మీరు సందర్శించే సైట్‌లను VPN ఆపరేటర్ చూడగలరా?
డిఫాల్ట్ OpenVPN సర్వర్ సెషన్‌లను నమోదు చేస్తుంది, URLలను కాదు. ఆపరేటర్ ఏమి చూస్తారో చెప్పే ముందు కనెక్షన్ లాగ్‌లు, టన్నెల్ క్యాప్చర్ మరియు DNS లీక్ పరీక్షను పోల్చండి.
VPN ఏమి చూడగలదో అడగండి, సమాధానం మీరు మార్గంలో ఎక్కడ నిలబడి ఉన్నారు అనే దానిపై ఆధారపడి ఉంటుంది. సెషన్ పొరలో ఆపరేటర్‌కు ప్రామాణీకరణ సంఘటనలు మరియు బైట్ లెక్కలు ఉంటాయి. ప్యాకెట్ పొరలో గమ్యస్థాన చిరునామాలు మరియు సమయం ఉంటాయి. DNS పొరలో పేర్లే ఉండవచ్చు. ప్రతి పొర వేరే ప్రశ్నకు సమాధానమిస్తుంది, ఏ ఒక్క స్విచ్ మిమ్మల్ని వాటి మధ్య తరలించదు.
ఏదైనా పేర్కొనే ముందు పొరను నిర్ణయించండి
ఒకే కనెక్షన్ ప్రతి బిందువు వద్ద వేరే నమోదులను సృష్టిస్తుంది, గోప్యత గురించిన ప్రకటన ఆ బిందువును పేర్కొన్నప్పుడే అర్థవంతం అవుతుంది. పట్టికను నిలువు వరుసగా చదవండి: ఆ పొరలో ఏమి ఉంది, అక్కడ ఆపరేటర్ ఏమి చూడగలరు, మరియు అదే నమోదులు ఇంకా ఏమి చెప్పలేవు.
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
ఒక పొరను పూర్తి చిత్రంగా చదవడమే అతిగా చెప్పడం మరియు తప్పుడు ఊరట రెండింటికీ ప్రారంభం. బ్రౌజింగ్‌ను నమోదు చేయము అనే ప్రదాత URL నమోదు విషయంలో ఖచ్చితంగా ఉండి కూడా సెషన్ నమోదులను ఉంచుకోవచ్చు, మరియు చిరునామాలు మాత్రమే చూపే ప్యాకెట్ క్యాప్చర్ తిరోగమన శోధనలు మరియు ఊహలు లేకుండా బ్రౌజింగ్ చరిత్రగా మారదు.
విధానాన్ని అంచనా వేసేటప్పుడు ప్రతి పొరను వివరించే వాక్యాన్ని కనుగొనండి. విధానం వాటిని వేరు చేయకపోతే, ఎన్‌క్రిప్షన్ గురించి సాధారణ ప్రకటనను అంగీకరించడం బదులు ఏ నమోదులు ఉన్నాయో అడగండి.
సెషన్ జాబితా: సాధారణ OpenVPN సర్వర్ ఏమి ఉంచుతుంది
డిఫాల్ట్‌గా OpenVPN సర్వర్ ట్రాఫిక్‌ను క్యాప్చర్ చేయదు. సాధారణ అవుట్‌పుట్ ఒక సెషన్ జాబితా: ఏ ఖాతా ప్రామాణీకరించబడింది, ఏ మూల చిరునామా నుండి వచ్చింది, ప్రారంభం మరియు ముగింపు సమయ ముద్రలు, ఇచ్చిన టన్నెల్ చిరునామా మరియు రెండు దిశలలో మొత్తం బైట్లు. అది సెషన్ల జాబితా, గమ్యస్థానాల జాబితా కాదు.
