VPN không làm rò rỉ IP cũ của bạn: một giá trị được ghi nhớ đã làm điều đó

Nhìn thấy địa chỉ công khai cũ của bạn trong báo cáo của một dịch vụ sau khi VPN bật lên, tự nó không phải là bằng chứng rò rỉ. Kết nối đang hoạt động có thể dùng lối ra của đường hầm trong khi ứng dụng gửi một giá trị mà nó học được trước khi đường hầm tồn tại. Đó là hai bằng chứng khác nhau, và chỉ một bằng chứng mô tả gói tin hiện tại. Cái còn lại là một giá trị sống sót qua lần kết nối lại vì không có gì trên đường mạng sở hữu nó.

Hai lời giải thích đằng sau một địa chỉ

Trình tự mọi người tưởng tượng là một gói tin rời giao diện vật lý trong khi VPN được cho là đang hoạt động. Trình tự thường giải thích báo cáo thì ngắn hơn và nhàm hơn: một ứng dụng đã học địa chỉ từ trước và vẫn giữ nó. Việc sắp xếp các sự kiện theo thứ tự tách hai điều đó ra.

Address learned before the tunnel: P1
Tunnel up: the next request exits at P2
Application reuses its retained P1 in a message body
Receiver logs source P2 and submitted value P1

Không có gì trong trình tự đó đòi hỏi một kết nối sống từ địa chỉ đầu tiên. Giá trị được ghi nhớ đi bên trong thông điệp, trong khi tiêu đề mang lối ra mà tuyến hiện tại đã chọn. Một dịch vụ ghi lại cả hai trường sẽ hiển thị chúng cạnh nhau và trông có vẻ mâu thuẫn.

Đó là một lời giải thích khả dĩ, không phải lời buộc tội nhắm vào một ứng dụng khách cụ thể. Danh tiếng không phải bằng chứng: một cơ sở mã bạn có thể đọc, một thương hiệu bạn tin tưởng hay một lối ra khác không nói gì về việc một chương trình đã giữ hay gửi gì.

Bộ nhớ của ứng dụng sống lâu hơn lần kết nối lại

Kết nối VPN thay đổi tuyến mà một kết nối mới đi. Nó để trạng thái ứng dụng yên và không thể thu hồi thông tin mà một dịch vụ từ xa đã lưu. Một chương trình có thể gửi mã định danh tài khoản, vị trí đã lưu, tên thiết bị hoặc một giá trị khác có được từ trước, và mã hóa bảo vệ tải trọng đó trên đường đi mà không bỏ đi gì từ nó. Kết nối lại là một sự kiện mạng; giá trị được giữ là một sự kiện của ứng dụng.

Sự khác biệt quan trọng vì hai thứ sống ở nơi khác nhau. Trạng thái ứng dụng thuộc về chương trình và sống sót qua khởi động lại, trong khi tuyến thuộc về hệ điều hành và được dựng lại mỗi lần kết nối. Xóa cái này không ảnh hưởng đến cái kia.

Một dịch vụ cũng có thể giữ một giá trị bạn đã trao cho nó vài tháng trước, và trong trường hợp đó không thay đổi cục bộ nào loại bỏ được nó. Đó là lưu giữ, và nó nằm hoàn toàn ngoài đường hầm.

Đọc tiêu đề nguồn trước, rồi đến tải trọng

Bắt đầu bằng việc xác định địa chỉ xuất hiện ở đâu. Nhật ký kết nối của máy chủ mô tả nguồn đang hoạt động, trong khi một trường thông điệp, hồ sơ tài khoản hoặc màn hình chẩn đoán cục bộ có thể mô tả một giá trị được gửi hoặc lưu từ rất lâu trước đó. Những quan sát đó trả lời các câu hỏi khác nhau.

So sánh cả thời điểm. Nếu địa chỉ cũ xuất hiện trong một trường trước kết nối VPN, lời giải thích bằng tải trọng mạnh hơn. Nếu máy chủ ghi nhận một kết nối trực tiếp từ địa chỉ cũ trong khi đường hầm bật, đó là câu hỏi định tuyến và cần một cuộc điều tra khác. Sắp xếp loại quan sát trước giúp một địa chỉ không bị kéo dài thành bằng chứng của ba sự kiện.

Giữ chúng riêng trong ghi chú của bạn: nguồn kết nối, trường thông điệp, màn hình tài khoản, chẩn đoán cục bộ. Một địa chỉ được viết ở bốn nơi vẫn là một địa chỉ.

Lưu giữ là một giai đoạn khác với truyền tải

Hướng dẫn về quyền riêng tư trong RFC 6973 coi việc thu thập, sử dụng, tiết lộ và lưu giữ là các giai đoạn riêng biệt, và cảnh báo rằng các mã định danh được dùng lại khiến việc tương quan trở nên dễ dàng. Một đường mạng mới thay đổi giai đoạn truyền tải và không gì khác. Các bản ghi mà người nhận đã có không bị chạm tới, cũng như bất kỳ hồ sơ nào đã lưu giá trị khi vào. Đó là lý do vì sao một lần kết nối lại có thể cảm giác như thất bại trong khi truyền tải hoạt động đúng.

Không bộ lọc gói tin nào có thể xóa một giá trị khỏi hồ sơ của người nhận, và kết nối lại sẽ không xóa lịch sử đã lưu của mọi chương trình. Đây là vấn đề của chủ dữ liệu, không phải của đường hầm, và chúng cần một kiểu giải pháp khác. Hãy hỏi dịch vụ xem nó giữ gì và trong bao lâu trước khi yêu cầu mạng che giấu nó.

Cần kiểm tra gì trước khi đổ lỗi cho đường hầm

Xem lại việc thu thập được tài liệu hóa của ứng dụng và các kiểm soát tài khoản, rồi quyết định trường nào nó được gửi, dịch vụ giữ chúng bao lâu và tài khoản có thể xóa hoặc sửa chúng hay không. Sau đó chạy bài kiểm tra tách các lời giải thích: một tài khoản mới hoặc một hồ sơ ứng dụng sạch. Nếu giá trị cũ biến mất, lưu giữ hoặc trạng thái bộ nhớ đệm có liên quan. Nếu nó sống sót với hồ sơ sạch, hãy xem xét trường yêu cầu thực tế trước khi kết luận VPN thất bại.

Nếu thực sự có một kết nối trực tiếp, hãy coi đó là phát hiện về đường mạng. Điều tra định tuyến, đường hầm chia tách và chính sách ứng dụng khách theo điều kiện của chúng, và đừng trộn kết quả đó với một giá trị tải trọng chỉ đơn giản sống sót qua lần kết nối lại. Hai lỗi trông giống nhau trên ảnh chụp màn hình và hành xử hoàn toàn khác trong một bản ghi bắt gói.