Beth mae TUN yn ei wneud, a beth sy'n rhaid i'r protocol VPN ei wneud o hyd

Mae trin tun0 a phrotocol VPN fel un peth yn anfon pobl at y log anghywir. Y rhyngwyneb yw'r ffin leol lle mae rhaglen yn y gofod defnyddiwr yn cyfnewid pecynnau IP â'r cnewyllyn. Y protocol yw'r hyn y mae'r rhaglen honno'n ei wneud â'r pecynnau unwaith y bydd ganddi nhw: cludiant, dilysu, amgryptio a chymar. Nid yw creu'r ddyfais yn dewis unrhyw un o'r rheini.

Dau gydran, un llwybr pecyn

Mae'r cnewyllyn yn ysgrifennu pecyn IP i'r ddyfais, ac mae'r rhaglen yn ei ddarllen o ddisgrifydd ffeil. I'r cyfeiriad arall mae'r rhaglen yn ysgrifennu pecyn yn ôl ac mae'r cnewyllyn yn ei lwybro fel pe bai wedi cyrraedd rhyngwyneb go iawn. Mae TUN yn cludo IP, tra mae TAP yn cludo fframiau Ethernet. Mae darllen pecyn ar y ffin honno'n dangos y fframio, a dyna'n union y mae'r ddyfais ar ei gyfer.

Mae popeth y tu hwnt i'r ffin honno'n fusnes i'r rhaglen. Gall dwy raglen ddefnyddio'r un cysyniad rhyngwyneb a gwneud pethau hollol wahanol â'r pecynnau. Nid oes gan y ddyfais ei hun unrhyw farn am yr hyn sy'n digwydd nesaf. Y disgrifydd ffeil yw'r unig ddolen sydd gan y rhaglen ar ochr y cnewyllyn.

Crëwch y ddyfais, yna gwyliwch y ffin

Crëwch ddyfais yn fwriadol pan fyddwch yn profi'r ffin. Mae dyfais barhaus yn goroesi'r broses a'i creodd, sy'n ddefnyddiol ar gyfer arbrofion ac yn ffynhonnell gyffredin o ddryswch wedyn. Gwiriwch y baneri a'r perchennog cyn beio'r VPN.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

Mae manylion y ddolen yn dangos math y ddyfais a'r perchennog cysylltiedig. Os nad oes proses yn ei chadw ar agor, mae pecynnau a ysgrifennir iddi yn mynd i unman. Gall dyfais heb broses gysylltiedig edrych yn iach mewn rhestr dolenni tra nad yw'n pasio dim.

Beth na all enw'r rhyngwyneb ei addo

Nid yw enw'r rhyngwyneb yn dweud dim am amgryptio na dilysu. Gall rhaglen lapio pecynnau mewn TLS, mewn protocol addasedig, mewn IPsec, neu mewn dim o gwbl. Mae dewis TUN yn lle TAP yn newid y fframio ar y ffin, nid y cynllun diogelwch. Mae'r dewis fframio yn real, ac mae'n llawer llai na'r cwestiwn diogelwch.

Mae canfod yn gweithio yr un ffordd: mae arsylwr yn gweld y protocol allanol ar y wifren, nid label sy'n dweud pa ddyfais leol a'i cynhyrchodd. Mae twndis sy'n edrych fel rhywbeth arall yn gwneud hynny oherwydd ei brotocol allanol, nid oherwydd enw ei ryngwyneb. Ni all arsylwr weld pa ddyfais leol a gynhyrchodd becyn, dim ond sut mae'r pecyn yn edrych. Cadwch y ddau gwestiwn hynny ar wahân pan fyddwch yn cymharu cynhyrchion, oherwydd nid yw un ateb byth yn awgrymu'r llall.

Cyfatebwch y cywiriad i'r cam sy'n methu

Gwahanwch y camau methu pan fydd rhywbeth yn torri. Mae dyfais ar goll, gwall caniatâd a mewngofnod a wrthodwyd yn rhoi tystiolaeth wahanol a chywiriadau gwahanol. Darllenwch y cyflwr lleol yn gyntaf, yna log y rhaglen ei hun, yna safbwynt y cymar. Darllenwch y tri cyn newid unrhyw beth.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Os yw'r ddyfais yn bodoli ac mae proses yn ei dal, mae'r ffin leol yn gweithio a'r broblem ymhellach allan. Os yw'r ddyfais ar goll, ni fydd unrhyw faint o wirio manylion mewngofnodi yn helpu. Mae cam y gallwch ei enwi yn gam y gallwch ei brofi. Mae dogfennaeth TUN/TAP yn disgrifio'r ffin a model y ddyfais.