VPN ক্যাপচার: tun0-এ ভিতরের প্যাকেট, eth0-এ খাম

একটি VPN হোস্টে ক্যাপচার করা একটিমাত্র জিনিস রেকর্ড করে না। কার্নেল প্যাকেটটি দুবার প্রকাশ করে: ফিজিক্যাল অ্যাডাপ্টারে মোড়ানো, আর টানেল ডিভাইসে খোলা। ইন্টারফেস বেছে নেওয়া মানে এই গল্পগুলোর মধ্যে কোনটি আপনি পড়বেন তা বেছে নেওয়া। ক্যাপচার কী প্রমাণ করে তা নিয়ে বেশিরভাগ বিতর্ক আসলে কোন গল্পটি সংগ্রহ করা হয়েছে তা নিয়ে বিতর্ক।

এনক্যাপসুলেশন দুটি দৃষ্টিভঙ্গি তৈরি করে

টানেল অ্যাপ্লিকেশন যে প্যাকেট তৈরি করেছে তা নিয়ে তার ভেতরে নতুন একটি প্যাকেট রাখে যার গন্তব্য VPN সার্ভার। ভিতরের রূপটি tun0, wg0 বা ক্লায়েন্ট যে ডিভাইসই তৈরি করুক সেখানে দেখা যায়। বাইরের রূপটি সেই অ্যাডাপ্টারে দেখা যায় যা এটি নেটওয়ার্কে বহন করে। দুটি রূপই বৈধ; তারা ভিন্ন প্রশ্নের উত্তর দেয়। প্রতিটি আলাদাভাবে সংগ্রহ করুন, কারণ দুটির হেডার ও পাঠক আলাদা।

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

এই তুলনার জন্য সিউডো-ইন্টারফেস any খারাপ পছন্দ। ফরওয়ার্ড করা প্যাকেট দুবার রেকর্ড হতে পারে, আর স্থানীয়ভাবে তৈরি প্যাকেট দুটি রূপেই দেখা যায়, যা গণনা বাড়িয়ে দেয়। কোনো সংখ্যা অসম্ভব মনে হলে টানেলকে দোষ দেওয়ার আগে ইন্টারফেসটি দেখুন।

টানেলের ভেতরে প্যাকেটটি সাধারণ

টানেল ডিভাইসে আপনি যা দেখেন তা-ই অ্যাপ্লিকেশন কার্নেলকে পাঠাতে বলেছিল। গন্তব্য ঠিকানা, পোর্ট, DNS নাম, TLS সার্ভার নাম, আকার ও সময় সবই সেখানে আছে। TLS পেলোড অ্যাপ্লিকেশনের নিজের সেশনে এনক্রিপ্টেড থাকে, তাই ক্যাপচার পৃষ্ঠার বিষয়বস্তু প্রকাশ করে না। প্লেইনটেক্সট DNS কোয়েরি এখানে দৃশ্যমান, যদিও এর বাহক এনক্রিপ্টেড, কারণ এটি প্রথম থেকেই সুরক্ষিত ছিল না।

এনক্রিপ্টেড DNS সেই একটি দৃশ্যমান ক্ষেত্র সরিয়ে দেয়। এটি গন্তব্য ঠিকানা, বাইট সংখ্যা বা ছন্দ লুকায় না, যা প্রশ্নের নয় বরং প্রবাহের বৈশিষ্ট্য।

বাইরে শুধু খাম ও তার আকৃতি

ফিজিক্যাল অ্যাডাপ্টার আপনার ঠিকানা, সার্ভারের ঠিকানা, পোর্ট, প্যাকেটের আকার ও সময় দেখায়। ভেতরে বহন করা গন্তব্য অনুপস্থিত, যদিও তাদের আকৃতি এখনও অনুমানকে সহায়তা করতে পারে। আকার ও ছন্দ কোনোটি না নামিয়েই ভিডিও স্ট্রিম, বড় স্থানান্তর বা চ্যাট সেশন নির্দেশ করতে পারে। কাছের পর্যবেক্ষক প্রায় একই দৃশ্য দেখেন, যা ব্যাখ্যা করে কীভাবে একটি টানেল নিজের উপস্থিতি বিজ্ঞাপন দিয়েও সাইট লুকাতে পারে।

এই দাবি রাউটিংয়ের উপর নির্ভর করে। আরও সংকীর্ণ রুট, টানেলে না ঢোকা IPv6 ডিফল্ট, বা ফিজিক্যাল ইন্টারফেসে বাঁধা প্রসেস ট্রাফিককে খামের বাইরে রাখবে। ক্যাপচার থেকে সিদ্ধান্তে পৌঁছানোর আগে প্রকৃত রুটটি পড়ুন।

পিয়ার ঠিকানা ও ক্যাপচার স্বাস্থ্যবিধি

TCP মোডের OpenVPN একটি প্রতিষ্ঠিত সকেট রাখে, তাই সকেট টেবিল পিয়ারকে নাম দিতে পারে। UDP মোডের OpenVPN প্রায়ই সকেটটিকে অ-সংযুক্ত রাখে, আর ss শুধু স্থানীয় দিক দেখাতে পারে। পরিবর্তে প্রোফাইলের remote, বিস্তারিত ক্লায়েন্ট লগ বা এন্ডপয়েন্টের রুট পড়ুন। WireGuard সরাসরি তার এন্ডপয়েন্ট ও সর্বশেষ হ্যান্ডশেক জানায়।

wg show
ss -tunp | grep 51820

একটি ক্যাপচার ফাইল যে সেশন এটি তৈরি করেছে তার চেয়ে বেশি দিন টিকে থাকে। এটি কপি করা যায়, এবং স্থানীয় অ্যাক্সেস আছে এমন যে কেউ এটি পড়তে পারে। তদন্তের যা দরকার কেবল তাই রাখুন, অনুমতি সীমিত করুন, এবং কাজ শেষ হলে এটি মুছে ফেলুন।

ভাগ করা যায় এমন ক্যাপচারের উচিত কোন ইন্টারফেস এটি তৈরি করেছে এবং কখন তা বলা। সেই নোট ছাড়া পরের পাঠককে অনুমান করতে হয় সে কোন স্তর দেখছে।