ایا د VPN چلونکی لیدلی شي چې تاسو کوم سایټونه ګورئ؟
د OpenVPN اصلي سرور سیشنونه ثبتوي، نه URLونه. مخکې له دې چې ووایاست چلونکی څه ویني، د اړیکو لاګ، د تونل نیول او د DNS د توییدو پلټنه پرتله کړئ.
وپوښتئ چې VPN څه لیدلی شي، او ځواب په دې پورې اړه لري چې تاسو په لار کې چېرې ولاړ یاست. د سیشن په طبقې کې چلونکی د تصدیق پېښې او د بایټ شمېر لري. د پاکټ په طبقې کې یې د منزل پتې او وخت وي. د DNS په طبقې کې کېدای شي پخپله نومونه ولري. هر طبقه بېلې پوښتنې ته ځواب وایي، او هېڅ یو سویچ تاسو د دوی ترمنځ نه لېږدوي.
د ادعا کولو دمخه طبقه وټاکئ
یوې اړیکې په هر ټکي کې بېل ثبتونه جوړوي، او د خصوصیت په اړه خبره یوازې هغه وخت معنا لري چې هغه ټکی ونوموي. جدول کالم په کالم ولولئ: په هغې طبقې کې څه شته، چلونکی هلته څه لیدلی شي، او هماغه ثبتونه لا څه نشي ویلای.
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
یوه طبقه د بشپړ انځور په توګه لوستل د لویو ادعاوو او درواغجنې ارامتیا دواړو پیل دی. هغه چمتو کوونکی چې وایي کتنې نه ثبتوي، د URL د ثبت په اړه سم وي خو بیا هم د سیشن ثبتونه وساتي، او یوازې پتې ښودونکی د پاکټ نیول بې له معکوسې پلټنې او اټکل کتنې تاریخ نه کیږي.
کله چې تګلاره ارزوئ، هغه جمله ومومئ چې هره طبقه تشریح کوي. که تګلاره دوی نه جلا کوي، د کوډ کولو په اړه عمومي خبره منلو په ځای وپوښتئ چې کوم ثبتونه شته.
د سیشن لړلیک: عادي OpenVPN سرور څه ساتي
په اصلي ډول OpenVPN سرور ترافیک نه نیسي. عادي پایله د سیشن لړلیک دی: کوم حساب تصدیق شو، له کومې سرچینې پتې راغی، د پیل او پای وخت نښې، ورکړل شوې د تونل پته او په دواړو لورو کې د بایټ ټولټال. دا د سیشنونو لړلیک دی، د منزلونو لړلیک نه.
د لاګ اختیارونه کېدای شي تفصیل ورزیات کړي. لوړ تفصیل کچه د لاس ورکولو په اړه ډېر لیکي، او د حالت فایل کېدای شي نښلول شوي کلاینټونه ولیکي، خو هېڅ یو یې سرور روڼ پراکسي نه جوړوي. د URL جوړولو لپاره TLS پای ته رسول یا ښکاره پراکسي چلول اړین دي، او دواړه د پټې ځانګړتیا د فعالولو په ځای د باور جوړښت بدلوي.
نو ځکه د کتنې لاګ نشتوالي ادعا سمه بڼه له اورېدلو ډېره تنګه ده. سرور پاڼه نه پېژني، خو پوهیږي چې یو سیشن و، او نږدې څومره معلومات ترې تېر شول. ایا هغه سیشن ثبت ساتل کیږي او څومره وخت، دا جلا تګلاره پوښتنه ده.
داخلې او بهرنې پاکټونه بېل شواهد دي
د پاکټ نیول هغه لاره ده چې وګورئ په تونل کې څه تېریږي. په سرور کې د تونل انټرفیس ونوموئ او په داسې فایل ولیکئ چې وروسته آفلاین تحلیل شي:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headهغه فایل ډیکوډ شوی داخلي ترافیک لري: د سرچینې په توګه د کلاینټ د تونل پته، د منزل پته او پورټ، د پاکټ اندازې او وخت. په دې کې د HTTP لار یا د ځواب بدن نشته، پرته له دې چې چېرې TLS پای ته رسول شوی وي، او دا حساس معلومات دي چې ساتل یې د ډیبګ اسانتیا نه، د تګلارې پرېکړه ده.
