VPN lekka ikkje din gamle IP: ein hugsa verdi gjorde det

Å sjå den gamle offentlege adressa di i ein rapport frå ein teneste etter at VPN er oppe er ikkje i seg sjølv prov på ein lekkasje. Den levande tilkoplinga kan bruke utgangen i tunnelen medan applikasjonen sender ein verdi han lærte før tunnelen fanst. Det er to ulike prov, og berre eitt av dei skildrar den gjeldande pakken. Det andre er ein verdi som overlevde attopkoplings fordi ingenting på nettverksstien eig han.

Dei to forklaringane bak éi adresse

Sekvensen folk førestiller seg er ein pakke som forlèt det fysiske grensesnittet medan VPN angiveleg er aktivt. Sekvensen som ofte forklarar rapporten er kortare og keisamare: ein applikasjon lærte ei adresse tidlegare og held enno på henne. Å leggje hendingane i rekkjefølgje skil dei to.

Address learned before the tunnel: P1
Tunnel up: the next request exits at P2
Application reuses its retained P1 in a message body
Receiver logs source P2 and submitted value P1

Ingenting i den rekkjefølgja krev ei levande tilkopling frå den fyrste adressa. Den hugsa verdien reiser inne i meldinga, medan hovudet ber den utgangen den gjeldande ruta valde. Ein teneste som loggar begge felta vil vise dei side om side og sjå motstridande ut.

Det er ei mogleg forklaring, ikkje ei skulding mot ein bestemt klient. Omdøme er ikkje prov: ein kodebase du kan lese, eit merke du stolar på eller ein annan utgang seier ingenting om kva eitt program heldt på eller sende.

Minne i applikasjonen overlever attopkoplings

Å kopie til ein VPN endrar ruta ei ny tilkopling tek. Det lèt applikasjonstilstanden vere og kan ikkje trekkje tilbake informasjon ein ekstern teneste allereie har lagra. Eit program kan sende inn ein kontoidentifikator, ein lagra stad, eit einingnamn eller ein annan verdi det fekk tidlegare, og kryptering vernar den nyttelasta undervegs utan å fjerne noko frå henne. Attopkoplings er ei nettverkshending; den haldne verdien er ei applikasjonshending.

Skilnaden er viktig fordi dei to bur på ulike stader. Applikasjonstilstand høyrer til programmet og overlever omstart, medan ruta høyrer til operativsystemet og blir bygd opp att ved kvar tilkopling. Å rydde den eine har inga verknad på den andre.

Ein teneste kan òg halde på ein verdi du gav han for månader sidan, og då vil inga lokal endring fjerne han. Det er lagring, og ho ligg heilt utanfor tunnelen.

Les kildehovudet fyrst, deretter nyttelasta

Byrja med å fastslå kvar adressa dukka opp. Tilkoplingsloggen til ein tenar skildrar den levande kjelda, medan eit meldingsfelt, ein kontoprofil eller ei lokal diagnostisk vising kan skildre ein verdi som vart send eller lagra mykje tidlegare. Dei observasjonane svarar på ulike spørsmål.

Samanlikn tidene òg. Viss den gamle adressa dukkar opp i eit felt som ligg før VPN-tilkoplinga, er nyttelasteforklaringa sterkare. Viss tenaren registrerer ei direkte tilkopling frå den gamle adressa medan tunnelen er oppe, er det eit rutingspørsmål og krev ei anna undersøking. Å sortere observasjonstypane fyrst hindrar at éi adresse blir strekt til prov for tre hendingar.

Hald dei frå kvarandre i notata dine: tilkoplingskjelde, meldingsfelt, kontovising, lokal diagnostikk. Éi adresse skriven på fire stader er framleis éi adresse.

Lagring er eit anna trinn enn transport

Personvernrettleiinga i RFC 6973 handsamar innsamling, bruk, utlevering og lagring som ulike trinn, og ho åtvarar mot at gjenbrukte identifikatorar gjer korrelasjon enkelt. Ein ny nettverkssti endrar transporttrinnet og ingenting anna. Oppføringar mottakaren allereie har blir ikkje rørte, og det same gjeld kvar profil som lagra verdien ved inngangen. Difor kan ei attopkopling kjennast mislukka medan transporten oppfører seg rett.

Ingen pakkefilter kan slette ein verdi frå oppføringane til ein mottakar, og å kopie til på nytt vil ikkje rydde den lagra historia til kvart program. Dette er dataeigarproblem snarare enn tunnelproblem, og dei treng ein annan type løysing. Spør tenesta kva ho lagrar og kor lenge før du ber nettverket skjule det.

Kva du bør sjekke før du klandrar tunnelen

Gå gjennom den dokumenterte innsamlinga og kontokontrollane til applikasjonen, og avgjer kva felt han kan sende inn, kor lenge tenesta lagrar dei, og om kontoen kan rydde eller rette dei. Køyr deretter testen som skil forklaringane: ein ny konto eller ein rein applikasjonsprofil. Viss den gamle verdien forsvinn, var lagring eller bufta tilstand med i spelet. Viss han overlever ein rein profil, undersøk det faktiske førespurnadsfeltet før du konkluderer med at VPN feila.

Viss ei direkte tilkopling verkeleg finst, handsam ho som eit funn på nettverksstien. Undersøk ruting, delt tunnel og klientpolitikk på deira eigne vilkår, og blande ikkje det resultatet med ein nyttelasteverdi som berre overlevde attopkoplings. Dei to feila ser like ut på eit skjermbilete og oppfører seg heilt ulikt i ein opptak.