లాగింగ్ ఎంపికలు వివరాలు జోడించవచ్చు. ఎక్కువ వెర్బోసిటీ స్థాయి హ్యాండ్‌షేక్ గురించి ఎక్కువ రాస్తుంది, స్థితి ఫైల్ కనెక్ట్ అయిన క్లయింట్లను జాబితా చేయవచ్చు, కానీ ఏదీ సర్వర్‌ను పారదర్శక ప్రాక్సీగా మార్చదు. URLలను ఉత్పత్తి చేయడానికి TLS ముగించడం లేదా స్పష్టమైన ప్రాక్సీ నడపడం అవసరం, రెండూ దాచిన లక్షణాన్ని ఆన్ చేయడం బదులు నమ్మక వ్యవస్థను మారుస్తాయి.
అందుకే బ్రౌజింగ్ లాగ్ లేదు అనే వాదన యొక్క ఖచ్చితమైన రూపం వినిపించే దానికంటే ఇరుకైనది. సర్వర్‌కు పేజీ తెలియదు, కానీ ఒక సెషన్ ఉందని, దాని ద్వారా సుమారు ఎంత డేటా వెళ్ళిందో తెలుసు. ఆ సెషన్ నమోదు ఉంచబడుతుందా, ఎంతకాలం అనేది వేరే విధాన ప్రశ్న.
లోపలి మరియు బయటి ప్యాకెట్లు వేరే సాక్ష్యాలు
ప్యాకెట్ క్యాప్చర్ అంటే టన్నెల్ గుండా నిజంగా ఏమి వెళ్తుందో చూసే మార్గం. సర్వర్‌లో టన్నెల్ ఇంటర్‌ఫేస్‌ను పేర్కొని, తర్వాత ఆఫ్‌లైన్‌లో విశ్లేషించగలిగే ఫైల్‌లో రాయండి:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headఆ ఫైల్‌లో డీక్రిప్ట్ చేసిన లోపలి ట్రాఫిక్ ఉంటుంది: మూలంగా క్లయింట్ యొక్క టన్నెల్ చిరునామా, గమ్యస్థాన చిరునామా మరియు పోర్ట్, ప్యాకెట్ పరిమాణాలు మరియు సమయం. ఎక్కడైనా TLS ముగించకపోతే అందులో HTTP మార్గం లేదా ప్రతిస్పందన శరీరం ఉండదు, ఇది సున్నితమైన డేటా; దాన్ని ఉంచడం డీబగ్ సౌలభ్యం కాదు, విధాన నిర్ణయం.
భౌతిక ఇంటర్‌ఫేస్‌పై క్యాప్చర్ మరేదో చూపిస్తుంది. అక్కడ VPN ముగింపు బిందువుకు పంపిన బయటి ప్యాకెట్లు కనిపిస్తాయి, లోపల ఎన్‌క్రిప్ట్ చేసిన పేలోడ్ ఉంటుంది. వర్చువల్ అడాప్టర్ ఉన్నప్పుడు ఆ ఫైల్‌లో సంబంధం లేని చిరునామాలు కనిపించడం సాధారణం, ఎందుకంటే టన్నెల్ పరికరం లోపలి ప్రవాహాలను మోస్తుంది, ఎన్‌క్రిప్ట్ చేసిన రవాణా బయటి వాటిని మోస్తుంది.
క్యాప్చర్ ఏ ప్రశ్నకు సమాధానం ఇవ్వాలో అడగండి. అప్లికేషన్ టన్నెల్ వినియోగం వర్చువల్ అడాప్టర్‌లో కనిపిస్తుంది; ముగింపు బిందువు వరకు టన్నెల్ చేరిక భౌతిక అడాప్టర్‌లో కనిపిస్తుంది. ఏదైనా ఒక ఫైల్‌ను పూర్తి చిత్రంగా ఉపయోగించడం డేటా నిలబెట్టలేని ముగింపులను ఇస్తుంది.
DNS అనేది పేర్లు కనిపించే స్థలం
DNS ఆచరణాత్మక మినహాయింపుగా మిగిలి ఉంటుంది. రిజాల్వర్ తనను పరిష్కరించమని అడిగిన పేర్లను చూస్తుంది, కాబట్టి దాన్ని నడిపేవారు తర్వాతి కనెక్షన్లు ఎన్‌క్రిప్ట్ అయినా క్లయింట్ ఏ సైట్‌లను వెతుకుతున్నారో తెలుసుకుంటారు. టన్నెల్ క్యాప్చర్ చిరునామాలు చూపిస్తుంది; రిజాల్వర్ పేర్లు చూపిస్తుంది.
