Beth yw twnnel VPN, a lle mae'r amddiffyniad yn gorffen

Mae'r cleient yn dweud ei fod wedi cysylltu, mae'r clo ar gau, ac mae safle'n dal i gofnodi cyfeiriad eich fflat. Nid oes dim wedi methu. Nid yw twnnel yn disodli eich Wi-Fi na'ch cyswllt symudol; mae'n rhoi ail amlen o amgylch rhai pecynnau ac yn anfon yr amlen honno ar draws y rhwydwaith oedd gennych yn barod. Mae deall y tric yn bennaf yn fater o ddilyn un cais a sylwi lle mae'r amlen yn cael ei hagor, oherwydd daw bron pob symptom dryslyd, o gyfeiriad cartref yn gollwng i lawrlwythiad mawr wedi sticio, o'r ffin honno.

Dwy amlen, un cyswllt corfforol

Mae eich gliniadur yn cadw ei gysylltiad arferol â'r llwybrydd, ac mae'r llwybrydd yn cadw ei gysylltiad arferol â'r darparwr. Nid oes dim ar y llwybr hwnnw'n newid pan fydd twnnel yn codi. Yr hyn sy'n newid yw bod pecynnau dethol yn cael eu trosglwyddo i ryngwyneb rhithwir, eu lapio y tu mewn i becyn newydd a gyfeirir at bartner VPN, a'u hanfon fel traffig cyffredin dros y cyswllt corfforol.

Y pen derbyn yw dyfais sy'n dadlapio'r amlen ac yn anfon y pecyn gwreiddiol ymlaen tuag at ei gyrchfan. Rhwng y ddau ben, mae arsylwr yn gweld y pennawd allanol a dim byd am yr un mewnol oni bai bod y protocol yn ei amgryptio, sy'n wir am y rhan fwyaf o brotocolau defnyddwyr ac nad yw'r dechneg gyffredinol yn ei gwneud yn ofynnol.

Dyma pam mae'r rhyngwyneb rhithwir yn real ac yn gamarweiniol ar yr un pryd. Mae'n bodoli fel gwrthrych cnewyllyn gyda chyfeiriad ac uned trosglwyddo uchaf, ac mae'r system weithredu yn llwybro traffig i mewn iddo fel i unrhyw ryngwyneb arall. Nid yw'n gebl, ac mae ei fodolaeth ond yn profi bod cydran wedi'i gosod. Ffynhonnell y penderfyniad a yw eich porwr yn ei ddefnyddio yw'r llwybrau, nid y ffaith bod y rhyngwyneb i fyny.

Gwyliwch un cais yn gwneud y daith

Dewiswch gyrchfan a gofynnwch i'r cnewyllyn pa ryngwyneb y bydd yn ei ddefnyddio. Mae'r un gorchymyn hwn yn setlo'r mwyafrif o ddadleuon ynghylch a yw'r twnnel yn gwneud unrhyw beth:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Os yw allbwn y llwybr yn enwi rhyngwyneb y twnnel, bydd y pecyn yn cael ei lapio. Os yw'n enwi'r rhyngwyneb corfforol, ni fydd, ac nid yw ailgychwyn y cleient yn newid hynny. Mae'r ail orchymyn yn dangos y ddau ryngwyneb ochr yn ochr, a dyna sut rydych yn sylwi ar dwnnel a gododd heb gyfeiriad neu gyda chyfeiriad o'r teulu anghywir.

Yna edrychwch ar y naid gyntaf o du mewn i'r amlen, a'i chymharu â'r naid gyntaf y tu allan:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Y tu mewn i'r twnnel, y naid gyntaf yw cyfeiriad mewnol y partner, nid eich llwybrydd. Mae'r dal ar ryngwyneb y twnnel yn dangos y pecynnau mewnol, sef y traffig y mae'r cymhwysiad yn credu ei fod yn ei anfon. Mae dal ar y rhyngwyneb corfforol ar yr un pryd yn dangos y pecynnau allanol, a'r ddau gyda'i gilydd yw'r arddangosiad cliriaf o'r hyn y mae twnnel yn ei wneud mewn gwirionedd.

