Wat lokal Systemprotokoller iwwer eng VPN-Verbindung verroden
D'Betribssystem notéiert Déngschtstarten, Adapterännerungen an Trajetfeeler, déi eng App ni opschreift. Liest een enke Fënster an äicht si of.
Jeden Desktop hält säin eegene Protokoll doriwwer, wat eng VPN gemaach huet, an den Export vun der App ass meeschtens dee mannst komplett. Déngschtmanageren notéieren, wéini eng Eenheet gestart ass, de Kernel notéiert, wéini eng Interface opgetrueden ass, an de Netzwierkstack notéiert, wéini Trajeten net konnten ugewannt ginn. Keng vun dësen Ariichtungen weess, wat de Client virhat, an de Client weess net, wat de Kernel mat senger Ufro gemaach huet.
E sou Protokoll eleng ze liesen, invitéiert déi falsch Schlussfolgerung. Liest zwee, aus der selwechter Minutt, an d'Reiefolleg gëtt sichtbar.
Dräi Ariichtungen mat dräi Vokabulären
Op Linux fänkt de systemd-Journal Liewenszyklusmessage vun der Eenheet vun wg-quick@wg0 oder dem NetworkManager-VPN-Plugin of, an de Rankpuffer vum Kernel dréit Interface- a Routingmessage. Op Windows verdeelt den Eventlog d'Geschicht op System-, WLAN- an Fernzougriffs-Ubidder, jiddereen mat sengen eegenen Identifikatoren. Op macOS dréit de vereenegte Log subsysteemgebonne Message, déi déi grafesch Console nëmmen deelweis weist.
D'Vokabulären iwwersetze sech net. Eng Eventidentifikatioun vun enger Plattform heescht op enger anerer näischt, an e Screenshot vun engem Windows-Dialog beweist näischt iwwer eng Linux-Eenheet.
Wat all dräi deelen, ass en Zäitstempel, eng Quell an eng Gravitéit, an genau dëst Dräigestëpp mécht d'Korrelatioun tëscht engem Clientprotokoll an enger Opzeechnung vum Betribssystem méiglech. D'Verfügbarkeet variéiert och: e Container ouni Journal, en ofgeschnidden Windows-Image oder e Log-Niveau, dee beim Bau reduzéiert gouf, kënnen eng ganz Schicht verstoppen.
| Facility | What it records | What it cannot show |
|---|---|---|
| systemd journal | Unit start and stop, helper output, exit status | Whether packets actually reached the peer |
| Kernel and netlink | Interface creation, address assignment, route changes | Why the client asked for that configuration |
| Windows event log | Provider-specific connection and adapter events | Anything the provider chose not to log |
Wat eng verbonne Linn beweist a wat net
En Evenement vum Déngschtstart hält fest, datt d'lokal Eenheet gefrot gouf ze starten an datt se net direkt opgehal huet. Et hält keen ofgeschlossenen Handshake, kee gültege Peer-Schlëssel an och keen funktionéierenden Trajet fest. Dës Linn als Beweis vun engem Tunnel ze huelen, ass dee verbreetste Feelliesen vun dësen Protokoller. D'Linn beweist Absicht a Prozesszoustand, a guer näischt iwwer d'Erreechbarkeet.
Den Zoustand vum Viruleeden ass eng separat Observatioun, an en kënnt aus der Routingtabell an net aus engem Log.
En Adapterevenement kann e stille Feeler erklären: d'Interface ass eropkomm, d'Adress gouf zougewisen, an d'Trajete goufen ni installéiert, well eng Politikregel se ofgeleent huet. An där Reiefolleg gesäit all sichtbar Linn gesond aus, während näischt gerout gëtt, an déi eenzeg Manéier, dat ze gesinn, ass d'Zäitstempelen vum Log mat der Routingtabell am selwechte Moment ze vergläichen. Halt d'Evenementsreiefolleg vum Client niewent béiden, well de Client ass déi eenzeg Quell, déi weess, wat en ugefrot huet. Déi zwou Fakten, déi Dir zesummen braucht, erschéngen bal ni op der selwechter Linn.
Eng méi spéit Reconnectioun iwwerschreift den interessanten Deel vun dësem Bild, also fänkt d'Fënster beim éischte Feeler of an net no dräi Versich.
Äicht eng enk Fënster
Notéiert d'Zäit vum Versuch mat senger Zäitzon, an zitt dann déi puer Minutten drum ronderëm. Den éischte Feeler an der Fënster kënnt bal ëmmer virun der Trennungslinn, déi Supporttikete zitéieren.
journalctl -u wg-quick@wg0 --since "today 09:00" --until "today 09:20" ip route show table all | grep wg0 log show --last 20m --predicate 'subsystem == "com.apple.network"'
All Kommando beäntwert en aneren Deel vun der Fro: den éischten gëtt de Liewenszyklus, den zweeten den Zoustand vum Viruleeden, den drëtten d'macOS-Netzwierksubsystem. Op Windows filtert Dir den Systemlog nom Numm vum Ubidder, amplaz de ganze Kanal duerch ze scrollen, an exportéiert nëmmen déi passend Evenementer.
Halt den Auszuch kleng genuch, dass e Lieser him ka follegen. Eng Fënster vun zwanzeg Minutten mat véier relevante Evenementer ënnerstëtzt eng Schlussfolgerung; en Export vun engem ganzen Dag mat Dausende vu Linnen ënnerstëtzt näischt.
Wou dës Opzeechnungen ophalen
Lokal Opzeechnunge beschreiwen d'Apparat, net de Wee. Si kënnen net weisen, wat en Ubidder gespäichert huet, ob eng Sessioun mat engem Kont verbonne gouf, oder wat en Zil gesinn huet. D'Aussag vun engem Ubidder, datt en keng Loge féiert, seet näischt iwwer de Betribssystem op Ärem Laptop, an en lokalen Evenement beweist näischt iwwer d'historesch Opzeechnunge vum Ubidder.
Si droen och méi perséinlech Daten wéi erwaart: Benotzernimm, Hostnimm, Mountpfader an Apparatidentifikatore erschéngen an normale Systemmessage, och wann keen Inhalt vum Surfen dobäi ass. Läscht se, ier Dir eppes un en Ticket hänkt, a behält d'Original ënner normale Zougriffskontrollen.
Op engem verwalteten Apparat frot den IT no dem relevante Auszuch, amplaz ze versichen, déi organisatoresch Protokolléierung ze läschen. D'diagnostescht Zil ass eng eenzeg enk Fro, déi zwou Quelle beäntwerten, net eng komplett Geschicht vun der Maschinn.