Faint o symau gwirio sydd gan becyn VPN? Mae'n dibynnu

Mae'r honiad bod pecyn VPN yn cario dau swm gwirio yn union yn swnio'n daclus ac yn ddigon aml yn anghywir i fod yn werth ei ddadansoddi. Mae'r nifer yn dibynnu ar ba fersiynau IP sy'n ymddangos, pa brotocol cludo sy'n cael ei gario a pha fformat gwarchod y mae'r twnnel yn ei ddefnyddio. Mae swm gwirio pennawd, swm gwirio haen uchaf a thag cyfanrwydd cryptograffig yn dri mecanwaith a thri chwmpas. Mae eu cyfrif yn dechrau drwy nodi beth mae pob un yn ei orchuddio.

Gwiriwch pa fersiynau IP sydd wir ar y gwifren

Mae penawdau IPv4 yn cario swm gwirio pennawd 16-did, ac nid yw penawdau IPv6 yn cario dim o'r fath. Mae'r ffaith unigol hon yn newid y nifer ar gyfer pob twnnel, oherwydd mae lapio IPv4 y tu mewn i IPv6 a lapio IPv6 y tu mewn i IPv4 yn cynhyrchu dogfennau gwahanol. Gall twnnel gario'r ddau deulu ar unwaith, ac yn yr achos hwnnw gall un cyfeiriad gynnwys maes sydd heb ei gymar yn y llall. Sefydlwch y fersiynau cyn cyfrif unrhyw beth o gwbl.

Ysgrifennwch y gosodiad fel rhestr o benawdau yn hytrach na llun. Mae'r drefn yn bwysig wrth ddarllen cipiad, a phresenoldeb neu absenoldeb y maes swm gwirio yw'r peth cyntaf i'w nodi.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Nid oes gan y llinell gyntaf swm gwirio pennawd IP yn unman yn ei phenawdau IP, tra mae gan yr ail ddau pan fo'r ddau bennawd yn IPv4. Yr un dechnoleg twnnel, nifer gwahanol, ac nid yw'r naill linell na'r llall yn fformat gwifren cyflawn.

Gwiriwch beth mae pob swm gwirio yn ei orchuddio

Y cwmpas yw'r rhan y mae pobl yn ei hepgor, a dyma sy'n rhoi ystyr i nifer. Mae swm gwirio pennawd IPv4 yn gwarchod y pennawd a dim arall, felly nid yw'n dweud dim am y llwyth defnyddiol y tu ôl iddo. Mae swm gwirio UDP dros IPv6 yn cwmpasu pennawd ffug ynghyd â phennawd a llwyth UDP, sy'n golygu ei fod yn cyrraedd i mewn i'r pecyn a gludir pan fo'r datagram yn cael ei dwnelu. Mae gan TCP ei swm gwirio ei hun â dibyniaeth debyg ar y pennawd ffug. Mae'r rhain yn dri chwmpas gwahanol er bod y tri yn cael eu galw'n symau gwirio.

Mae RFC 791 yn diffinio gwiriad pennawd IPv4 a'i ailgyfrifo ar bob naid, ac mae RFC 8200 yn diffinio'r driniaeth haen uchaf dros IPv6 gan gynnwys y pennawd ffug. Nid yw'r naill ddogfen na'r llall yn dweud bod pecyn VPN yn dal nifer sefydlog o symau gwirio, oherwydd nid yw'r naill na'r llall yn disgrifio twnnel.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Gwiriwch y gwarchod cyfanrwydd ar wahân

Mae cyfanrwydd ESP yn warchod cryptograffig â chwmpas ei hun a chynrychiolaeth sy'n dibynnu ar algorithm. Nid yw'n swm gwirio IP nac UDP o dan enw arall, ac mae ei hyd yn amrywio gyda'r gystrawen a ddewiswyd. Mae gwiriad cyfanrwydd yn cwmpasu rhan ddiffiniedig o'r pecyn, a all gynnwys pennawd ESP a rhan o'r llwyth yn dibynnu ar y modd a ddefnyddir. Cyfrif hyn fel maes swm gwirio o led hysbys yw'r man lle mae'r rhan fwyaf o'r esboniadau hyn yn chwalu.

Darllenwch y gystrawen a ddewiswyd cyn cyfrif beitiau, a disgrifiwch y canlyniad fel gwarchod cyfanrwydd yn hytrach na swm gwirio â label gwahanol. Bydd y dadgodwr yn enwi'r maes i chi os gofynnwch iddo.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Gwiriwch y man arsylwi cyn cyfrif

Gall cipiad ar y rhyngwyneb mewnol a chipiad ar y wifren ddangos haenau hollol wahanol. Ar y rhyngwyneb mewnol mae'r twnnel eisoes wedi'i dynnu, felly gwelwch y pecyn a gludir ac nid un o'r penawdau allanol. Ar y wifren gwelwch y penawdau allanol a llwyth wedi'i amgryptio na allwch ei ddarllen. Nid yw'r naill olwg na'r llall yn anghywir, ac nid ydynt yn olygfeydd o'r un gwrthrych. Nodwch ble cymerwyd y cipiad cyn dyfynnu unrhyw nifer.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Mae'r gorchymyn cyntaf yn dangos y pecyn allanol gyda'i drel cyfanrwydd, a'r ail yn dangos y pecyn a gludir gyda'i swm gwirio cludo ei hun. Nid yw adio rhifau o'r ddau gipiad yn cyfrif unrhyw beth ddwywaith, ond mae'n esbonio'r un pecyn ddwywaith.

Cymharwch y nifer â chipiad go iawn

Dadgodwch un pecyn yn llawn a nodwch bob maes y mae'r dadgodwr yn ei alw'n swm gwirio neu'n werth cyfanrwydd. Yna cymharwch bob marc â'r gosodiad a ysgrifennwyd gennych, a dilëwch unrhyw un sy'n perthyn i haen nad ydych yn ei chyfrif mewn gwirionedd. Mae nifer sy'n goroesi'r ymarferiad hwnnw yn amddiffynadwy, ac nid yw nifer a ddyfynnir o'r cof.

Ailadroddwch ar gyfer cyfeiriad yr ateb, oherwydd gall twnnel sy'n cario'r ddau deulu fod yn wahanol fesul cyfeiriad a fesul ffrwd. Yna nodwch y nifer gyda'i gwmpas, er enghraifft tri swm gwirio ar gyfer y pecyn mewnol hwn yn y man arsylwi hwn, yn hytrach nag fel priodwedd pecynnau VPN yn gyffredinol.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum