Captura de VPN: paquets interns a tun0, embolcall a eth0

Capturar en un amfitrió VPN no enregistra una sola cosa. El nucli exposa el paquet dues vegades: embolcallat, a l’adaptador físic, i desembolcallat, al dispositiu de túnel. Triar la interfície és triar quina d’aquestes històries llegeixes. La majoria de discussions sobre què demostra una captura són en realitat discussions sobre quina història s’ha recollit.

L’encapsulament crea dues visions

El túnel agafa el paquet que ha produït una aplicació i el posa dins d’un de nou la destinació del qual és el servidor VPN. La forma interna apareix a tun0, wg0 o al dispositiu que hagi creat el client. La forma externa apareix a l’adaptador que la porta a la xarxa. Totes dues formes són legítimes; responen preguntes diferents. Recull cada una per separat, perquè les dues tenen capçaleres i lectors diferents.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

La pseudointerfície any és una mala tria per a aquesta comparació. Els paquets reenviats es poden enregistrar dues vegades, i un paquet generat localment apareix en totes dues formes, cosa que infla els recomptes. Si un nombre sembla impossible, comprova la interfície abans de culpar el túnel.

Dins del túnel, el paquet és ordinari

Al dispositiu de túnel, el que veus és el que l’aplicació va demanar al nucli que enviés. Adreces de destinació, ports, noms DNS, noms de servidor TLS, mides i temps hi són tots. La càrrega TLS continua xifrada per la sessió de la mateixa aplicació, així que la captura no revela el contingut de la pàgina. Una consulta DNS en text pla és visible aquí encara que el seu transport estigui xifrat, perquè mai no va estar protegida.

El DNS xifrat elimina aquest únic camp visible. No amaga l’adreça de destinació, el recompte de bytes ni el ritme, que són propietats del flux i no de la consulta.

A fora, només l’embolcall i la seva forma

L’adaptador físic mostra la teva adreça, l’adreça del servidor, el port, les mides dels paquets i el temps. Les destinacions portades a dins hi són absents, tot i que la seva forma encara pot permetre inferències. Les mides i la cadència poden suggerir un flux de vídeo, una transferència massiva o una sessió de xat sense anomenar-ne cap. Un observador proper veu aproximadament aquesta mateixa vista, cosa que explica com un túnel pot amagar llocs mentre anuncia la seva pròpia presència.

Aquesta afirmació depèn de l’encaminament. Una ruta més estreta, un IPv6 per defecte que no entra al túnel o un procés lligat a la interfície física posaran el trànsit fora de l’embolcall. Llegeix la ruta real abans de treure conclusions de la captura.

Adreça del par i higiene de la captura

L’OpenVPN en mode TCP manté un sòcol establert, així que la taula de sòcols pot anomenar el par. L’OpenVPN en mode UDP sovint deixa el sòcol desconnectat, i ss pot mostrar només el costat local. Llegeix en canvi el remote del perfil, un registre detallat del client o la ruta fins al punt final. WireGuard informa directament del seu punt final i de l’últim handshake.

wg show
ss -tunp | grep 51820

Un fitxer de captura sobreviu a la sessió que el va produir. Es pot copiar i pot ser llegible per qualsevol persona amb accés local. Conserva només el que necessita la investigació, restringeix els permisos i esborra’l quan la feina estigui feta.

Una captura compartible hauria de dir quina interfície la va produir i quan. Sense aquesta nota, el següent lector ha d’endevinar a quina capa està mirant.