Cara merekod dan mengesahkan alamat keluar VPN yang anda gunakan

Tanya klien VPN desktop pelayan mana yang anda gunakan, dan jawapan jujurnya biasanya nama lokasi. Nama itu ialah titik masuk yang anda pilih, dan alamat tempat trafik anda keluar mungkin mesin yang sama sekali berbeza. Tiada apa-apa dalam aplikasi direka untuk menyimpan nombor kedua, jadi rekod mesti dibina pada saat penggunaan. Terdapat dua pendekatan, dan hanya satu daripadanya bertahan apabila berdepan kes sokongan.

Dua rekod, dan hanya satu daripadanya wujud

Paparan klien itu sendiri paling baik ialah senarai lokasi yang dipilih dengan cap masa. Itu keputusan reka bentuk, bukan kecuaian: alamat ialah perincian operasi, ia berputar antara penugasan, dan mendedahkan pemetaan menjadikan kedua-dua sokongan dan pengendalian penyalahgunaan lebih sukar. Penyedia meletakkan instans awan di hadapan rangkaian mereka semata-mata supaya titik akhir boleh berpindah tanpa memberitahu sesiapa. Apa yang aplikasi tunjukkan kepada anda ialah pilihan yang anda buat, bukan laluan yang dilalui trafik.

Rekod yang boleh anda bina ialah fail setempat dengan satu alamat awam dan satu cap masa UTC setiap baris. Ia lebih kecil, lebih hodoh dan jauh lebih berguna, kerana ia memerihalkan tepat apa yang pemerhati luar juga boleh lihat.

Pilihan A: rakam alamat keluar sendiri

Perkhidmatan gema memulangkan alamat sumber dari mana permintaan datang, yang mengikut takrifnya ialah alamat keluar. Jalankan rakaman selepas terowong melaporkan bersambung, kerana klien yang berkata bersambung sebelum laluan dan DNS stabil akan merekod alamat sebelum terowong dan meracuni log sejak baris pertama.

#!/bin/sh
umask 077
log="$HOME/vpn-exit.log"
printf '%s %s\n' "$(date -u +%Y-%m-%dT%H:%M:%SZ)" "$(curl -fsS https://api.ipify.org)" >> "$log"

Dua perincian menjadikan petikan itu berguna, bukan hiasan. Cap masa dan alamat berkongsi satu baris, jadi penghuraian kemudian tidak perlu memasangkan rekod, dan umask 077 menyimpan fail itu peribadi sejak ia dicipta. Jalankannya sekali bagi setiap sambungan, bukan sekali bagi setiap but, dan simpan satu fail bagi setiap peranti.

Log merekod bila anda menggunakan terowong dan dari rangkaian mana anda muncul, yang lebih dekat dengan sejarah pelayaran daripada pembilang. Pilih tempoh simpanan yang anda boleh pertahankan, simpan fail di luar folder penyegerakan dikongsi dan padamkannya secara sengaja.

Pilihan B: minta sejarah daripada penyedia

Sesetengah penyedia menyimpan log sambungan dan akan menjawab soalan sokongan dengan cap masa dan nama pelayan. Rekod itu memerihalkan infrastruktur mereka, bukan trafik anda, dan nilainya hanya sebaik tetingkap simpanan serta kesanggupan mereka untuk melihat. Ia juga memerihalkan sesi, bukan permintaan. Tetingkapnya biasanya pendek, dan diukur dari sisi penyedia terowong.

Penyedia yang mengiklankan tidak menyimpan log tidak boleh menyediakan ini apabila diminta, dan senarai lokasi terkini di sisi klien bukan perkara yang sama. Meminta alamat keluar daripada penyedia tanpa log biasanya berakhir dengan penjelasan mengapa data itu tiada.

Apa yang boleh dibuktikan oleh setiap rekod dalam kes sokongan

Kedua-dua rekod menjawab soalan berbeza, dan di dalam jadual itulah perbandingan berhenti bersifat akademik.

Hanya lajur pertama berada dalam kawalan anda. Rekod penyedia boleh mengesahkan bahawa sesuatu akaun bersambung pada waktu tertentu, tetapi tidak boleh mengesahkan permintaan mana yang menggunakan terowong, dan tidak akan menamakan alamat yang dianggap penyedia sebagai perincian operasi. Tiada rekod mengenal pasti seseorang, kerana alamat keluar yang dikongsi boleh membawa banyak pelanggan dalam minit yang sama.

Bandingkan kedua-duanya dengan garis dasar sebelum mempercayai mana-mana satu

Alamat sahaja tidak membuktikan apa-apa. Rakam alamat terus sebelum bersambung, alamat melalui terowong selepasnya, dan bandingkan. Nilai yang sama bermakna terowong tidak membawa permintaan itu, sama ada kerana terowong terpisah, proksi yang mengatasi, atau klien yang jatuh semula ke laluan terus.

curl -fsS https://api.ipify.org; echo
curl -fsS https://api64.ipify.org; echo
dig +short TXT o-o.myaddr.l.google.com @1.1.1.1

Ulang perbandingan untuk DNS dan IPv6, kerana gema alamat membuktikan laluan satu permintaan HTTP dan tidak berkata apa-apa tentang penyelesai mana yang menjawab. Peranti yang bocor pada salah satu mungkin kelihatan sepenuhnya sihat pada yang lain.