Прихващане във VPN: вътрешни пакети на tun0, обвивка на eth0

Прихващането на VPN хост не записва едно-единствено нещо. Ядрото показва пакета два пъти: увит, на физическия адаптер, и разопакован, на тунелното устройство. Изборът на интерфейс е избор на това коя от тези истории четете. Повечето спорове за това какво доказва едно прихващане всъщност са спорове за това коя история е била събрана.

Инкапсулацията създава два изгледа

Тунелът взема пакета, който приложението е създало, и го поставя в нов, чиято дестинация е VPN сървърът. Вътрешната форма се появява на tun0, wg0 или каквото устройство е създал клиентът. Външната форма се появява на адаптера, който го носи към мрежата. И двете форми са законни; те отговарят на различни въпроси. Събирайте всяка поотделно, защото двете имат различни заглавки и различни читатели.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Псевдоинтерфейсът any е лош избор за това сравнение. Препратените пакети могат да бъдат записани два пъти, а локално генериран пакет се появява и в двете форми, което завишава броя. Ако дадено число изглежда невъзможно, проверете интерфейса, преди да обвините тунела.

Вътре в тунела пакетът е обикновен

На тунелното устройство това, което виждате, е това, което приложението е помолило ядрото да изпрати. Дестинационни адреси, портове, DNS имена, имена на TLS сървъри, размери и време са всички там. TLS полезният товар остава шифрован от собствената сесия на приложението, така че прихващането не разкрива съдържанието на страницата. DNS заявка в открит текст е видима тук, въпреки че носителят ѝ е шифрован, защото тя никога не е била защитена.

Шифрованият DNS премахва това едно видимо поле. Той не скрива дестинационния адрес, броя байтове или ритъма, които са свойства на потока, а не на заявката.

Отвън само обвивката и нейната форма

Физическият адаптер показва вашия адрес, адреса на сървъра, порта, размерите на пакетите и времето. Дестинациите, носени вътре, липсват, макар формата им все още да позволява изводи. Размерите и ритъмът могат да подскажат видео поток, голям трансфер или чат сесия, без да назовават нито едно от тях. Наблизо стоящият наблюдател вижда приблизително същата картина, което обяснява как един тунел може да скрива сайтове, докато рекламира собственото си присъствие.

Това твърдение зависи от маршрутизацията. По-тесен маршрут, IPv6 маршрут по подразбиране, който не влиза в тунела, или процес, вързан към физическия интерфейс, ще изведат трафика извън обвивката. Прочетете действителния маршрут, преди да правите изводи от прихващането.

Адрес на партньора и хигиена на прихващането

OpenVPN в TCP режим поддържа установен сокет, така че таблицата на сокетите може да назове партньора. OpenVPN в UDP режим често оставя сокета несвързан и ss може да покаже само локалната страна. Вместо това прочетете remote на профила, подробен клиентски журнал или маршрута до крайната точка. WireGuard отчита крайната точка и последното ръкостискане директно.

wg show
ss -tunp | grep 51820

Файлът с прихващането живее по-дълго от сесията, която го е създала. Може да бъде копиран и да бъде четим за всеки с локален достъп. Пазете само онова, което разследването изисква, ограничете правата и го изтрийте, когато работата приключи.

Споделяемото прихващане трябва да казва кой интерфейс го е създал и кога. Без тази бележка следващият читател трябва да гадае кой слой гледа.