelések között cserélődnek, és a megfeleltetés feltárása megnehezíti a támogatást és a visszaélések kezelését is. A szolgáltatók azért tesznek felhőpéldányokat a hálózataik elé, hogy a végpont értesítés nélkül elmozdulhasson. Amit az alkalmazás mutat, az az Ön választása, nem az útvonal, amelyen a forgalom elindult.
A feljegyzés, amelyet felépíthet, egy helyi fájl soronként egy nyilvános címmel és egy UTC-időbélyeggel. Kisebb, csúnyább és sokkal hasznosabb, mert pontosan azt írja le, amit egy külső megfigyelő is láthat.
Első lehetőség: a kilépési cím rögzítése saját kezűleg
A visszhangszolgáltatás visszaadja azt a forráscímet, ahonnan a kérés érkezett, ami definíció szerint a kilépési cím. A rögzítést azután futtassa, hogy az alagút csatlakozott állapotot jelent, mert az a kliens, amely még az útvonalak és a DNS beállta előtt csatlakozottnak mondja magát, az alagút előtti címet rögzíti, és az első sortól megmérgezi a naplót.
#!/bin/sh
umask 077
log="$HOME/vpn-exit.log"
printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$(curl -fsS https://api.ipify.org)" >> "$log"Két részlet teszi azt a részletet használhatóvá, nem díszítővé. Az időbélyeg és a cím egy soron osztozik, így a későbbi feldolgozásnak nem kell párosítania a bejegyzéseket, és a umask 077 a létrehozás pillanatától privátan tartja a fájlt. Kapcsolatonként egyszer futtassa, ne indításonként egyszer, és eszközönként egy fájlt tartson.
A napló rögzíti, mikor használt alagutat és melyik hálózatból jelent meg, ami közelebb áll a böngészési előzményekhez, mint egy számlálóhoz. Válasszon olyan megőrzési időt, amelyet meg tud védeni, tartsa a fájlt közös szinkronizálási mappákon kívül, és tudatosan törölje.
Második lehetőség: kérjen előzményeket a szolgáltatótól
Egyes szolgáltatók kapcsolatnaplókat vezetnek, és egy támogatási kérdésre időbélyeggel és szervernévvel válaszolnak. Az a feljegyzés az ő infrastruktúrájukat írja le, nem az Ön forgalmát, és csak annyit ér, amennyit a megőrzési ablakuk és a belenézésre való hajlandóságuk ér. Egy munkamenetet is leír, nem egy kérést. Az ablak általában rövid, és az alagút szolgáltatói oldalától mérik.
A naplózásmentességet hirdető szolgáltatók kérésre nem tudják ezt előállítani, és az ügyféloldali legutóbbi helyek listája nem ugyanaz. Ha egy naplók nélküli szolgáltatótól kilépési címet kér, az általában annak magyarázatával végződik, miért nem léteznek ezek az adatok.
Mit bizonyíthat az egyes feljegyzések egy támogatási esetben
A két feljegyzés különböző kérdésekre válaszol, és éppen a táblázatban szűnik meg tudományos lenni az összehasonlítás.
| Question | Your local log | Provider record |
|---|---|---|
| Which address did the traffic leave from? | Yes, for the moment it was captured | Usually not disclosed |
| Was the tunnel in use at 14:20? | Yes, if the capture ran | Yes, within the retention window |
| Why did a location get slower? | Yes, by comparing addresses over time | Sometimes, as an infrastructure note |
| Who sent this specific request? | No | No |
Csak az első oszlop van az Ön kezében. A szolgáltatói feljegyzés megerősítheti, hogy egy fiók egy adott időpontban csatlakozva volt, de nem tudja megerősíteni, mely kérések használták az alagutat, és nem nevez meg olyan címet, amelyet a szolgáltató üzemeltetési részletként kezel. Egyik feljegyzés sem azonosít személyt, mert egy megosztott kilépési cím ugyanabban a percben sok ügyfelet hordozhat.
Hasonlítsa össze mindkettőt egy alapvonallal, mielőtt bármelyikben megbízik
Egy cím önmagában semmit sem bizonyít. Rögzítse a közvetlen címet csatlakozás előtt, az alagúton átmenőt utána, és hasonlítsa össze őket. Az azonos értékek azt jelentik, hogy az alagút nem viszi ezt a kérést, akár megosztott alagút, akár fölérendelt proxy, akár egy közvetlen útra visszaesett kliens miatt.
curl -fsS https://api.ipify.org; echo
curl -fsS https://api64.ipify.org; echo
dig +short TXT o-o.myaddr.l.google.com @1.1.1.1Ismételje meg az összehasonlítást DNS-re és IPv6-ra is, mert egy címvisszhang egyetlen HTTP-kérés útvonalát bizonyítja, és semmit arról, melyik feloldó válaszolt. Egy eszköz, amely az egyiken szivárog, a másikon teljesen egészségesnek tűnhet.