VPN-ийн бүртгэл үзэлтийн талаар юу баталж чадах, юу чадахгүй

Бүртгэл цуглуулагч сонгохын өмнө аудит аль үйл явдлыг тогтоох ёстойг шийдээрэй. Аль VPN сесс зорилтот хаягтай холбогдсон гэж асуух нь аль хүн тодорхой хуудсыг нээсэн гэж асуухаас өөр асуулт юм. Хоёулаа өөр бүртгэл, өөр холбоо, өөр итгэлийн түвшин шаарддаг. OpenVPN холболтын бүртгэл эхнийхэд хариулж, хоёр дахьд хариулж чадахгүй.

Цуглуулагч сонгохын өмнө үйл явдлыг нэрлээрэй

Сессийн бүртгэл хүлээн авсан таних тэмдэг, эхлэх ба дуусах цаг, сервер өөрийн бодлогоор олгосон хаягийг харуулдаг. Шийдвэрлэгчийн бүртгэл тухайн шийдвэрлэгч дээр нэр асуугдсаныг харуулдаг. Урсгалын бүртгэл хаяг, порт, протокол, цагийг харуулдаг бол програмын бүртгэл тухайн програм үнэхээр боловсруулсан гүйлгээг харуулдаг. Эдгээр дөрвийн аль нь ч нөгөөг орлохгүй.

Тэдний мөр бүр нэг үйл явдлыг тогтоож, бусад нь нээлттэй үлдээдэг. Асуултыг урьдчилан бичих нь өгөгдөл дэмжиж чадахгүй түүхийг зохиохоос таныг сэргийлдэг.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Эхний команд үйлчилгээний бүртгэлээс сессийн үйл явдлыг харуулдаг. Хоёр дахь нь олгосон хаягуудтай одоогийн клиентүүдийн жагсаалтыг хэвлэдэг бөгөөд энэ нь аудитын холбоо хамаарах зураглал юм. Гурав дахь нь холболт байгаа үед л хэрэгтэй урсгалын шууд төлөвийг харуулдаг.

Хайлт бол айлчлал биш

Хөтөч нэрсийг таамаглалаар шийдэж, хариултыг кэшлэж, хянагдаж буй шийдвэрлэгчээс дахин асуулгүйгээр дахин ашигладаг. Тиймээс шийдвэрлэгчийн бүртгэл дэх нэр нь хайлтыг баталдаг, айлчлалыг биш. HTTPS дээрх DNS энэ цоорхойг тэлдэг, учир нь үүнд тохируулсан хөтөч асуултуудаа таны ердийн бүртгэгч хэзээ ч хардаггүй газар илгээдэг.

Зорилтот хаягууд дангаараа илүү сайн биш. Нэг хаяг олон хамааралгүй сайтыг хост хийж болно, урвуу DNS нь дахин бүтээх биш таамаг, TLS гар барилтын үед харагдах хост нэр нь шифрлэгдсэн сессийн доторх хүсэлтийн зам биш.

Нарийн гүйлгээнд програмын өөрийн үйл явдлын бүртгэл эсвэл бүртгэл хөтлөхөд тодорхой дэмжигдсэн прокси загвар хэрэгтэй. CONNECT туннел проксид хүрэх газар болон эзлэхүүнийг өгдөг, доторх хуудасны замыг биш. Сүлжээнд администраторын хандалт нь програмын итгэлийн загварыг чимээгүй солих зөвшөөрөл биш.

Хүнийг нэрлэхийн өмнө таних ба цагийг холбоно уу

Дотоод эх хаягтай урсгалын бүртгэл нь тухайн хаяг ижил цагт сесстэй холбогдох хүртэл юу ч гэсэн үг биш. Хаягууд дахин ашиглагддаг бөгөөд ижил хаяг нэг цагийн өмнө өөр сессийн байсан байж болно. Статик олголт нь холбоог хадгалах нэг арга, цорын ганц арга биш.

Орчуулгын хил хязгаар холбоог улам сулруулдаг. Хэд хэдэн төхөөрөмж таны ажиглалтын цэгээс өмнө нэг эх хаягийг хуваалцаж байсан бол таны таньж болох хамгийн сайн зүйл нь нэг төхөөрөмж биш, харин хуваалцсан гарцын сесс юм. Олон хүний ашигладаг гэрчилгээ эсвэл бүртгэл ижил үр дагавартай.

Цагийн бүс, цагийн эх сурвалж, ажиглалтын цэг, орчуулгын алхам бүрийг тэмдэглээрэй. Бүртгэл дутуу байх нь урсгалын бичлэг хуучирсан, мэдрэгчийг тойруулсан эсвэл програмын бүртгэл унтарсан байсныг илэрхийлж болно. Байхгүй байх нь юу ч болоогүйн баталгаа биш.

Дараа нь зарласан зорилгынхоо хамгийн бага талбар, зөвшөөрөгдсөн уншигч, хадгалах хугацааг тодорхойл. Хамаарал ба буруу хамааруулалт нь дараагийн бодол биш дизайны асуудал бөгөөд хүмүүсийг таних мета өгөгдөл нь түүнээс хамаарах таних зураглалтай ижил хамгаалалт хүртэх ёстой.

Аудитыг өөрийн хянадаг үйл ажиллагаагаар туршаарай

Сесс, програмыг нь урьдчилан мэддэг зөвшөөрөгдсөн урсгал үүсгэж, дараа нь бүртгэл бүр үнэхээр юу барив эсэхийг шалгаарай. Хуудсыг ачаалахгүйгээр хайлт хийж, кэшээс хуудас ачаалж, проксигоор холболт нээж, ямар үйл явдлууд гарч ирэхийг хараарай.

Нотолгооны дэмждэг үйл явдлыг мэдээлж, энэ юуг хамардаггүйг хэлээрэй. Зарласан хүрээтэй даруухан бүртгэл хяналтад тэсдэг; таамаглалаас угсарсан хэт их үзэлтийн түүх тэсдэггүй.