VPN оператор таны аль сайт үзэж буйг харж чадах уу?

VPN юу харж чадахыг асуувал хариулт нь та замд хаана зогсож байгаагаас хамаарна. Сессийн давхаргад операторт баталгаажуулалтын үйл явдал, байтын тоо байна. Пакетийн давхаргад хүрэх хаяг, цаг байна. DNS давхаргад нэрс өөрсдөө байж болно. Давхарга бүр өөр асуултад хариулдаг бөгөөд ганц ч унтраалга таныг тэдгээрийн хооронд зөөхгүй.

Мэдэгдэл хийхийн өмнө давхаргыг тодорхойл

Нэг холболт цэг бүрт өөр бичлэг үүсгэдэг бөгөөд нууцлалын тухай мэдэгдэл тэр цэгийг нэрлэсэн тохиолдолд л утга учиртай. Хүснэгтийг багана баганаар уншина уу: тэр давхаргад юу байдаг, оператор тэнд юу харж чадах, мөн тэдгээр бичлэгүүд юуг хэлж чадахгүй хэвээр байгаа.

Нэг давхаргыг бүхэл зураг мэт унших нь хэт их мэдэгдэл болон хуурамч тайвшралын аль алины эхлэл юм. Хөтөлбөрийг бүртгэдэггүй гэж хэлдэг үйлчилгээ үзүүлэгч URL бүртгэлийн хувьд зөв байж, сессийн бичлэгийг гэсэн хэвээр хадгалж болно, зөвхөн хаяг харуулдаг пакетийн бичлэг нь урвуу хайлт, таамаглалгүйгээр хөтөлбөрийн түүх болохгүй.

Бодлогыг үнэлэхдээ давхарга бүрийг тайлбарласан өгүүлбэрийг ол. Хэрэв бодлого тэдгээрийг ялгахгүй бол шифрлэлтийн тухай ерөнхий мэдэгдлийг хүлээж авахын оронд ямар бичлэг байгааг асуу.

Сессийн жагсаалт: энгийн OpenVPN сервер юу хадгалдаг вэ

Анхдагчаар OpenVPN сервер трафикийг бичдэггүй. Ердийн гаралт нь сессийн жагсаалт: аль бүртгэл баталгаажсан, ямар эх хаягаас ирсэн, эхлэх, дуусах цагийн тэмдэг, олгосон туннелийн хаяг, хоёр чиглэлийн нийт байт. Энэ нь сессүүдийн жагсаалт, хүрэх газрын жагсаалт биш.

Бүртгэлийн тохиргоо дэлгэрэнгүй мэдээлэл нэмж болно. Илүү өндөр түвшин гар барилтын тухай илүү их бичдэг, төлөвийн файл холбогдсон клиентүүдийг жагсааж болно, гэхдээ аль нь ч серверийг тунгалаг прокси болгодоггүй. URL гаргахын тулд TLS-ийг зогсоох эсвэл ил прокси ажиллуулах шаардлагатай бөгөөд хоёулаа далд функцийг асаахын оронд итгэлийн зохион байгуулалтыг өөрчилдөг.

Тиймээс хөтөлбөрийн логгүй гэсэн мэдэгдлийн нарийн хувилбар нь сонсогдохоос илүү нарийн юм. Сервер хуудсыг мэдэхгүй, гэхдээ сесс байсан, түүгээр ойролцоогоор хэр их өгөгдөл нэвтэрснийг мэддэг. Тэр сессийн бичлэгийг хадгалах эсэх, хэдий хугацаагаар гэдэг нь тусдаа бодлогын асуудал.

Дотоод, гадаад пакетууд нь өөр өөр нотолгоо

Пакетийн бичлэг нь туннелээр үнэхээр юу нэвтэрч байгааг харах арга юм. Сервер дээр туннелийн интерфейсийг нэрлэж, дараа нь офлайнаар шинжлэх боломжтой файлд бич:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Тэр файлд тайлагдсан дотоод трафик байна: эх сурвалж болгон клиентийн туннелийн хаяг, хүрэх хаяг, порт, пакетийн хэмжээ, цаг. Хаа нэгтээ TLS зогсоогүй бол HTTP зам эсвэл хариултын биет агуулаагүй бөгөөд энэ нь мэдрэмтгий өгөгдөл тул хадгалах эсэх нь алдаа засах тав тух биш, бодлогын шийдвэр юм.

