VPN-vangs: binne-pakette op tun0, omhulsel op eth0

Om op ’n VPN-gasheer vas te vang, teken nie een enkele ding op nie. Die kern stel die pakket twee keer bloot: toegedraai, op die fisiese adapter, en oopgedraai, op die tonneltoestel. Deur die koppelvlak te kies, kies jy watter van dié verhale jy lees. Die meeste argumente oor wat ’n vangs bewys, is eintlik argumente oor watter verhaal ingesamel is.

Inkapseling skep twee sienings

Die tonnel neem die pakket wat ’n toepassing geproduseer het en plaas dit in ’n nuwe een met die VPN-bediener as bestemming. Die binneste vorm verskyn op tun0, wg0 of watter toestel die kliënt ook al geskep het. Die buitenste vorm verskyn op die adapter wat dit na die netwerk dra. Albei vorms is geldig; hulle beantwoord verskillende vrae. Versamel elkeen afsonderlik, want die twee het verskillende opskrifte en verskillende lesers.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Die pseudokoppelvlak any is ’n swak keuse vir hierdie vergelyking. Deurgestuurde pakkette kan twee keer opgeneem word, en ’n plaaslik gegenereerde pakket verskyn in albei vorms, wat die tellings opblaas. As ’n getal onmoontlik lyk, kyk na die koppelvlak voordat jy die tonnel blameer.

Binne die tonnel is die pakket gewoon

Op die tonneltoestel is wat jy sien wat die toepassing die kern gevra het om te stuur. Bestemmingsadresse, poorte, DNS-name, TLS-bedienername, groottes en tydsberekening is alles daar. Die TLS-lading bly geënkripteer deur die toepassing se eie sessie, so die vangs onthul nie bladsyinhoud nie. ’n DNS-navraag in gewone teks is hier sigbaar selfs al is sy draer geënkripteer, want dit was nooit beskerm nie.

Geënkripteerde DNS verwyder daardie een sigbare veld. Dit verberg nie die bestemmingsadres, die greptelling of die ritme nie, wat eienskappe van die stroom is eerder as van die navraag.

Buite net die omhulsel en sy vorm

Die fisiese adapter wys jou adres, die bediener se adres, die poort, pakketgroottes en tydsberekening. Bestemmings wat binne gedra word, ontbreek, hoewel hul vorm steeds afleiding kan ondersteun. Groottes en ritme kan ’n videostroom, ’n groot oordrag of ’n kletsessie voorstel sonder om enigeen daarvan te noem. ’n Waarnemer naby sien ongeveer dieselfde beeld, wat verduidelik hoe ’n tonnel webwerwe kan verberg terwyl dit sy eie teenwoordigheid adverteer.

Daardie bewering hang van roetering af. ’n Nouer roete, ’n IPv6-verstek wat nie die tonnel binnegaan nie, of ’n proses wat aan die fisiese koppelvlak gebind is, sal verkeer buite die omhulsel plaas. Lees die werklike roete voordat jy gevolgtrekkings uit die vangs maak.

Eweknie-adres en vangshigiëne

TCP-modus OpenVPN hou ’n gevestigde soket, so die sokettabel kan die eweknie noem. UDP-modus OpenVPN laat die soket dikwels onverbind, en ss wys dalk net die plaaslike kant. Lees eerder die profiel se remote, ’n uitvoerige kliëntlog of die roete na die eindpunt. WireGuard rapporteer sy eindpunt en jongste handdruk direk.

wg show
ss -tunp | grep 51820

’n Vangsleër leef langer as die sessie wat dit geskep het. Dit kan gekopieer word, en dit kan leesbaar wees vir enigiemand met plaaslike toegang. Hou net wat die ondersoek nodig het, beperk toestemmings en verwyder dit wanneer die werk klaar is.

’n Deelbare vangs moet sê watter koppelvlak dit geskep het en wanneer. Sonder daardie nota moet die volgende leser raai na watter laag hulle kyk.