Што може и што не може да докаже VPN дневникот за прелистувањето

Пред да изберете собирач на дневници, одлучете кој настан треба да го утврди ревизијата. Прашањето која VPN сесија контактирала со целна адреса е различно од прашањето кое лице отворило одредена страница. Двете бараат различни записи, различни поврзувања и различни нивоа на доверба. Дневникот на врска OpenVPN одговара на првото и не може да одговори на второто.

Именувајте го настанот пред да изберете собирач

Записот за сесија покажува прифатен идентитет, време на почеток и крај и адреса што серверот ја доделил според сопствената политика. Дневникот на резолверот покажува дека име било прашано кај тој резолвер. Записот за тек покажува адреси, порти, протокол и време, а дневникот на апликацијата ја покажува трансакцијата што апликацијата навистина ја обработила. Ниту еден од тие четири не го заменува другиот.

Секој од нив утврдува еден настан и ги остава другите отворени. Запишувањето на прашањето однапред ве спречува да составите приказна што податоците не можат да ја поддржат.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Првата команда покажува настани од сесијата од дневникот на службата. Втората ја печати тековната листа на клиенти со доделени адреси, што е пресликувањето од кое зависи поврзувањето при ревизија. Третата го покажува живото состојба на текот, корисно само додека врската постои.

Пребарувањето не е посета

Прелистувачот ги решава имињата спекулативно, ги кешира одговорите и ги користи повторно без повторно да го праша набљудуваниот резолвер. Затоа име во дневникот на резолвер докажува пребарување, а не посета. DNS преку HTTPS ја проширува таа празнина, бидејќи прелистувач конфигуриран за тоа ги испраќа своите прашања таму каде што вашиот обичен регистратор никогаш не ги гледа.

Целните адреси сами по себе не се подобри. Една адреса може да биде домаќин на многу неповрзани сајтови, обратниот DNS е претпоставка, а не реконструкција, а името на домаќинот видливо при TLS ракување не е патеката на барањето внатре во шифрираната сесија.

За точни трансакции ви требаат сопствените записи за настани на апликацијата или дизајн на посредник што е експлицитно поддржан за евидентирање. Тунелот CONNECT му дава на посредникот целта и обемот, а не патеките на страниците внатре во него. Административниот пристап до мрежата не е лиценца тивко да се замени моделот на доверба на апликацијата.

Поврзете идентитет и време пред да именувате лице

Запис за тек со внатрешна изворна адреса не значи ништо додека таа адреса не се поврзе со сесија во исто време. Адресите се користат повторно, а истата адреса можеби пред еден час припаѓала на друга сесија. Статичната додела е еден начин да се задржи врската, не единствениот.

Границите на преводот уште повеќе го ослабуваат поврзувањето. Ако неколку уреди веќе делеле една изворна адреса пред вашата точка на набљудување, најдоброто што можете да го идентификувате е заедничката сесија на портата, а не еден уред. Сертификат или сметка што ја користат неколку лица има ист ефект.

Запишете ги временските зони, изворите на часовник, точките на набљудување и секој чекор на превод. Записите што недостигаат може да значат дека записот за тек е истечен, дека сензорот е заобиколен или дека дневникот на апликацијата бил исклучен. Отсуството не е доказ дека ништо не се случило.

Потоа определете ги минималните полиња, дозволените читатели и периодот на чување за наведената цел. Корелацијата и погрешното припишување се дизајнерски прашања, а не подоцнежна мисла, а метаподатоците што идентификуваат лица заслужуваат иста заштита како пресликувањето на идентитетот од кое зависат.

Тестирајте ја ревизијата со активност што ја контролирате

Генерирајте дозволен сообраќај чија сесија и апликација веќе ги знаете, потоа проверете што навистина фатил секој запис. Направете пребарување без вчитување на страницата, вчитајте страница од кешот и отворете врска преку посредник, и видете кои настани се појавуваат.

Известете за настанот што го поддржуваат доказите и кажете што не покриваат. Скромен запис со наведен опфат поминува низ прегледот; амбициозната историја на прелистување составена од претпоставки не поминува.