Како да ја снимите и проверите користената излезна адреса на VPN
Клиентските апликации прикажуваат име на локација, а не адресата од која излегол вашиот сообраќај. Снимете ја излезната IP при поврзување и споредете ја со директна референца.
Прашајте десктоп VPN клиент кои сервери сте ги користеле и чесниот одговор обично е име на локација. Тоа име е влезната точка што сте ја избрале, а адресата од која излегол вашиот сообраќај може да биде сосема друг компјутер. Ништо во апликацијата не е дизајнирано да го задржи вториот број, па записот мора да се изгради во моментот на употреба. Постојат два пристапа и само еден од нив го преживува сударот со предмет за поддршка.
Два записа, а само еден од нив постои
Погледот на самиот клиент е во најдобар случај список на избрани локации со временски ознаки. Тоа е одлука за дизајн, а не пропуст: адресите се оперативен детаљ, ротираат меѓу доделувања, а откривањето на пресликувањето го отежнува и поддршката и справувањето со злоупотреба. Добавувачите ставаат примероци во облак пред своите мрежи токму за да може крајната точка да се премести без никому да кажат. Она што апликацијата ви го покажува е вашиот избор, а не патеката што ја поминал сообраќајот.
Записот што можете да го изградите е локална датотека со една јавна адреса и една временска ознака UTC по ред. Помала е, поуродлива и многу покорисна, бидејќи опишува точно она што може да го види и надворешен набљудувач.
Опција А: сами снимете ја излезната адреса
Услуга за ехо ја враќа изворната адреса од која пристигнало барањето, што по дефиниција е излезната адреса. Стартувајте го снимањето откако тунелот ќе пријави поврзано, бидејќи клиент што вели поврзано пред рутите и DNS да се смират ќе ја запише адресата пред тунелот и ќе го отруе дневникот уште од првиот ред.
#!/bin/sh
umask 077
log="$HOME/vpn-exit.log"
printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$(curl -fsS https://api.ipify.org)" >> "$log"Два детаља го прават тој фрагмент употреблив, а не украсен. Временската ознака и адресата делат еден ред, па подоцнежната обработка не мора да пари записи, а umask 077 ја држи датотеката приватна од моментот на создавање. Стартувајте го еднаш по врска, а не еднаш по подигање, и држете една датотека по уред.
Дневникот бележи кога сте користеле тунел и од која мрежа сте се појавиле, што е поблиску до историја на прелистување отколку до бројач. Изберете период на чување што можете да го браните, држете ја датотеката надвор од споделени папки за синхронизација и бришете ја намерно.
Опција Б: побарајте историја од добавувачот
Некои добавувачи водат дневници на врски и ќе одговорат на прашање за поддршка со временска ознака и име на сервер. Тој запис ја опишува нивната инфраструктура, а не вашиот сообраќај, и вреди само колку што вредат нивниот прозорец на чување и нивната волја да погледнат. Опишува и сесија, а не барање. Прозорецот обично е краток и се мери од страната на добавувачот на тунелот.
Добавувачите што рекламираат дека не водат дневници не можат тоа да го достават на барање, а списокот на неодамнешни локации на страната на клиентот не е исто. Барањето излезна адреса од добавувач без дневници обично завршува со објаснување зошто тие податоци не постојат.
Што може да докаже секој запис во предмет за поддршка
Двата записа одговараат на различни прашања и токму во табелата споредбата престанува да биде академска.
| Question | Your local log | Provider record |
|---|---|---|
| Which address did the traffic leave from? | Yes, for the moment it was captured | Usually not disclosed |
| Was the tunnel in use at 14:20? | Yes, if the capture ran | Yes, within the retention window |
| Why did a location get slower? | Yes, by comparing addresses over time | Sometimes, as an infrastructure note |
| Who sent this specific request? | No | No |
Само првата колона е под ваша контрола. Записот на добавувачот може да потврди дека сметка била поврзана во дадено време, но не може да потврди кои барања го користеле тунелот и нема да наведе адреса што добавувачот ја третира како оперативен детаљ. Ниту еден запис не идентификува личност, бидејќи заедничка излезна адреса може во истата минута да носи многу клиенти.
Споредете ги и двата со референца пред да верувате на некој од нив
Адресата сама по себе не докажува ништо. Снимете ја директната адреса пред поврзување, тунелираната потоа и споредете ги. Идентични вредности значат дека тунелот не го пренесува тоа барање, било поради поделен тунел, надреден прокси или клиент што се вратил на директна патека.
curl -fsS https://api.ipify.org; echo
curl -fsS https://api64.ipify.org; echo
dig +short TXT o-o.myaddr.l.google.com @1.1.1.1Повторете ја споредбата за DNS и за IPv6, бидејќи ехото на адресата ја докажува патеката на едно HTTP барање и ништо за тоа кој резолвер одговорил. Уред што пропушта на едното може на другото да изгледа сосема здраво.