VPN-optagelse: indre pakker på tun0, kuvert på eth0

Optagelse på en VPN-vært registrerer ikke én enkelt ting. Kernen viser pakken to gange: pakket ind, på den fysiske adapter, og pakket ud, på tunnel-enheden. At vælge grænsefladen er at vælge, hvilken af de historier du læser. De fleste diskussioner om, hvad en optagelse beviser, er i virkeligheden diskussioner om, hvilken historie der blev samlet ind.

Indkapsling skaber to visninger

Tunnelen tager den pakke, en applikation har produceret, og lægger den inde i en ny, hvis destination er VPN-serveren. Den indre form vises på tun0, wg0 eller hvilken enhed klienten nu har oprettet. Den ydre form vises på den adapter, der bærer den ud til netværket. Begge former er legitime; de besvarer forskellige spørgsmål. Indsaml hver især særskilt, fordi de to har forskellige headers og forskellige læsere.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-grænsefladen any er et dårligt valg til denne sammenligning. Videresendte pakker kan registreres to gange, og en lokalt genereret pakke optræder i begge former, hvilket puster tællingerne op. Hvis et tal ser umuligt ud, så kontroller grænsefladen, før du giver tunnelen skylden.

Inde i tunnelen er pakken ganske almindelig

På tunnel-enheden er det, du ser, det, applikationen bad kernen om at sende. Destinationsadresser, porte, DNS-navne, TLS-servernavne, størrelser og timing er der alle sammen. TLS-payloaden forbliver krypteret af applikationens egen session, så optagelsen afslører ikke sideindhold. En DNS-forespørgsel i klartekst er synlig her, selv om dens bærer er krypteret, fordi den aldrig var beskyttet.

Krypteret DNS fjerner det ene synlige felt. Det skjuler ikke destinationsadressen, byteantallet eller rytmen, som er egenskaber ved strømmen snarere end ved forespørgslen.

Udenfor kun kuverten og dens form

Den fysiske adapter viser din adresse, serverens adresse, porten, pakkestørrelser og timing. Destinationer båret indeni er fraværende, selv om deres form stadig kan understøtte slutninger. Størrelser og kadence kan antyde en videostream, en stor overførsel eller en chatsession uden at nævne nogen af dem. En observatør i nærheden ser omtrent samme billede, hvilket forklarer, hvordan en tunnel kan skjule websteder, mens den reklamerer for sin egen tilstedeværelse.

Den påstand afhænger af routing. En smallere rute, en IPv6-standardrute, der ikke går ind i tunnelen, eller en proces bundet til den fysiske grænseflade vil lægge trafik uden for kuverten. Læs den faktiske rute, før du drager konklusioner af optagelsen.

Peer-adresse og optagelseshygiejne

OpenVPN i TCP-tilstand holder en etableret socket, så socket-tabellen kan navngive peeren. OpenVPN i UDP-tilstand efterlader ofte socket'en uforbundet, og ss viser måske kun den lokale side. Læs i stedet profilets remote, en detaljeret klientlog eller ruten til endepunktet. WireGuard rapporterer sit endepunkt og seneste handshake direkte.

wg show
ss -tunp | grep 51820

En optagelsesfil overlever den session, der frembragte den. Den kan kopieres, og den kan være læsbar for alle med lokal adgang. Gem kun det, undersøgelsen har brug for, begræns tilladelserne, og slet den, når arbejdet er gjort.

En optagelse, der kan deles, bør sige, hvilken grænseflade der frembragte den, og hvornår. Uden den note må den næste læser gætte, hvilket lag de kigger på.