ನೀವು ಯಾವ ಸೈಟ್‌ಗಳಿಗೆ ಭೇಟಿ ನೀಡುತ್ತೀರಿ ಎಂಬುದನ್ನು VPN ನಿರ್ವಾಹಕರು ನೋಡಬಹುದೇ?
ಡೀಫಾಲ್ಟ್ OpenVPN ಸರ್ವರ್ ಸೆಷನ್‌ಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ, URLಗಳನ್ನಲ್ಲ. ನಿರ್ವಾಹಕರು ಏನು ನೋಡುತ್ತಾರೆ ಎಂದು ಹೇಳುವ ಮೊದಲು ಸಂಪರ್ಕ ಲಾಗ್, ಟನೆಲ್ ಕ್ಯಾಪ್ಚರ್ ಮತ್ತು DNS ಸೋರಿಕೆ ಪರಿಶೀಲನೆಯನ್ನು ಹೋಲಿಸಿ.
VPN ಏನನ್ನು ನೋಡಬಲ್ಲದು ಎಂದು ಕೇಳಿದರೆ, ಉತ್ತರವು ನೀವು ಮಾರ್ಗದಲ್ಲಿ ಎಲ್ಲಿದ್ದೀರಿ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದೆ. ಸೆಷನ್ ಪದರದಲ್ಲಿ ನಿರ್ವಾಹಕನ ಬಳಿ ದೃಢೀಕರಣ ಘಟನೆಗಳು ಮತ್ತು ಬೈಟ್ ಎಣಿಕೆಗಳಿವೆ. ಪ್ಯಾಕೆಟ್ ಪದರದಲ್ಲಿ ಗಮ್ಯಸ್ಥಾನದ ವಿಳಾಸಗಳು ಮತ್ತು ಸಮಯವಿದೆ. DNS ಪದರದಲ್ಲಿ ಹೆಸರುಗಳೇ ಇರಬಹುದು. ಪ್ರತಿ ಪದರವೂ ಬೇರೆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ ಮತ್ತು ಒಂದೇ ಸ್ವಿಚ್ ನಿಮ್ಮನ್ನು ಅವುಗಳ ನಡುವೆ ಸಾಗಿಸುವುದಿಲ್ಲ.
ಹೇಳಿಕೆ ನೀಡುವ ಮೊದಲು ಪದರವನ್ನು ಗುರುತಿಸಿ
ಒಂದೇ ಸಂಪರ್ಕವು ಪ್ರತಿ ಹಂತದಲ್ಲೂ ಬೇರೆ ದಾಖಲೆಗಳನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ, ಮತ್ತು ಗೋಪ್ಯತೆಯ ಬಗ್ಗೆ ಹೇಳಿಕೆ ಆ ಹಂತವನ್ನು ಹೆಸರಿಸಿದಾಗ ಮಾತ್ರ ಅರ್ಥಪೂರ್ಣವಾಗುತ್ತದೆ. ಕೋಷ್ಟಕವನ್ನು ಅಂಕಣದಂತೆ ಓದಿ: ಆ ಪದರದಲ್ಲಿ ಏನಿದೆ, ಅಲ್ಲಿ ನಿರ್ವಾಹಕ ಏನನ್ನು ನೋಡಬಲ್ಲನು, ಮತ್ತು ಅದೇ ದಾಖಲೆಗಳು ಇನ್ನೂ ಏನನ್ನು ಹೇಳಲಾರವು.
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
ಒಂದು ಪದರವನ್ನು ಪೂರ್ಣ ಚಿತ್ರ ಎಂದು ಓದುವುದೇ ಅತಿಹೇಳಿಕೆ ಮತ್ತು ಸುಳ್ಳು ನೆಮ್ಮದಿ ಎರಡರ ಆರಂಭ. ಬ್ರೌಸಿಂಗ್ ದಾಖಲಿಸುವುದಿಲ್ಲ ಎನ್ನುವ ಪೂರೈಕೆದಾರರು URL ದಾಖಲೆಯ ವಿಷಯದಲ್ಲಿ ಸರಿಯಾಗಿದ್ದು ಸೆಷನ್ ದಾಖಲೆಗಳನ್ನು ಇನ್ನೂ ಇಟ್ಟುಕೊಳ್ಳಬಹುದು, ಮತ್ತು ವಿಳಾಸಗಳನ್ನು ಮಾತ್ರ ತೋರಿಸುವ ಪ್ಯಾಕೆಟ್ ಕ್ಯಾಪ್ಚರ್ ಹಿಮ್ಮುಖ ಹುಡುಕಾಟ ಮತ್ತು ಊಹೆ ಇಲ್ಲದೆ ಬ್ರೌಸಿಂಗ್ ಇತಿಹಾಸವಾಗುವುದಿಲ್ಲ.
ನೀತಿಯನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುವಾಗ ಪ್ರತಿ ಪದರವನ್ನು ವಿವರಿಸುವ ವಾಕ್ಯವನ್ನು ಹುಡುಕಿ. ನೀತಿ ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸದಿದ್ದರೆ, ಗೂಢಲಿಪೀಕರಣದ ಬಗ್ಗೆ ಸಾಮಾನ್ಯ ಹೇಳಿಕೆಯನ್ನು ಒಪ್ಪುವ ಬದಲು ಯಾವ ದಾಖಲೆಗಳಿವೆ ಎಂದು ಕೇಳಿ.
ಸೆಷನ್ ಪಟ್ಟಿ: ಸಾಮಾನ್ಯ OpenVPN ಸರ್ವರ್ ಏನನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ
ಡೀಫಾಲ್ಟ್ ಆಗಿ OpenVPN ಸರ್ವರ್ ಸಂಚಾರವನ್ನು ಸೆರೆಹಿಡಿಯುವುದಿಲ್ಲ. ಸಾಮಾನ್ಯ ಔಟ್‌ಪುಟ್ ಒಂದು ಸೆಷನ್ ಪಟ್ಟಿ: ಯಾವ ಖಾತೆ ದೃಢೀಕರಿಸಿತು, ಅದು ಯಾವ ಮೂಲ ವಿಳಾಸದಿಂದ ಬಂತು, ಆರಂಭ ಮತ್ತು ಅಂತ್ಯದ ಸಮಯ ಚಿಹ್ನೆಗಳು, ನೀಡಿದ ಟನೆಲ್ ವಿಳಾಸ ಮತ್ತು ಎರಡೂ ದಿಕ್ಕುಗಳ ಒಟ್ಟು ಬೈಟ್‌ಗಳು. ಅದು ಸೆಷನ್‌ಗಳ ಪಟ್ಟಿ, ಗಮ್ಯಸ್ಥಾನಗಳ ಪಟ್ಟಿ ಅಲ್ಲ.
ಲಾಗಿಂಗ್ ಆಯ್ಕೆಗಳು ವಿವರ ಸೇರಿಸಬಹುದು. ಹೆಚ್ಚಿನ ವರ್ಬೋಸಿಟಿ ಮಟ್ಟವು ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಬಗ್ಗೆ ಹೆಚ್ಚು ಬರೆಯುತ್ತದೆ ಮತ್ತು ಸ್ಥಿತಿ ಕಡತವು ಸಂಪರ್ಕಿತ ಕ್ಲೈಂಟ್‌ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಬಹುದು, ಆದರೆ ಯಾವುದೂ ಸರ್ವರ್ ಅನ್ನು ಪಾರದರ್ಶಕ ಪ್ರಾಕ್ಸಿಯಾಗಿ ಬದಲಿಸುವುದಿಲ್ಲ. URLಗಳನ್ನು ಉತ್ಪಾದಿಸಲು TLS ಮುಗಿಸುವುದು ಅಥವಾ ಸ್ಪಷ್ಟ ಪ್ರಾಕ್ಸಿ ನಡೆಸುವುದು ಬೇಕು, ಮತ್ತು ಎರಡೂ ಗುಪ್ತ ವೈಶಿಷ್ಟ್ಯವನ್ನು ಆನ್ ಮಾಡುವ ಬದಲು ವಿಶ್ವಾಸದ ರಚನೆಯನ್ನು ಬದಲಿಸುತ್ತವೆ.
ಆದ್ದರಿಂದ ಬ್ರೌಸಿಂಗ್ ಲಾಗ್ ಇಲ್ಲ ಎಂಬ ಹೇಳಿಕೆಯ ನಿಖರ ಆವೃತ್ತಿ ಕೇಳಿಸುವುದಕ್ಕಿಂತ ಕಿರಿದು. ಸರ್ವರ್‌ಗೆ ಪುಟ ಗೊತ್ತಿಲ್ಲ, ಆದರೆ ಸೆಷನ್ ಇತ್ತು ಮತ್ತು ಅದರ ಮೂಲಕ ಸುಮಾರು ಎಷ್ಟು ಡೇಟಾ ಹೋಯಿತು ಎಂದು ಗೊತ್ತು. ಆ ಸೆಷನ್ ದಾಖಲೆ ಇಡಲಾಗುತ್ತದೆಯೇ ಮತ್ತು ಎಷ್ಟು ಕಾಲ ಎಂಬುದು ಪ್ರತ್ಯೇಕ ನೀತಿ ಪ್ರಶ್ನೆ.
ಒಳ ಮತ್ತು ಹೊರ ಪ್ಯಾಕೆಟ್‌ಗಳು ಬೇರೆ ಬೇರೆ ಸಾಕ್ಷ್ಯ
ಪ್ಯಾಕೆಟ್ ಕ್ಯಾಪ್ಚರ್ ಎಂದರೆ ಟನೆಲ್ ಮೂಲಕ ನಿಜವಾಗಿ ಏನು ಹೋಗುತ್ತದೆ ಎಂಬುದನ್ನು ನೋಡುವ ದಾರಿ. ಸರ್ವರ್‌ನಲ್ಲಿ ಟನೆಲ್ ಇಂಟರ್‌ಫೇಸ್ ಹೆಸರಿಸಿ ಮತ್ತು ನಂತರ ಆಫ್‌ಲೈನ್ ವಿಶ್ಲೇಷಿಸಬಹುದಾದ ಕಡತಕ್ಕೆ ಬರೆಯಿರಿ:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headಆ ಕಡತದಲ್ಲಿ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಒಳ ಸಂಚಾರ ಇರುತ್ತದೆ: ಮೂಲವಾಗಿ ಕ್ಲೈಂಟ್‌ನ ಟನೆಲ್ ವಿಳಾಸ, ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್, ಪ್ಯಾಕೆಟ್ ಗಾತ್ರಗಳು ಮತ್ತು ಸಮಯ. ಎಲ್ಲಾದರೂ TLS ಮುಗಿಸದಿದ್ದರೆ ಅದರಲ್ಲಿ HTTP ಮಾರ್ಗ ಅಥವಾ ಪ್ರತಿಕ್ರಿಯೆ ದೇಹ ಇರುವುದಿಲ್ಲ, ಮತ್ತು ಇದು ಸೂಕ್ಷ್ಮ ಡೇಟಾ; ಅದನ್ನು ಇಡುವುದು ಡೀಬಗ್ ಸೌಲಭ್ಯವಲ್ಲ, ನೀತಿ ನಿರ್ಣಯ.
ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಕ್ಯಾಪ್ಚರ್ ಬೇರೆ ಯಾವುದೋ ತೋರಿಸುತ್ತದೆ. ಅಲ್ಲಿ VPN ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗೆ ಕಳುಹಿಸಿದ ಹೊರ ಪ್ಯಾಕೆಟ್‌ಗಳು ಕಾಣುತ್ತವೆ, ಒಳಗೆ ಗೂಢಲಿಪೀಕರಿಸಿದ ಪೇಲೋಡ್ ಇರುತ್ತದೆ. ವರ್ಚುವಲ್ ಅಡಾಪ್ಟರ್ ಇದ್ದಾಗ ಆ ಕಡತದಲ್ಲಿ ಸಂಬಂಧವಿಲ್ಲದ ವಿಳಾಸಗಳು ಕಾಣುವುದು ಸಾಮಾನ್ಯ, ಏಕೆಂದರೆ ಟನೆಲ್ ಸಾಧನ ಒಳ ಹರಿವುಗಳನ್ನು ಒಯ್ಯುತ್ತದೆ, ಗೂಢಲಿಪೀಕರಿಸಿದ ಸಾಗಣೆ ಹೊರ ಹರಿವುಗಳನ್ನು ಒಯ್ಯುತ್ತದೆ.
ಕ್ಯಾಪ್ಚರ್ ಯಾವ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸಬೇಕು ಎಂದು ಕೇಳಿ. ಅಪ್ಲಿಕೇಶನ್‌ನ ಟನೆಲ್ ಬಳಕೆ ವರ್ಚುವಲ್ ಅಡಾಪ್ಟರ್‌ನಲ್ಲಿ ಕಾಣುತ್ತದೆ; ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗೆ ಟನೆಲ್ ತಲುಪುವಿಕೆ ಭೌತಿಕ ಅಡಾಪ್ಟರ್‌ನಲ್ಲಿ ಕಾಣುತ್ತದೆ. ಯಾವುದೇ ಒಂದು ಕಡತವನ್ನು ಪೂರ್ಣ ಚಿತ್ರ ಎಂದು ಬಳಸುವುದು ಡೇಟಾ ಬೆಂಬಲಿಸಲಾರದ ತೀರ್ಮಾನಗಳನ್ನು ನೀಡುತ್ತದೆ.