په فزیکي انټرفیس کې نیول بل څه ښیي. هلته VPN ته استول شوي بهرنې پاکټونه ښکاري، چې دننه کوډ شوی پیلوډ لري. په هغه فایل کې بې اړیکې پتې ښکارېدل نورمال دي کله چې مجازي اډاپټر وي، ځکه د تونل وسیله داخلې بهېږې ږدي او کوډ شوی لېږد بهرنې.
وپوښتئ چې نیول د کومې پوښتنې ځواب باید ورکړي. د یو تطبیق لخوا د تونل کارول په مجازي اډاپټر ښکاري؛ تر پای ټکي پورې د تونل رسېدنه په فزیکي اډاپټر ښکاري. یو فایل د بشپړ انځور په توګه کارول داسې پایلې ورکوي چې معلومات یې نه شي ملاتړ کولای.
DNS هغه ځای دی چې نومونه ښکاره کیږي
DNS عملي استثنا پاتې کیږي. حل کوونکی هغه نومونه ویني چې د حل کولو غوښتنه ترې کیږي، نو څوک چې دا چلوي پوهیږي چې کلاینټ کوم سایټونه لټوي، حتی کله چې وروستي اړیکې کوډ شوي وي. د تونل نیول پتې ښیي؛ حل کوونکی نومونه ښیي.
وګورئ چې حل کوونکي د بهرنۍ خدمت ترلاسه کولو لپاره کومه پته کارولې. ځواب د حل کوونکي د وتلو پته ده، او د VPN له وتلو سره پرتله کول ښیي چې غوښتنه د تونل له لارې تللې که نه:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53که هغه پته د تونل له وتلو سره نه، بلکې د سیمه ایزې اړیکې سره سمه وي، نو لټون VPN ته څنګه ووهلو او نوم په سیمه ایزه لار ښکاره و. د کلاینټ له اپډیټ وروسته پلټنه تکرار کړئ، ځکه نوی نسخه کېدای شي بدله کړي چې پروفایل کوم حل کوونکی نصبوي.
کوډ شوی DNS ښکارېدنه نه لیرې کوي بلکې ځای بدلوي. شبکه نوره غوښتنه نه ویني، خو حل کوونکی یې لا ویني، او د باور پوښتنه یوازې لاس بدلوي. د اړیکې په لاس ورکولو کې د TLS سرور نوم بل جزوي سیګنال دی: حتی کله چې پیلوډ ناڅرګند وي، دا اکثراً پاتې کیږي، نو منزل پتې یوازینې میټاډاټا نه دي چې لېږدوونکی سرور یې څارلای شي.
د ثبت درې ډولونه او څوک یې لوستلای شي
د سیشن حساب، د نوم له مخې ثبتونه او د توییدو شواهد درې بېل محصولات دي چې درې بېل مسؤلیتونه لري. د سیشن لاګونه ارزان او لږ حساس دي، او ښیي چې څوک کله ونښلول شو. د نوم له مخې ثبتونو ته ثبت کوونکی حل کوونکی یا ښکاره پراکسي ته اړتیا ده، او د اغېزمنو خلکو په وړاندې د ښکاره کولو مسؤلیت جوړوي. د توییدو شاهد د کلاینټ اړخ ازموینه ده چې حل کوونکی څه ښکاره کوي د تونل له وتلو سره پرتله کوي.
ولیکئ چې له دغو درېیو کوم یو چلوئ، څوک یې لوستلای شي او څومره وخت پاتې کیږي. هغه خبرې چې خدمت لاګونه نه ساتي یوه طبقه تشریح کوي، او یوازې په هماغه چوکاټ کې سمې پاتې کیږي. یو شان چمتو کوونکی د سیشنونو په اړه سم او د DNS په اړه غلط کېدای شي.
ازموینه تکرارېدونکې وساتئ: هماغه د حل کوونکي غوښتنه، هماغه د نیولو انټرفیس او هماغه پرتله. هغه د خصوصیت ادعا چې په نومول شوې طبقه کې نه شي ازمویل کېدای، ناره ده، د کار تثبیت نه.