Yerel sistem günlükleri bir VPN bağlantısı hakkında ne ortaya koyar
İşletim sistemi, bir uygulamanın hiç yazmadığı servis başlangıçlarını, bağdaştırıcı değişikliklerini ve yol hatalarını kaydeder. Tek bir dar pencere okuyun ve bunları ilişkilendirin.
Her masaüstü bilgisayar VPN'in ne yaptığına dair kendi kaydını tutar ve uygulamanın dışa aktarımı genellikle bunların en eksik olanıdır. Servis yöneticileri bir birimin ne zaman başladığını, çekirdek bir arayüzün ne zaman göründüğünü, ağ yığını da yolların ne zaman uygulanamadığını not eder. Bu mekanizmaların hiçbiri istemcinin ne amaçladığını bilmez ve istemci de çekirdeğin isteğiyle ne yaptığını bilmez.
Böyle bir kaydı tek başına okumak yanlış sonuca davet eder. Aynı dakikadan iki tane okuyun, sıralama görünür hale gelir.
Üç mekanizma, üç sözlük
Linux'ta systemd günlüğü, birimin yaşam döngüsü iletilerini wg-quick@wg0 veya NetworkManager VPN eklentisinden yakalar ve çekirdeğin halka tamponu arayüz ile yönlendirme iletilerini taşır. Windows'ta olay günlüğü hikâyeyi sistem, WLAN ve uzak erişim sağlayıcıları arasında böler, her birinin kendi tanımlayıcıları vardır. macOS'ta birleşik günlük, alt sistemle sınırlı iletileri taşır ve grafik Console bunları yalnızca kısmen gösterir.
Sözlükler birbirine çevrilmez. Bir platformun olay tanımlayıcısı diğerinde hiçbir şey ifade etmez ve bir Windows iletişim kutusunun ekran görüntüsü bir Linux birimi hakkında hiçbir şey kanıtlamaz.
Üçünün ortak noktası bir zaman damgası, bir kaynak ve bir önem derecesidir ve tam da bu üçlü, istemci günlüğü ile işletim sistemi kaydı arasındaki ilişkilendirmeyi mümkün kılar. Kullanılabilirlik de değişir: günlüğü olmayan bir konteyner, kırpılmış bir Windows imajı veya derleme sırasında düşürülmüş bir günlük düzeyi bütün bir katmanı gizleyebilir.
| Facility | What it records | What it cannot show |
|---|---|---|
| systemd journal | Unit start and stop, helper output, exit status | Whether packets actually reached the peer |
| Kernel and netlink | Interface creation, address assignment, route changes | Why the client asked for that configuration |
| Windows event log | Provider-specific connection and adapter events | Anything the provider chose not to log |
Bağlı bir satırın kanıtladığı ve kanıtlamadığı şey
Servis başlangıcı olayı, yerel birimin başlatılmasının istendiğini ve hemen çıkmadığını kaydeder. Tamamlanmış bir el sıkışmayı, geçerli bir eş anahtarını veya çalışan bir yolu kaydetmez. O satırı bir tünelin kanıtı saymak, bu günlüklerin en yaygın yanlış okunmasıdır. Satır, niyeti ve süreç durumunu kanıtlar ve erişilebilirlik hakkında hiçbir şeyi.
İletme durumu ayrı bir gözlemdir ve herhangi bir günlükten değil, yönlendirme tablosundan gelir.
Bir bağdaştırıcı olayı sessiz bir hatayı açıklayabilir: arayüz yukarı çıktı, adres atandı ve yollar hiçbir zaman kurulmadı çünkü bir ilke kuralı onları reddetti. Bu sıralamada hiçbir şey yönlendirilmezken görünen her satır sağlıklı görünür ve bunu görmenin tek yolu, aynı anda günlüğün zaman damgalarını yönlendirme tablosuyla karşılaştırmaktır. İstemcinin kendi olay sırasını her ikisinin yanında tutun, çünkü ne istediğini bilen tek kaynak istemcidir. Birlikte ihtiyaç duyduğunuz iki olgu neredeyse hiçbir zaman aynı satırda görünmez.
Daha sonraki bir yeniden bağlanma bu resmin ilginç kısmının üzerine yazar, bu yüzden pencereyi üç denemeden sonra değil ilk hatada yakalayın.
Dar bir pencereyi ilişkilendirin
Deneme zamanını saat dilimiyle birlikte not edin, sonra çevresindeki birkaç dakikayı çıkarın. Penceredeki ilk hata neredeyse her zaman destek taleplerinin alıntıladığı bağlantı kesme satırından önce gelir.
journalctl -u wg-quick@wg0 --since "today 09:00" --until "today 09:20" ip route show table all | grep wg0 log show --last 20m --predicate 'subsystem == "com.apple.network"'
Her komut sorunun farklı bir bölümünü yanıtlar: birincisi yaşam döngüsünü, ikincisi iletme durumunu, üçüncüsü macOS ağ alt sistemini verir. Windows'ta tüm kanalı kaydırmak yerine sistem günlüğünü sağlayıcı adına göre süzün ve yalnızca eşleşen olayları dışa aktarın.
Alıntıyı bir okuyucunun izleyebileceği kadar küçük tutun. Dört ilgili olay içeren yirmi dakikalık bir pencere bir sonucu destekler; binlerce satırlık tam günlük bir dışa aktarım hiçbir şeyi desteklemez.
Bu kayıtların durduğu yer
Yerel kayıtlar cihazı tanımlar, yolu değil. Bir sağlayıcının ne sakladığını, bir oturumun bir hesapla eşleşip eşleşmediğini veya bir hedefin ne gördüğünü gösteremezler. Bir sağlayıcının günlük tutmadığına dair açıklaması dizüstü bilgisayarınızdaki işletim sistemi hakkında hiçbir şey söylemez ve yerel bir olay sağlayıcının geçmiş kayıtları hakkında hiçbir şey kanıtlamaz.
Beklenenden daha fazla kişisel veri de taşırlar: kullanıcı adları, ana bilgisayar adları, bağlama yolları ve cihaz tanımlayıcıları, tarama içeriği olmasa bile sıradan sistem iletilerinde görünür. Herhangi bir şeyi bir talebe eklemeden önce bunları kaldırın ve orijinali normal erişim denetimleri altında saklayın.
Yönetilen bir cihazda kurumsal günlüklemeyi silmeye çalışmak yerine BT'den ilgili alıntıyı isteyin. Tanılama hedefi iki kaynağın yanıtladığı tek bir dar sorudur, makinenin tam geçmişi değil.