VPN пайдалы жүктемесі шифрланған кезде маршрутизатор журналдары не көрсетеді

Шифрлау пакеттің мазмұнын оқуға болатынын шешеді және пакеттің бар болуы, өлшемі мен уақыты жазыла ма, ол туралы ештеңе айтпайды. Шифрланған туннельді жіберетін маршрутизатор жеткізуге тиіс ағынды көреді және оны санай, уақыт белгісімен белгілей және оған жатқыза алады. Үй шлюзінің не жазатынын жоғары ағындағы желінің не жазатынымен салыстырыңыз, сонда айырмашылық әрқайсысының қандай өрістерді сақтауға себебі бар екенінде болады.

Дәл осы салыстыру пайдалы, өйткені құпиялылық талқылауларында екі жазба үнемі шатастырылады. Олар түрлі сұрақтарға жауап береді және түрлі мерзімге сақталады.

Екі бақылаушы, екі түрлі жазба

Сіздің шетіңіздегі шлюз ағын қай жергілікті интерфейсті пайдаланғанын және өзі мекенжай таратқанда сол кезде қай құрылғыда сол мекенжай болғанын біледі. Ол сондай-ақ қай шешушіге сұрау жібергеніңізді және қай соңғы нүктеге қосылғаныңызды көре алады. Жоғары ағында сол трафик аударылып келеді, сондықтан басқа желі бүкіл үй шаруашылығы бөлісетін бір жария мекенжайды көреді, бұл RFC 3022 құжатында сипатталған функция. Бақылаушылардың ешқайсысы жүктемені оқыған жоқ және екі жазбаның ешқайсысы екіншісін қамтымайды.

Байт қосындылары да осы санатқа жатады. Көлем есептегіші трафиктің өткенін жазады, оның не болғанын жазбай.

Қандай өрістер шынымен із қалдырады

Белгілі бір құрылғының нені сақтайтыны қандай мүмкіндіктер қосылғанына байланысты, сондықтан кез келген жалпы тұжырым күмән тудырады. Кесте практикада маңызды өрістерді және олардың әрқайсысы нені білдіретінін тізімдейді.

Кестені баған бойынша емес, жол бойынша оқыңыз, өйткені әр жол басқа қорытындыны қолдайды. Соңғы нүктенің мекенжайы туннельдің бар екенін көрсетеді, оның не тасығанын емес. Жергілікті құрылғыларды салыстыру ағынды адамға байланыстыратын жол және оны үй шлюзі сақтайды, ал жоғары ағындағы бақылаушы әдетте сақтамайды.

Жүктеме жолы екі бағанда да бірдей және бұл шифрлау шынымен кепілдік беретін бөлік. Қалғанының бәрі журналдау таңдауына байланысты.

Туннельді аяқтайтын маршрутизатор көбірек көреді

Басқаның шифрланған трафигін жіберетін шлюз бен туннельді өзі басқаратын маршрутизатор түрлі позицияда тұр. Екіншісі туннель күйі мен оның кілттерін сақтайды, сондықтан ішкі мекенжайларды және туннель ішіндегі межелерді көре алады. Егер бұл маршрутизатор ішкі желі үшін мекенжайларды да аударса, оның журналдары бір жазбада құрылғыны ішкі межемен байланыстыра алады. Бұл сыртқы ағыннан өзгеше ашқыштық және оны сол қорап жасайды.

Мұны қарапайым шлюз артындағы ноутбук клиентімен салыстырыңыз: шлюз сыртқы ағынды жазады, ал клиенттің өз журналы ішкі егжей-тегжейді сақтайды. Суреттің қай жартысы кімде екенін сұрау желі шифрлау арқылы көре ала ма деп сұрағаннан гөрі өнімдірек. Екінші сұраққа шынайы жауап — жоқ, және ол сіздің әсер ету деңгейіңізді шешетін сұрақ та емес.

Өз құрылғыңыздың нені жазатынын тексеріңіз

Басқалардікі туралы ойланбас бұрын өз жабдығыңызды қараңыз. Төмендегі командалар есептегіштері бар брандмауэр ережелерін, әлі тірі қосылым жазбаларын және қосылымды атайтын журнал жолдарын тізімдейді. Олар Linux негізіндегі маршрутизаторға қатысты, тұтынушылық прошивканың көбі сол жерден тарайды.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Есептегіштері бар ережелер жиынтығы құрылғының нені санауға дайын екенін айтады, ал қосылымдар кестесі тарихты емес, тірі ағындарды көрсетеді. Журнал жолдары прошивка қосылым оқиғаларын мүлде жаза ма, соны растайды және бұл даудың көбін шешеді. Төрт команданың барлығында бос шығыс қораптың жазбай жіберетінін білдіреді, және бұл да жауап. Клиентте тексеруді қайталаңыз, өйткені оның журналы суреттің екінші жартысын сақтайды.

Қосылған мүмкіндіктерді және сақтау параметрін шығыстардың жанына жазып қойыңыз. Сол жабдық бүгін үнсіз болып, телеметрияны қосатын прошивка жаңартуынан кейін сөйлейтін болуы мүмкін.