DNS ಎಂಬುದು ಹೆಸರುಗಳು ಕಾಣುವ ಸ್ಥಳ
DNS ಪ್ರಾಯೋಗಿಕ ಅಪವಾದವಾಗಿ ಉಳಿಯುತ್ತದೆ. ರಿಝಾಲ್ವರ್ ತನ್ನನ್ನು ಬಿಡಿಸಲು ಕೇಳಿದ ಹೆಸರುಗಳನ್ನು ನೋಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದನ್ನು ನಡೆಸುವವರು ನಂತರದ ಸಂಪರ್ಕಗಳು ಗೂಢಲಿಪೀಕರಿಸಿದ್ದರೂ ಕ್ಲೈಂಟ್ ಯಾವ ಸೈಟ್‌ಗಳನ್ನು ಹುಡುಕುತ್ತಾನೆ ಎಂದು ತಿಳಿಯುತ್ತಾರೆ. ಟನೆಲ್ ಕ್ಯಾಪ್ಚರ್ ವಿಳಾಸಗಳನ್ನು ತೋರಿಸುತ್ತದೆ; ರಿಝಾಲ್ವರ್ ಹೆಸರುಗಳನ್ನು ತೋರಿಸುತ್ತದೆ.
ರಿಝಾಲ್ವರ್ ಹೊರ ಸೇವೆಯನ್ನು ತಲುಪಲು ಯಾವ ವಿಳಾಸ ಬಳಸಿತು ಎಂದು ಪರಿಶೀಲಿಸಿ. ಉತ್ತರ ರಿಝಾಲ್ವರ್‌ನ ನಿರ್ಗಮನ ವಿಳಾಸ, ಮತ್ತು ಅದನ್ನು VPN ನಿರ್ಗಮನದೊಂದಿಗೆ ಹೋಲಿಸಿದರೆ ಪ್ರಶ್ನೆ ಟನೆಲ್ ಮೂಲಕ ಹೋಯಿತೇ ಎಂದು ತಿಳಿಯುತ್ತದೆ:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53ಆ ವಿಳಾಸವು ಟನೆಲ್ ನಿರ್ಗಮನದ ಬದಲು ಸ್ಥಳೀಯ ಸಂಪರ್ಕಕ್ಕೆ ಹೊಂದಿದರೆ, ಹುಡುಕಾಟವು VPN ಬಳಸದೆ ಹೋಗಿ ಹೆಸರು ಸ್ಥಳೀಯ ಮಾರ್ಗದಲ್ಲಿ ಕಾಣುತ್ತಿತ್ತು. ಕ್ಲೈಂಟ್ ನವೀಕರಣದ ನಂತರ ಪರಿಶೀಲನೆ ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ ಹೊಸ ಆವೃತ್ತಿ ಪ್ರೊಫೈಲ್ ಯಾವ ರಿಝಾಲ್ವರ್ ಸ್ಥಾಪಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಿಸಬಹುದು.
ಗೂಢಲಿಪೀಕೃತ DNS ಕಾಣುವಿಕೆಯನ್ನು ತೆಗೆದುಹಾಕದೆ ಸ್ಥಳಾಂತರಿಸುತ್ತದೆ. ಜಾಲಬಂಧ ಇನ್ನು ಪ್ರಶ್ನೆ ನೋಡುವುದಿಲ್ಲ, ಆದರೆ ರಿಝಾಲ್ವರ್ ಇನ್ನೂ ನೋಡುತ್ತದೆ, ಮತ್ತು ವಿಶ್ವಾಸದ ಪ್ರಶ್ನೆ ಕೇವಲ ಕೈ ಬದಲಿಸುತ್ತದೆ. ಸಂಪರ್ಕದ ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ನಲ್ಲಿ TLS ಸರ್ವರ್ ಹೆಸರು ಇನ್ನೊಂದು ಭಾಗಶಃ ಸೂಚನೆ: ಪೇಲೋಡ್ ಅಪಾರದರ್ಶಕವಾಗಿದ್ದರೂ ಅದು ಹಲವು ಬಾರಿ ಉಳಿಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸಗಳಷ್ಟೇ ಫಾರ್ವರ್ಡಿಂಗ್ ಸರ್ವರ್ ಗಮನಿಸಬಹುದಾದ ಮೆಟಾಡೇಟಾ ಅಲ್ಲ.