రిజాల్వర్ బయటి సేవను చేరుకోవడానికి ఏ చిరునామా ఉపయోగించిందో తనిఖీ చేయండి. సమాధానం రిజాల్వర్ నిర్గమన చిరునామా, దాన్ని VPN నిష్క్రమణతో పోల్చడం క్వెరీ టన్నెల్ గుండా వెళ్ళిందా అని చెబుతుంది:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53ఆ చిరునామా టన్నెల్ నిష్క్రమణతో కాకుండా స్థానిక కనెక్షన్‌తో సరిపోలితే, శోధన VPNను దాటవేసింది, పేరు స్థానిక మార్గంలో కనిపించింది. క్లయింట్ నవీకరణ తర్వాత పరీక్షను పునరావృతం చేయండి, ఎందుకంటే కొత్త సంస్కరణ ప్రొఫైల్ ఏ రిజాల్వర్‌ను ఇన్‌స్టాల్ చేస్తుందో మార్చవచ్చు.
ఎన్‌క్రిప్ట్ చేసిన DNS కనిపించేతను తొలగించడం బదులు స్థానం మారుస్తుంది. నెట్‌వర్క్ ఇకపై క్వెరీని చూడదు, కానీ రిజాల్వర్ ఇంకా చూస్తుంది, నమ్మక ప్రశ్న కేవలం చేతులు మారుతుంది. కనెక్షన్ హ్యాండ్‌షేక్‌లోని TLS సర్వర్ పేరు మరో పాక్షిక సంకేతం: పేలోడ్ అస్పష్టంగా ఉన్నప్పటికీ అది తరచుగా నిలిచి ఉంటుంది, కాబట్టి గమ్యస్థాన చిరునామాలు మాత్రమే ఫార్‌వార్డింగ్ సర్వర్ గమనించగల మెటాడేటా కాదు.
మూడు రకాల నమోదులు, వాటిని ఎవరు చదవగలరు
సెషన్ అకౌంటింగ్, పేరు వారీ నమోదులు మరియు లీక్ సాక్ష్యాలు మూడు వేరే బాధ్యతలున్న మూడు వేరే ఉత్పత్తులు. సెషన్ లాగ్‌లు చవకైనవి, తక్కువ సున్నితమైనవి, ఎవరు ఎప్పుడు కనెక్ట్ అయ్యారో సమాధానమిస్తాయి. పేరు వారీ నమోదులకు నమోదు చేసే రిజాల్వర్ లేదా స్పష్టమైన ప్రాక్సీ అవసరం, అవి ప్రభావితులకు వెల్లడి చేసే బాధ్యతను సృష్టిస్తాయి. లీక్ సాక్ష్యం అనేది రిజాల్వర్ వెల్లడించే దాన్ని టన్నెల్ నిష్క్రమణతో పోల్చే క్లయింట్ వైపు పరీక్ష.
ఈ మూడింటిలో మీరు ఏది నడుపుతున్నారు, ఎవరు చదవగలరు, ఎంతకాలం ఉంటుందో నమోదు చేయండి. సేవ ఎలాంటి లాగ్‌లు ఉంచదు అనే ప్రకటనలు ఒక పొరను వివరిస్తాయి, ఆ పరిధిలో మాత్రమే నిజంగా ఉంటాయి. ఒకే ప్రదాత సెషన్ల విషయంలో ఖచ్చితంగా, DNS విషయంలో తప్పుగా ఉండవచ్చు.
పరీక్షను పునరుత్పత్తి చేయగలిగేలా ఉంచండి: అదే రిజాల్వర్ క్వెరీ, అదే క్యాప్చర్ ఇంటర్ఫేస్ మరియు అదే పోలిక. పేర్కొన్న పొరలో పరీక్షించలేని గోప్యతా వాదన నినాదం, కార్యాచరణ వాస్తవం కాదు.