Tri chyfeiriad, a dim ond un yn cael ei weld gan y safle

Mae pobl yn cymysgu'r rhain yn barhaus, ac mae'r dryswch yn cynhyrchu adroddiadau gollwng ffug. Maent yn feysydd gwahanol mewn penawdau gwahanol ag oesau gwahanol.

Y rhif wrth ymyl y gwneuthurwr rhithwir yw'r ail res. Nid dyma'r cyfeiriad y mae safle'n ei gofnodi, ac mae ei ddyfynnu fel eich IP cyhoeddus yn syml yn anghywir. Mae'r cyfeiriad y mae'r safle'n ei weld yn cael ei neilltuo gan yr allanfa, ac mewn twnnel rhwydwaith preifat efallai nad oes allanfa gyhoeddus o gwbl, oherwydd mae'r gyrchfan yn byw y tu mewn i'r sefydliad yn hytrach nag ar y rhyngrwyd.

Mae twnnel safle-i-safle yr un mecanwaith â phennau gwahanol. Mae dau lwybrydd yn lapio traffig rhwng rhwydweithiau, ac nid oes cleient wedi'i osod ar unrhyw ddyfais unigol. Mae'r amlen yr un fath mewn egwyddor, ond nid yw'r ffin weinyddol felly.

Lle mae'r amlen yn cael ei hagor, a beth sy'n goroesi hynny

Mae'r twnnel yn gorffen wrth ei bartner. Os yw amgryptio'r cymhwysiad ei hun yn ymestyn ymhellach, mae'n goroesi'r ffin honno, sef yr achos arferol ar gyfer HTTPS: mae sesiwn y porwr yn dod i ben ar y safle, felly mae'r allanfa'n anfon siferdestun na all ei ddarllen.

Nid oes dim arall yn goroesi yn ddiofyn. Mae cais heb ei amgryptio yn ddarllenadwy yn yr allanfa yn union fel yr oedd yn ddarllenadwy ar Wi-Fi'r caffi, ac nid yw'r twnnel yn ychwanegu amddiffyniad nad oedd gan y cymhwysiad erioed. Yn yr un modd, mae rheolau firewall a pholisi anfon yr allanfa yn penderfynu beth sy'n digwydd nesaf; mae ysgydwad llaw llwyddiannus yn ffaith am y cysylltiad â'r partner, nid am weddill y daith.

Mae'r gorben yn ganlyniad gweladwy arall. Mae pob pecyn yn cario pennawd ychwanegol, ac efallai y bydd y cludiant allanol yn ychwanegu un ei hun, felly mae'r llwyth defnyddiadwy fesul pecyn yn crebachu. Ar lwybr ag uned trosglwyddo uchaf sefydlog, dyna'n union pam y gall twnnel basio ping a stelcio uwchlwythiad mawr.

Gwiriwch y llwybr a gymerodd y cymhwysiad mewn gwirionedd

Y cam olaf yw cadarnhau'r cymhwysiad penodol, yn hytrach na'r peiriant yn gyffredinol. Datryswch y gyrchfan, edrychwch ar y llwybr ar gyfer y cyfeiriad hwnnw, ac yna arsylwch y cysylltiad tra mae ar agor:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Os yw'r llwybr yn enwi'r twnnel ond mae'r rhestr soced yn dangos cysylltiad â chyfeiriad ffynhonnell o'r rhyngwyneb corfforol, mae'r cymhwysiad wedi'i rwymo i rywbeth penodol, neu mae ail dwnnel yn cystadlu am y llwybr diofyn. Cwestiwn llwybro yw hwn, a gellir ei ateb o'r tri allbwn hyn yn hytrach nag o sgrin statws y cleient.

Pensaernïaeth diogelwch RFC 4301 sy'n disgrifio fersiwn haen IP o'r lapio hwn ar gyfer IPsec, ac mae'r un rhesymeg haenog yn berthnasol i WireGuard a OpenVPN. Unwaith y gallwch bwyntio at y pecyn mewnol a'r pecyn allanol fel gwrthrychau ar wahân, mae rhan fwyaf o ymddygiad twnnel yn peidio â bod yn ddirgel ac yn dod yn dabl llwybro y gallwch ei ddarllen.