VPN оператору сиз кайсы сайттарга кирериңизди көрө алабы?

VPN эмнени көрө аларын сурасаңыз, жооп сиз жолдун кайсы жеринде турганыңызга байланыштуу. Сессия катмарында оператордо аутентификация окуялары жана байт эсеби бар. Пакет катмарында анын колунда бара турган даректер жана убакыт бар. DNS катмарында ал аттардын өзүнө ээ болушу мүмкүн. Ар бир катмар башка суроого жооп берет жана бир да өчүргүч сизди алардын ортосунда которбойт.

Билдирүү жасаардан мурун катмарды аныктаңыз

Бир эле туташуу ар бир чекитте башка жазуу түзөт, ал эми купуялуулук тууралуу билдирүү ошол чекитти аттаганда гана маанилүү. Таблицаны мамыча боюнча окуңуз: ошол катмарда эмне бар, оператор ал жерде эмнени көрө алат жана ошол эле жазуулар дагы эмнени айта албайт.

Бир катмарды бүткүл сүрөт катары окуу ашыкча билдирүүлөргө да, жалган тынчтыкка да башталыш болот. Серептөөнү жазбайм деген провайдер URL жазуусунда так болуп, сессия жазууларын баары бир сакташы мүмкүн, ал эми даректерди гана көрсөткөн пакет жазуусу тескери издөө жана божомолдоосуз серептөө тарыхына айланбайт.

Саясатты баалаганда ар бир катмарды сүрөттөгөн сүйлөмдү табыңыз. Эгер саясат аларды бөлбөсө, шифрлөө тууралуу жалпы билдирүүнү кабыл алуунун ордуна кандай жазуулар бар экенин сураңыз.

Сессия тизмеси: кадимки OpenVPN сервери эмнени сактайт

Демейки абалда OpenVPN сервери трафикти жазбайт. Кадимки чыгуу — сессия тизмеси: кайсы аккаунт аутентификациядан өттү, кайсы баштапкы даректен келди, башталышы менен аякташынын убакыт белгилери, берилген туннель дареги жана эки багыттагы байттын жыйындысы. Бул сессиялардын тизмеси, бара турган жерлердин тизмеси эмес.

Журнал параметрлери майда-чүйдөнү кошо алат. Майда-чүйдө деңгээли жогору болсо, кол алышуу тууралуу көбүрөөк жазылат, абал файлы туташкан кардарларды тизмелей алат, бирок экөө тең серверди тунук проксиге айландырбайт. URL чыгаруу үчүн TLS'ти токтотуу же ачык прокси жүргүзүү керек, ал эми экөө тең жашыруун функцияны күйгүзүүнүн ордуна ишеним түзүлүшүн өзгөртөт.

Ошондуктан серептөө журналы жок деген билдирүүнүн так варианты угулганынан тар. Сервер баракты билбейт, бирок сессия болгонун жана андан болжол менен канча маалымат өткөнүн билет. Ошол сессия жазуусу сакталабы жана канча убакыт — бул өзүнчө саясат маселеси.

Ички жана тышкы пакеттер ар башка далил

Пакет жазуусу туннелден чын эле эмне өтөрүн көрсөтөт. Серверде туннель интерфейсин атап, кийин офлайн талдоого боло турган файлга жазыңыз:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Бул файлда шифри чечилген ички трафик бар: булак катары кардардын туннель дареги, бара турган дарек жана порт, пакет өлчөмдөрү жана убакыт. Эгер TLS кайсы бир жерде токтотулбаса, анда HTTP жолу же жооп денеси жок, жана бул сезимтал маалымат, аны сактоо — жөндөө ыңгайлуулугу эмес, саясат чечими.

Физикалык интерфейстеги жазуу башка нерсени көрсөтөт. Ал жерде VPN акыркы чекитине багытталган тышкы пакеттер көрүнөт, ичинде шифрленген мазмун бар. Виртуалдык адаптер болгондо ошол файлда байланышы жок даректердин пайда болушу кадимки, анткени туннель түзмөгү ички агымдарды, ал эми шифрленген ташуу тышкы агымдарды ташыйт.

Жазуу кайсы суроого жооп бериши керектигин сураңыз. Колдонмонун туннелди колдонуусу виртуалдык адаптерде көрүнөт; туннелдин акыркы чекитке жетүүсү физикалык адаптерде көрүнөт. Кайсы файлды бүткүл сүрөт катары колдонуу маалыматтар колдой албаган тыянактарга алып келет.

DNS — аттар көрүнө турган жер

DNS практикалык өзгөчөлүк бойдон калат. Чечүүчү өзүнөн чечүүнү сураган аттарды көрөт, ошондуктан аны башкарган адам кийинки туташуулар шифрленген болсо да кардар кайсы сайттарды издеп жатканын билет. Туннелдин жазуусу даректерди көрсөтөт; чечүүчү аттарды көрсөтөт.

Чечүүчү тышкы кызматка кайсы дарек менен жеткенин текшериңиз. Жооп — чечүүчүнүн чыгуу дареги, аны VPN чыгымы менен салыштыруу суроо туннелден өткөн-өтпөгөнүн көрсөтөт:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Эгер бул дарек туннелдин чыгымына эмес, жергиликтүү туташууга туура келсе, издөө VPN'ди айланып өткөн жана ат жергиликтүү жолдо көрүнгөн. Кардар жаңыртылгандан кийин текшерүүнү кайталаңыз, анткени жаңы версия профиль кайсы чечүүчүнү орноторун өзгөртүшү мүмкүн.

Шифрленген DNS көрүнүүнү жок кылбайт, ордун которот. Тармак эми суроону көрбөйт, бирок чечүүчү дагы эле көрөт, ал эми ишеним маселеси жөн гана кол которот. Туташуунун кол алышуусундагы TLS сервер аты дагы бир жарым-жартылай сигнал: мазмун тунук эмес кезде да ал көп учурда сакталат, ошондуктан бара турган даректер форварддаштырган сервер байкай ала турган жалгыз метаберилиштер эмес.

Жазуунун үч түрү жана аларды ким окуй алат

Сессия эсеби, ат боюнча жазуулар жана агым далилдери — үч башка милдетти көтөргөн үч башка продукт. Сессия журналдары арзан жана сезимталдыгы төмөн, алар ким качан туташканын айтат. Ат боюнча жазуулар жазуучу чечүүчүнү же ачык проксини талап кылат жана жабыр тарткан адамдардын алдында ачуу милдетин жаратат. Агым далили — чечүүчүнүн ачып бергенин туннелдин чыгымы менен салыштырган кардар тараптагы текшерүү.

Бул үчөөнүн кайсынысын жүргүзүп жатканыңызды, аны ким окуй аларын жана канча убакыт сакталарын жазып коюңуз. Кызмат журналдарды кармабайт деген билдирүүлөр бир катмарды сүрөттөйт жана ошол чекте гана чын болуп калат. Бир провайдер сессиялар боюнча так, ал эми DNS боюнча жаңылыш болушу мүмкүн.

Текшерүүнү кайталаса боло тургандай кармаңыз: ошол эле чечүүчүгө суроо, ошол эле жазуу интерфейси жана ошол эле салыштыруу. Аталган катмарда текшерүүгө болбой турган купуялуулук билдирүүсү — ураан, операциялык факт эмес.