Физик интерфейс дээрх бичлэг өөр зүйл харуулна. Тэнд VPN-ийн төгсгөлийн цэг рүү чиглэсэн гадаад пакетууд, дотор нь шифрлэгдсэн агуулга харагдана. Виртуал адаптер байгаа үед тэр файлд холбоогүй хаягууд гарч ирэх нь хэвийн, учир нь туннелийн төхөөрөмж дотоод урсгалыг, шифрлэгдсэн дамжуулалт гадаад урсгалыг зөөдөг.

Бичлэг ямар асуултад хариулах ёстойг асуу. Аппликейшны туннель ашиглалт виртуал адаптер дээр харагдана; туннелийн төгсгөлийн цэг хүртэлх хүртээмж физик адаптер дээр харагдана. Аль нэг файлыг бүхэл зураг мэт ашиглах нь өгөгдөл дэмжиж чадахгүй дүгнэлт гаргана.

DNS бол нэрс харагдах газар

DNS практик үл хамаарах зүйл хэвээр байна. Шийдэгч нь өөрөөс нь шийдүүлэхээр хүссэн нэрсийг хардаг тул хэн удирдаж байгаа нь дараагийн холболтууд шифрлэгдсэн ч клиент ямар сайт хайж байгааг мэддэг. Туннелийн бичлэг хаяг харуулна; шийдэгч нэрс харуулна.

Шийдэгч гадаад үйлчилгээнд хүрэхдээ ямар хаяг ашигласныг шалга. Хариулт нь шийдэгчийн гарцын хаяг бөгөөд VPN-ийн гарцтай харьцуулбал асуулга туннелээр явсан эсэхийг мэдэж болно:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Хэрэв тэр хаяг туннелийн гарц биш харин локал холболттой таарч байвал хайлт VPN-ийг тойрч, нэр нь локал замд харагдаж байсан. Клиент шинэчлэгдсэний дараа шалгалтыг давтана уу, учир нь шинэ хувилбар профайл ямар шийдэгч суулгадгийг өөрчилж болно.

Шифрлэгдсэн DNS нь харагдах байдлыг арилгахын оронд зөөдөг. Сүлжээ асуулгыг цаашид харахгүй, гэхдээ шийдэгч харсак хэвээр, итгэлийн асуудал зүгээр л гар солино. Холболтын гар барилт дахь TLS серверийн нэр бас нэг хэсэгчилсэн дохио: агуулга тунгалаг бус байсан ч тэр олонтаа үлддэг тул хүрэх хаяг нь дамжуулах серверийн ажиглаж болох цорын ганц мета өгөгдөл биш.

Гурван төрлийн бичлэг ба түүнийг уншиж болох хүмүүс

Сессийн тооцоо, нэр тус бүрийн бичлэг, алдагдлын нотолгоо нь гурван өөр үүрэг хүлээсэн гурван өөр бүтээгдэхүүн юм. Сессийн лог хямд, бага мэдрэмтгий бөгөөд хэн хэзээ холбогдсоныг хариулна. Нэр тус бүрийн бичлэгт бүртгэдэг шийдэгч эсвэл ил прокси хэрэгтэй бөгөөд өртсөн хүмүүст мэдээлэх үүрэг үүсгэдэг. Алдагдлын нотолгоо нь шийдэгчийн илрүүлж буйг туннелийн гарцтай харьцуулдаг клиент талын шалгалт юм.

Энэ гурвын алийг нь ажиллуулж байгаа, хэн уншиж болох, хэдий хугацаа үлдэхийг бичиж үлдээ. Үйлчилгээ лог хадгалдаггүй гэсэн мэдэгдэл нэг давхаргыг тодорхойлдог бөгөөд зөвхөн тэр хүрээнд үнэн хэвээр байна. Нэг үйлчилгээ үзүүлэгч сессийн хувьд зөв, DNS-ийн хувьд буруу байж болно.

Шалгалтыг давтагдахуйц байлга: ижил шийдэгчийн асуулга, ижил бичлэгийн интерфейс, ижил харьцуулалт. Нэрлэсэн давхаргад шалгах боломжгүй нууцлалын мэдэгдэл бол уриа лоозон, үйл ажиллагааны баримт биш.