რას აჩვენებს როუტერის ჟურნალები, როცა VPN-ის დატვირთვა დაშიფრულია
დაშიფვრა მალავს დატვირთვას და არა ნაკადს. შეადარეთ, რას იწერს სახლის კარიბჭე და რას ინახავს ზედა დამკვირვებელი, შემდეგ კი შეამოწმეთ საკუთარი მრიცხველები.
დაშიფვრა წყვეტს, შეიძლება თუ არა პაკეტის შიგთავსის წაკითხვა, და არაფერს ამბობს იმაზე, დაიწერება თუ არა პაკეტის არსებობა, ზომა და დრო. დაშიფრული გვირაბის გადამცემი როუტერი ხედავს ნაკადს, რომელიც უნდა მიაწოდოს, და შეუძლია ეს ნაკადი დათვალოს, დროის ნიშნით აღნიშნოს და მიაკუთვნოს. შეადარეთ, რას იწერს სახლის კარიბჭე და რას იწერს ზედა ქსელი, და სხვაობა იმაში აღმოჩნდება, თუ რომელი ველების შენახვის მიზეზი აქვს თითოეულს.
სწორედ ეს შედარებაა სასარგებლო, რადგან კონფიდენციალურობის დისკუსიებში ორი ჩანაწერი მუდმივად ერევა ერთმანეთს. ისინი სხვადასხვა კითხვას პასუხობენ და სხვადასხვა ვადით ინახება.
ორი დამკვირვებელი, ორი განსხვავებული ჩანაწერი
თქვენი კიდის კარიბჭემ იცის, რომელი ლოკალური ინტერფეისი გამოიყენა ნაკადმა და, როცა თავად ანაწილებს მისამართებს, რომელ მოწყობილობას ჰქონდა ეს მისამართი იმ მომენტში. მას ასევე შეუძლია დაინახოს, რომელ გამხსნელს ჰკითხეთ და რომელ საბოლოო წერტილს დაუკავშირდით. ზედა დინებაში იგივე ტრაფიკი თარგმნილი მოდის, ამიტომ სხვა ქსელი ხედავს ერთ საჯარო მისამართს, რომელსაც მთელი საოჯახო იზიარებს, და ეს არის RFC 3022-ში აღწერილი ფუნქცია. არც ერთ დამკვირვებელს არ წაუკითხავს დატვირთვა და არც ერთი ჩანაწერი არ შეიცავს მეორეს.
ბაიტების ჯამებიც ამ კატეგორიას განეკუთვნება. მოცულობის მრიცხველი იწერს, რომ ტრაფიკი გაიარა, იმის ჩაწერის გარეშე, თუ რა იყო ის.
რომელი ველები ტოვებს ნამდვილად კვალს
რას ინახავს კონკრეტული მოწყობილობა, დამოკიდებულია იმაზე, რა არის ჩართული, ამიტომ ნებისმიერი ზოგადი მტკიცება ეჭვს იმსახურებს. ცხრილი ჩამოთვლის პრაქტიკაში მნიშვნელოვან ველებს და თითოეულის მნიშვნელობას.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
ცხრილი წაიკითხეთ სტრიქონებით და არა სვეტებით, რადგან ყოველი სტრიქონი სხვა დასკვნას უჭერს მხარს. საბოლოო წერტილის მისამართი აჩვენებს, რომ გვირაბი არსებობს და არა იმას, თუ რა გადაიტანა მან. ლოკალური მოწყობილობების დაკავშირება ის სტრიქონია, რომელიც ნაკადს ადამიანს უკავშირებს, და სწორედ ამ სტრიქონს ინახავს სახლის კარიბჭე, მაშინ როცა ზედა დამკვირვებელი ჩვეულებრივ არ ინახავს.
დატვირთვის სტრიქონი ორივე სვეტში ერთნაირია და ეს არის ის ნაწილი, რომელსაც დაშიფვრა ნამდვილად იძლევა გარანტიას. დანარჩენი ყველაფერი ჟურნალირების არჩევანზეა დამოკიდებული.
გვირაბს რომ ამთავრებს, როუტერი მეტს ხედავს
კარიბჭე, რომელიც სხვის დაშიფრულ ტრაფიკს გადასცემს, და როუტერი, რომელიც თავად უძღვება გვირაბს, სხვადასხვა პოზიციაზე არიან. მეორე ინახავს გვირაბის მდგომარეობას და მის გასაღებებს, ამიტომ შეუძლია შიდა მისამართებისა და გვირაბის შიგნით არსებული დანიშნულებების დანახვა. თუ ეს როუტერი შიდა ქსელისთვის მისამართებსაც თარგმნის, მის ჟურნალებს ერთ ჩანაწერში შეუძლია მოწყობილობა შიდა დანიშნულებას დაუკავშიროს. ეს გარე ნაკადისგან განსხვავებული გამჟღავნებაა და მას იგივე ყუთი ქმნის.
შეადარეთ ეს ჩვეულებრივი კარიბჭის უკან მდგარ ლეპტოპის კლიენტს: კარიბჭე იწერს გარე ნაკადს და კლიენტის საკუთარი ჟურნალი ინახავს შიდა დეტალებს. იმის კითხვა, ვის აქვს სურათის რომელი ნახევარი, უფრო ნაყოფიერია, ვიდრე იმის კითხვა, ხედავს თუ არა ქსელი დაშიფვრის გავლით. მეორე კითხვაზე პატიოსანი პასუხია არა და ეს ის კითხვაც არ არის, რომელიც თქვენს ექსპოზიციას წყვეტს.
შეამოწმეთ, რას იწერს თქვენი საკუთარი მოწყობილობა
სანამ სხვისაზე იმსჯელებთ, საკუთარ აღჭურვილობას შეხედეთ. ქვემოთ მოცემული ბრძანებები ჩამოთვლის მრიცხველების მქონე ფაირვოლის წესებს, ჯერ კიდევ ცოცხალ კავშირების ჩანაწერებს და კავშირს რომ ახსენებს ჟურნალის სტრიქონებს. ისინი ეხება Linux-ზე დაფუძნებულ როუტერს, საიდანაც მომხმარებლის პროგრამული უზრუნველყოფის უმეტესი ნაწილი მომდინარეობს.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lმრიცხველებიანი წესების ნაკრები გეუბნებათ, რისი დათვლა სურს მოწყობილობას, და კავშირების ცხრილი ცოცხალ ნაკადებს აჩვენებს და არა ისტორიას. ჟურნალის სტრიქონები ადასტურებს, საერთოდ წერს თუ არა პროგრამული უზრუნველყოფა კავშირის მოვლენებს, და ეს კამათის უმეტეს ნაწილს წყვეტს. ოთხივე ბრძანებაზე ცარიელი გამოსავალი ნიშნავს, რომ ყუთი ჩაწერის გარეშე გადასცემს, და ესეც პასუხია. გაიმეორეთ შემოწმება კლიენტზე, რადგან მისი ჟურნალი სურათის მეორე ნახევარს ინახავს.
ჩაწერეთ ჩართული შესაძლებლობები და შენახვის პარამეტრი გამოსავლების გვერდით. იგივე აპარატურა დღეს შეიძლება ჩუმად იყოს, ხოლო ტელემეტრიის ჩამრთველი პროგრამული განახლების შემდეგ — სალაპარაკო.