VPN tuneli nədir və mühafizə harada bitir
Tunel seçilmiş paketləri artıq mövcud olan xətt üzərində ikinci zərfə salır. Bir sorğunu izləyin və vebsaytın hansı ünvanı qeyd etdiyini görün.
Müştəri bağlandığını bildirir, kilid işarəsi görünür, amma sayt hələ də mənzilinizin ünvanını qeyd edir. Heç nə uğursuz olmayıb. Tunel Wi-Fi və ya mobil bağlantınızı əvəz etmir; o, müəyyən paketlərin ətrafına ikinci zərf qoyur və həmin zərfi artıq malik olduğunuz şəbəkə üzərindən göndərir. Hiyləni anlamaq əsasən bir sorğunu izləməkdən və zərfin harada açıldığını görməkdən ibarətdir, çünki ev ünvanının sızmasından tutmuş böyük yükləmənin dayanmasına qədər demək olar ki, hər çaşdırıcı simptom məhz həmin sərhəddən qaynaqlanır.
İki zərf, bir fiziki xətt
Noutbukunuz marşrutlaşdırıcıya normal qoşulmasını saxlayır, marşrutlaşdırıcı isə provayderə normal qoşulmasını saxlayır. Tunel qalxdıqda bu yolda heç nə dəyişmir. Dəyişən odur ki, seçilmiş paketlər virtual interfeysə verilir, VPN həmyaşıdına ünvanlanmış yeni paketin içərisinə bükülür və fiziki xətt üzərindən adi trafik kimi göndərilir.
Qəbul edən tərəf zərfi açan və orijinal paketi təyinatına doğru yönləndirən cihazdır. İki uc arasında müşahidəçi xarici başlığı görür, daxili başlıqdan isə heç nə görmür, məgər protokol onu şifrələyirsə; əksər istehlakçı protokolları bunu edir, ümumi texnika isə bunu tələb etmir.
Buna görə virtual interfeys həm real, həm də yanıltıcıdır. O, ünvanı və maksimal ötürmə vahidi olan bir nüvə obyekti kimi mövcuddur və əməliyyat sistemi trafiki hər hansı digər interfeys kimi ora yönləndirir. O, kabel deyil və mövcudluğu yalnız bir komponentin quraşdırıldığını sübut edir. Brauzerinizin ondan istifadə edib-etmədiyini interfeysin qalxıb-qalxmaması deyil, marşrutlar həll edir.
Bir sorğunun səyahətini izləyin
Bir təyinat seçin və nüvədən hansı interfeysdən istifadə edəcəyini soruşun. Bu tək əmr tunelin bir iş görüb-görmədiyi barədə mübahisələrin çoxunu həll edir:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0Əgər marşrut çıxışı tunel interfeysini göstərirsə, paket büküləcək. Əgər fiziki interfeysi göstərirsə, bükülməyəcək və müştərini yenidən başlatmaq bunu nə qədər təkrarlansa da dəyişməyəcək. İkinci əmr hər iki interfeysi yan-yana göstərir; ünvansız və ya yanlış ailədən ünvanla qalxmış tuneli belə tutursunuz.
Sonra zərfin içindən ilk atlamaya baxın və onu çöldəki ilk atlama ilə müqayisə edin:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5Tunelin içində ilk atlama sizin marşrutlaşdırıcınız deyil, həmyaşıdın daxili ünvanıdır. Tunel interfeysindəki tutma daxili paketləri göstərir, bu da tətbiqin göndərdiyini zənn etdiyi trafikdir. Eyni vaxtda fiziki interfeysdə tutma xarici paketləri göstərir və ikisi birlikdə tunelin həqiqətən nə etdiyinin ən aydın nümayişidir.
Üç ünvan və yalnız biri vebsayt tərəfindən görünür
İnsanlar bunları durmadan qarışdırır və qarışıqlıq yalançı sızma hesabatları doğurur. Bunlar müxtəlif başlıqlardakı, müxtəlif ömürlü müxtəlif sahələrdir.
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
Virtual adapterin yanındakı rəqəm ikinci sətirdir. O, vebsaytın qeyd etdiyi ünvan deyil və onu ictimai IP-niz kimi göstərmək sadəcə səhvdir. Vebsaytın gördüyü ünvanı çıxış təyin edir və özəl şəbəkə tunelində ictimai çıxış ümumiyyətlə olmaya bilər, çünki təyinat internetdə deyil, təşkilatın daxilində yerləşir.
Saytlararası tunel fərqli son nöqtələrlə eyni mexanizmdir. İki marşrutlaşdırıcı şəbəkələr arasında trafiki bükür və heç bir fərdi cihazda müştəri quraşdırılmayıb. Zərf prinsipcə eynidir, inzibati sərhəd isə deyil.
Zərfin harada açıldığı və ondan nəyin sağ qaldığı
Tunel həmyaşıdında bitir. Əgər tətbiqin öz şifrələməsi daha uzağa uzanırsa, o, bu sərhəddən sağ çıxır; HTTPS üçün bu normal haldır: brauzerin sessiyası vebsaytda bitir, buna görə çıxış oxuya bilmədiyi şifrəli mətni ötürür.
Başqa heç nə defolt olaraq sağ qalmır. Şifrələnməmiş sorğu çıxışda elə oxunaqlıdır ki, kafedəki Wi-Fi-da da oxunaqlı idi və tunel tətbiqin heç vaxt malik olmadığı mühafizəni əlavə etmir. Eynilə, çıxışın firewall qaydaları və yönləndirmə siyasəti sonrakı addımı müəyyən edir; uğurlu əl sıxma həmyaşıd bağlantısı haqqında faktdır, səyahətin qalan hissəsi haqqında deyil.
Yük artımı digər görünən nəticədir. Hər paket əlavə başlıq daşıyır və xarici nəqliyyat öz başlığını əlavə edə bilər, ona görə paket başına istifadə oluna bilən faydalı yük azalır. Maksimal ötürmə vahidi sabit olan yolda tunelin pingi keçib böyük yükləməni dayandırmasının səbəbi məhz budur.
Tətbiqin həqiqətən getdiyi yolu yoxlayın
Son addım maşını ümumilikdə deyil, konkret tətbiqi təsdiqləməkdir. Təyinatı həll edin, həmin ünvan üçün marşruta baxın və sonra bağlantı açıq ikən onu müşahidə edin:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'Əgər marşrut tuneli göstərir, lakin soket siyahısı fiziki interfeysdən mənbə ünvanı olan bağlantı göstərirsə, tətbiq konkret bir şeyə bağlanıb və ya ikinci tunel defolt marşrut uğrunda yarışır. Bu marşrut məsələsidir və müştərinin status ekranından deyil, bu üç çıxışdan cavablandırıla bilər.
RFC 4301 təhlükəsizlik arxitekturası IPsec üçün bu bükmənin IP qatı versiyasını təsvir edir və eyni qat məntiqi WireGuard və OpenVPN üçün də keçərlidir. Daxili paketi və xarici paketi ayrı obyektlər kimi göstərə bildikdən sonra tunelin əksər davranışı sirr olmaqdan çıxır və oxuya bildiyiniz marşrut cədvəlinə çevrilir.