VPN snimanje: unutrašnji paketi na tun0, omotač na eth0

Snimanje na VPN hostu ne bilježi jednu jedinu stvar. Jezgro izlaže paket dvaput: umotan, na fizičkom adapteru, i otvoren, na tunelskom uređaju. Odabir interfejsa bira koju od tih priča čitate. Većina rasprava o tome šta snimanje dokazuje zapravo su rasprave o tome koja je priča prikupljena.

Enkapsulacija stvara dva pogleda

Tunel uzima paket koji je aplikacija proizvela i stavlja ga unutar novog čije je odredište VPN server. Unutrašnji oblik se pojavljuje na tun0, wg0 ili kojem god uređaju je klijent stvorio. Vanjski oblik se pojavljuje na adapteru koji ga nosi u mrežu. Oba oblika su legitimna; oni odgovaraju na različita pitanja. Prikupite svaki zasebno, jer dva imaju različita zaglavlja i različite čitače.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-interfejs any loš je izbor za ovo poređenje. Proslijeđeni paketi mogu biti zabilježeni dvaput, a lokalno generisan paket pojavljuje se u oba oblika, što napuhava brojeve. Ako neki broj izgleda nemoguć, provjerite interfejs prije nego okrivite tunel.

Unutar tunela paket je običan

Na tunelskom uređaju, ono što vidite je ono što je aplikacija zamolila jezgro da pošalje. Odredišne adrese, portovi, DNS imena, TLS imena servera, veličine i vrijeme sve su tu. TLS korisni teret ostaje šifrovan sesijom same aplikacije, pa snimanje ne otkriva sadržaj stranice. DNS upit u čistom tekstu vidljiv je ovdje iako je njegov nosač šifrovan, jer nikada nije bio zaštićen.

Šifrovani DNS uklanja to jedno vidljivo polje. On ne skriva odredišnu adresu, broj bajtova ni ritam, koji su svojstva toka, a ne upita.

Spolja samo omotač i njegov oblik

Fizički adapter pokazuje vašu adresu, adresu servera, port, veličine paketa i vrijeme. Odredišta nošena unutra izostaju, iako njihov oblik još može podržati zaključivanje. Veličine i ritam mogu sugerisati video tok, veliki prenos ili razgovor, a da nijedno ne imenuju. Obližnji posmatrač vidi približno istu sliku, što objašnjava kako tunel može sakriti sajtove dok oglašava sopstveno prisustvo.

Ta tvrdnja zavisi od rutiranja. Uža ruta, IPv6 zadana ruta koja ne ulazi u tunel, ili proces vezan za fizički interfejs staviće saobraćaj izvan omotača. Pročitajte stvarnu rutu prije nego izvedete zaključke iz snimanja.

Adresa partnera i higijena snimanja

OpenVPN u TCP režimu drži uspostavljen socket, pa tabela socketa može navesti partnera. OpenVPN u UDP režimu često ostavlja socket nepovezanim, a ss može pokazati samo lokalnu stranu. Pročitajte umjesto toga remote profila, detaljan klijentski dnevnik ili rutu do krajnje točke. WireGuard direktno prijavljuje svoju krajnju točku i posljednje rukovanje.

wg show
ss -tunp | grep 51820

Datoteka snimanja nadživi sesiju koja ju je proizvela. Može se kopirati i može biti čitljiva svakome s lokalnim pristupom. Čuvajte samo ono što istraga zahtijeva, ograničite dozvole i izbrišite je kad posao bude gotov.

Snimanje koje se može dijeliti treba reći koji interfejs ga je proizveo i kada. Bez te napomene sljedeći čitalac mora nagađati na koji sloj gleda.