ಮೂರು ಬಗೆಯ ದಾಖಲೆಗಳು ಮತ್ತು ಅವನ್ನು ಓದಬಲ್ಲವರು
ಸೆಷನ್ ಲೆಕ್ಕ, ಹೆಸರುವಾರು ದಾಖಲೆಗಳು ಮತ್ತು ಸೋರಿಕೆ ಸಾಕ್ಷ್ಯ ಮೂರು ಬೇರೆ ಬೇರೆ ಜವಾಬ್ದಾರಿಗಳನ್ನು ಹೊತ್ತ ಮೂರು ಬೇರೆ ಉತ್ಪನ್ನಗಳು. ಸೆಷನ್ ಲಾಗ್‌ಗಳು ಅಗ್ಗ ಮತ್ತು ಕಡಿಮೆ ಸೂಕ್ಷ್ಮ, ಮತ್ತು ಯಾರು ಯಾವಾಗ ಸಂಪರ್ಕಿಸಿದರು ಎಂದು ಉತ್ತರಿಸುತ್ತವೆ. ಹೆಸರುವಾರು ದಾಖಲೆಗಳಿಗೆ ದಾಖಲಿಸುವ ರಿಝಾಲ್ವರ್ ಅಥವಾ ಸ್ಪಷ್ಟ ಪ್ರಾಕ್ಸಿ ಬೇಕು, ಮತ್ತು ಅವು ಪ್ರಭಾವಿತ ಜನರಿಗೆ ಬಹಿರಂಗಪಡಿಸುವ ಜವಾಬ್ದಾರಿ ಸೃಷ್ಟಿಸುತ್ತವೆ. ಸೋರಿಕೆ ಸಾಕ್ಷ್ಯವು ರಿಝಾಲ್ವರ್ ಬಹಿರಂಗಪಡಿಸುವುದನ್ನು ಟನೆಲ್ ನಿರ್ಗಮನದೊಂದಿಗೆ ಹೋಲಿಸುವ ಕ್ಲೈಂಟ್ ಕಡೆಯ ಪರೀಕ್ಷೆ.
ಈ ಮೂರರಲ್ಲಿ ನೀವು ಯಾವುದನ್ನು ನಡೆಸುತ್ತೀರಿ, ಅದನ್ನು ಯಾರು ಓದಬಲ್ಲರು ಮತ್ತು ಎಷ್ಟು ಕಾಲ ಉಳಿಯುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ. ಸೇವೆ ಯಾವ ಲಾಗ್ ಇಟ್ಟುಕೊಳ್ಳುವುದಿಲ್ಲ ಎಂಬ ಹೇಳಿಕೆಗಳು ಒಂದು ಪದರವನ್ನು ವಿವರಿಸುತ್ತವೆ ಮತ್ತು ಆ ವ್ಯಾಪ್ತಿಯಲ್ಲಿ ಮಾತ್ರ ನಿಜವಾಗಿ ಉಳಿಯುತ್ತವೆ. ಅದೇ ಪೂರೈಕೆದಾರರು ಸೆಷನ್‌ಗಳ ಬಗ್ಗೆ ನಿಖರವಾಗಿದ್ದು DNS ಬಗ್ಗೆ ತಪ್ಪಾಗಿರಬಹುದು.
ಪರೀಕ್ಷೆಯನ್ನು ಪುನರುತ್ಪಾದಿಸಬಹುದಾಗಿ ಇರಿಸಿ: ಅದೇ ರಿಝಾಲ್ವರ್ ಪ್ರಶ್ನೆ, ಅದೇ ಕ್ಯಾಪ್ಚರ್ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ಅದೇ ಹೋಲಿಕೆ. ಹೆಸರಿಸಿದ ಪದರದಲ್ಲಿ ಪರೀಕ್ಷಿಸಲಾಗದ ಗೋಪ್ಯತಾ ಹೇಳಿಕೆ ಘೋಷಣೆ, ಕಾರ್ಯಾಚರಣೆಯ ಸತ್ಯವಲ್ಲ.