VPN операторы сіз қай сайттарға кіретініңізді көре ала ма?

VPN нені көре алады деп сұрасаңыз, жауап жолдың қай жерінде тұрғаныңызға байланысты. Сессия деңгейінде операторда аутентификация оқиғалары мен байт саны бар. Пакет деңгейінде оның қолында баратын мекенжайлар мен уақыт бар. DNS деңгейінде ол атаулардың өзінде болуы мүмкін. Әр деңгей басқа сұраққа жауап береді және бірде-бір ажыратқыш сізді олардың арасында жылжытпайды.

Мәлімдеме жасамас бұрын деңгейді анықтаңыз

Бірдей қосылым әр нүктеде түрлі жазба жасайды, ал құпиялылық туралы мәлімдеме сол нүктені атағанда ғана мағыналы. Кестені баған бойынша оқыңыз: сол деңгейде не бар, оператор онда нені көре алады және сол жазбалар әлі нені айта алмайды.

Бір деңгейді тұтас сурет ретінде оқу асыра сілтеуге де, жалған тыныштыққа да бастау болады. Шолуды жазбаймын дейтін провайдер URL жазбасында дәл болып, сессия жазбаларын бәрібір сақтауы мүмкін, ал тек мекенжайларды көрсететін пакет жазбасы кері іздеу мен болжамсыз шолу тарихына айналмайды.

Саясатты бағалағанда әр деңгейді сипаттайтын сөйлемді табыңыз. Егер саясат оларды ажыратпаса, шифрлау туралы жалпы мәлімдемені қабылдаудың орнына қандай жазбалар бар екенін сұраңыз.

Сессия тізілімі: кәдімгі OpenVPN сервері нені сақтайды

Әдепкі күйде OpenVPN сервері трафикті жазбайды. Әдеттегі шығыс — сессия тізілімі: қай тіркелгі аутентификациядан өтті, қай бастапқы мекенжайдан келді, басталу мен аяқталу уақыт белгілері, берілген туннель мекенжайы және екі бағыттағы байт қосындысы. Бұл сессиялардың тізілімі, баратын жерлердің тізімі емес.

Журнал параметрлері егжей-тегжей қоса алады. Егжей-тегжей деңгейі жоғары болса, қол алысу туралы көбірек жазылады, күй файлы қосылған клиенттерді тізімдей алады, бірақ екеуі де серверді мөлдір проксиге айналдырмайды. URL шығару үшін TLS-ті тоқтату немесе айқын прокси жүргізу қажет, ал екеуі де жасырын функцияны қосудың орнына сенім құрылымын өзгертеді.

Сондықтан шолу журналы жоқ деген мәлімдеменің дәл нұсқасы естілгенінен тар. Сервер бетті білмейді, бірақ сессия болғанын және ол арқылы шамамен қанша дерек өткенін біледі. Сол сессия жазбасы сақтала ма және қанша уақыт — бұл бөлек саясат мәселесі.

Ішкі және сыртқы пакеттер түрлі дәлел

Пакет жазбасы туннельден шынымен не өтетінін көрсетеді. Серверде туннель интерфейсін атап, кейін офлайн талдауға болатын файлға жазыңыз:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Бұл файлда шифры шешілген ішкі трафик бар: көз ретінде клиенттің туннель мекенжайы, баратын мекенжай мен порт, пакет өлшемдері мен уақыты. Онда HTTP жолы немесе жауап денесі жоқ, егер TLS қайда да тоқтатылмаса, және бұл сезімтал дерек, оны сақтау — жөндеу ыңғайлылығы емес, саясат шешімі.

Физикалық интерфейстегі жазба басқа нәрсе көрсетеді. Онда VPN соңғы нүктесіне бағытталған сыртқы пакеттер көрінеді, ішінде шифрланған мазмұн бар. Виртуалды адаптер болғанда сол файлда байланысы жоқ мекенжайлардың пайда болуы қалыпты, өйткені туннель құрылғысы ішкі ағындарды, ал шифрланған тасымал сыртқы ағындарды тасымалдайды.

Жазба қандай сұраққа жауап беруі керек екенін сұраңыз. Қолданбаның туннельді пайдалануы виртуалды адаптерде көрінеді; туннельдің соңғы нүктеге жетімділігі физикалық адаптерде көрінеді. Қай файлды да тұтас сурет ретінде қолдану деректер қолдамайтын қорытындыларға әкеледі.

DNS — атаулар көрінетін жер

DNS практикалық ерекшелік болып қалады. Шешуші өзінен шешуді сұраған атауларды көреді, сондықтан оны басқарған адам кейінгі қосылымдар шифрланған болса да клиент қандай сайттарды іздейтінін біледі. Туннель жазбасы мекенжайларды көрсетеді; шешуші атауларды көрсетеді.

Шешуші сыртқы қызметке қай мекенжаймен жеткенін тексеріңіз. Жауап — шешушінің шығу мекенжайы, оны VPN шығысымен салыстыру сұрау туннельден өткен-өтпегенін көрсетеді:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Егер бұл мекенжай туннель шығысына емес, жергілікті қосылымға сәйкес келсе, іздеу VPN-ді айналып өтті және атау жергілікті жолда көрінді. Клиент жаңартылғаннан кейін тексеруді қайталаңыз, өйткені жаңа нұсқа профиль қай шешушіні орнататынын өзгертуі мүмкін.

Шифрланған DNS көрінуді жоймайды, орнын ауыстырады. Желі енді сұрауды көрмейді, бірақ шешуші әлі көреді, ал сенім мәселесі жай ғана қол ауыстырады. Қосылымның қол алысуындағы TLS сервер атауы тағы бір ішінара сигнал: мазмұн мөлдір емес кезде де ол жиі сақталады, сондықтан баратын мекенжайлар форвардтаушы сервер бақылай алатын жалғыз метадерек емес.

Жазбаның үш түрі және оларды кім оқи алады

Сессия есебі, атау бойынша жазбалар және ағу дәлелдері — үш түрлі міндеті бар үш түрлі өнім. Сессия журналдары арзан және сезімталдығы төмен, олар кім қашан қосылғанын айтады. Атау бойынша жазбалар жазатын шешушіні немесе айқын проксиді қажет етеді және әсер еткен адамдар алдында ашу міндетін туғызады. Ағу дәлелі — шешушінің ашатынын туннель шығысымен салыстыратын клиент жақ тексерісі.

Осы үшеуінің қайсысын жүргізетініңізді, оны кім оқи алатынын және қанша уақыт сақталатынын жазып қойыңыз. Қызмет журнал ұстамайды деген мәлімдемелер бір деңгейді сипаттайды және сол шеңберде ғана шын болып қалады. Бір провайдер сессиялар туралы дәл, ал DNS туралы қате болуы мүмкін.

Тексеруді қайталауға болатындай ұстаңыз: сол шешушіге сұрау, сол жазу интерфейсі және сол салыстыру. Аталған деңгейде тексеруге болмайтын құпиялылық мәлімдемесі — ұран, операциялық факт емес.