Ինչ են ցույց տալիս երթուղիչի մատյանները, երբ VPN-ի օգտակար բեռը գաղտնագրված է
Գաղտնագրումը թաքցնում է բեռը, ոչ թե հոսքը։ Համեմատեք, թե տնային դարպասը ինչ է գրանցում, և ինչ է պահում վերին դիտորդը, ապա ստուգեք ձեր սեփական հաշվիչները։
Գաղտնագրումը որոշում է, թե արդյոք կարելի է կարդալ փաթեթի բովանդակությունը, և ոչինչ չի ասում այն մասին, թե արդյոք փաթեթի գոյությունը, չափը և ժամանակը կգրանցվեն։ Գաղտնագրված թունել փոխանցող երթուղիչը տեսնում է հոսք, որը պետք է հասցնի, և կարող է հաշվել այդ հոսքը, ժամանակադրոշմել և վերագրել։ Համեմատեք, թե տնային դարպասը ինչ է գրանցում, և ինչ է գրանցում վերին ցանցը, և տարբերությունը պարզվում է, թե որ դաշտերն ունի յուրաքանչյուրը պահելու պատճառ։
Հենց այդ համեմատությունն է օգտակարը, որովհետև գաղտնիության քննարկումներում երկու գրառումները անընդհատ շփոթում են։ Դրանք պատասխանում են տարբեր հարցերի և պահվում են տարբեր ժամկետներով։
Երկու դիտորդ, երկու տարբեր գրառում
Ձեր եզրի դարպասը գիտի, թե հոսքը որ տեղական ինտերֆեյսն է օգտագործել, և երբ ինքն է հասցեներ բաժանում, թե որ սարքն ուներ այդ հասցեն այդ պահին։ Այն կարող է տեսնել նաև, թե որ լուծիչին եք հարցրել և որ վերջնակետին եք կապվել։ Վերևում նույն երթևեկությունը հասնում է թարգմանված, ուստի մեկ այլ ցանց տեսնում է մեկ հանրային հասցե, որը կիսում է ամբողջ տնտեսությունը, ինչը RFC 3022-ում նկարագրված գործառույթն է։ Դիտորդներից ոչ մեկը չի կարդացել բեռը, և գրառումներից ոչ մեկը չի պարունակում մյուսը։
Բայթերի գումարները նույնպես պատկանում են այս կատեգորիային։ Ծավալի հաշվիչը գրանցում է, որ երթևեկություն է անցել՝ չգրանցելով, թե ինչ էր այն։
Որ դաշտերն են իրականում հետք թողնում
Թե կոնկրետ սարքը ինչ է պահում, կախված է նրանից, թե ինչ է միացված, ուստի ցանկացած ընդհանուր պնդում կասկածի արժանի է։ Աղյուսակը թվարկում է գործնականում կարևոր դաշտերը և ինչ է նշանակում դրանցից յուրաքանչյուրը։
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Կարդացեք աղյուսակը տողերով, ոչ սյուներով, որովհետև յուրաքանչյուր տող աջակցում է այլ եզրակացության։ Վերջնակետի հասցեն ցույց է տալիս, որ թունել կա, ոչ թե ինչ է այն տեղափոխել։ Տեղական սարքերի քարտեզագրումը այն տողն է, որը հոսքը կապում է մարդու հետ, և հենց այդ տողն է պահում տնային դարպասը, մինչդեռ վերին դիտորդը սովորաբար չի պահում։
Բեռի տողը նույնն է երկու սյուներում, և դա այն մասն է, որն իսկապես երաշխավորում է գաղտնագրումը։ Մնացած ամեն ինչ կախված է գրանցման ընտրություններից։
Թունելը վերջացնող երթուղիչն ավելին է տեսնում
Ուրիշի գաղտնագրված երթևեկությունը փոխանցող դարպասը և ինքը թունելը վարող երթուղիչը տարբեր դիրքերում են։ Երկրորդը պահում է թունելի վիճակը և դրա բանալիները, ուստի կարող է տեսնել ներքին հասցեները և թունելի ներսի նպատակակետերը։ Եթե այդ երթուղիչը նաև հասցեներ է թարգմանում ներքին ցանցի համար, նրա մատյանները կարող են մեկ գրառման մեջ սարքը կապել ներքին նպատակակետի հետ։ Սա արտաքին հոսքից տարբեր բացահայտում է, որը ստեղծում է նույն արկղը։
Համեմատեք սա սովորական դարպասի հետևում գտնվող նոութբուքի հաճախորդի հետ. դարպասը գրանցում է արտաքին հոսքը, և հաճախորդի սեփական մատյանը պահում է ներքին մանրամասը։ Հարցնելը, թե ով է պահում նկարի որ կեսը, ավելի արդյունավետ է, քան հարցնելը, թե արդյոք ցանցը տեսնում է գաղտնագրման միջով։ Երկրորդ հարցի ազնիվ պատասխանը ոչ է, և այն նույնպես չէ այն հարցը, որը որոշում է ձեր ենթակայությունը։
Ստուգեք, թե ձեր սեփական սարքն ինչ է գրանցում
Նայեք ձեր սեփական սարքավորումներին, նախքան ուրիշների մասին մտածելը։ Ստորև բերված հրամանները թվարկում են հաշվիչներ ունեցող հրապարակախցիկի կանոնները, դեռ կենդանի կապերի գրառումները և կապը հիշատակող մատյանի տողերը։ Դրանք վերաբերում են Linux-ի վրա հիմնված երթուղիչին, որից սերում է սպառողական որոնվածքի մեծ մասը։
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lՀաշվիչներով կանոնների հավաքածուն ասում է, թե սարքը ինչ հաշվելու պատրաստ է, և կապերի աղյուսակը ցույց է տալիս կենդանի հոսքեր, ոչ թե պատմություն։ Մատյանի տողերը հաստատում են՝ արդյոք որոնվածքն ընդհանրապես գրում է կապի իրադարձություններ, և դա լուծում է վեճի մեծ մասը։ Չորս հրամանների դատարկ ելքը նշանակում է, որ արկղը փոխանցում է առանց գրանցելու, և դա նույնպես պատասխան է։ Կրկնեք ստուգումը հաճախորդի վրա, քանի որ նրա մատյանը պահում է նկարի մյուս կեսը։
Գրանցեք միացված հնարավորությունները և պահպանման կարգավորումը ելքերի կողքին։ Նույն ապարատը կարող է այսօր լռել և խոսել հեռաչափությունը միացնող որոնվածքի թարմացումից հետո։