VPN-Mitschnitt: innere Pakete auf tun0, Hülle auf eth0

Ein Mitschnitt auf einem VPN-Host zeichnet nicht eine einzige Sache auf. Der Kernel zeigt das Paket zweimal: eingehüllt am physischen Adapter und ausgepackt am Tunnelgerät. Die Schnittstelle zu wählen heißt zu wählen, welche dieser Geschichten Sie lesen. Die meisten Debatten darüber, was ein Mitschnitt beweist, sind eigentlich Debatten darüber, welche Geschichte gesammelt wurde.

Kapselung erzeugt zwei Ansichten

Der Tunnel nimmt das Paket, das eine Anwendung erzeugt hat, und steckt es in ein neues, dessen Ziel der VPN-Server ist. Die innere Form erscheint auf tun0, wg0 oder welches Gerät der Client auch erstellt hat. Die äußere Form erscheint auf dem Adapter, der sie ins Netzwerk trägt. Beide Formen sind legitim; sie beantworten unterschiedliche Fragen. Sammeln Sie jede getrennt, denn die beiden haben unterschiedliche Header und unterschiedliche Leser.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Die Pseudo-Schnittstelle any ist für diesen Vergleich eine schlechte Wahl. Weitergeleitete Pakete können doppelt erfasst werden, und ein lokal erzeugtes Paket erscheint in beiden Formen, was die Zählungen aufbläht. Wenn eine Zahl unmöglich erscheint, prüfen Sie die Schnittstelle, bevor Sie den Tunnel beschuldigen.

Im Tunnel ist das Paket gewöhnlich

Auf dem Tunnelgerät sehen Sie, was die Anwendung den Kernel gebeten hat zu senden. Zieladressen, Ports, DNS-Namen, TLS-Servernamen, Größen und Zeitverhalten sind alle da. Die TLS-Nutzlast bleibt durch die eigene Sitzung der Anwendung verschlüsselt, sodass der Mitschnitt keine Seiteninhalte preisgibt. Eine DNS-Abfrage im Klartext ist hier sichtbar, obwohl ihr Träger verschlüsselt ist, weil sie nie geschützt war.

Verschlüsseltes DNS entfernt dieses eine sichtbare Feld. Es verbirgt nicht die Zieladresse, die Byte-Anzahl oder den Rhythmus, die Eigenschaften des Flusses und nicht der Abfrage sind.

Draußen nur die Hülle und ihre Form

Der physische Adapter zeigt Ihre Adresse, die Adresse des Servers, den Port, Paketgrößen und Zeitverhalten. Die darin getragenen Ziele fehlen, obwohl ihre Form noch Rückschlüsse stützen kann. Größen und Kadenz können einen Videostream, eine Massenübertragung oder eine Chatsitzung nahelegen, ohne eines davon zu benennen. Ein naher Beobachter sieht ungefähr dieselbe Ansicht, was erklärt, wie ein Tunnel Websites verbergen kann, während er seine eigene Anwesenheit bewirbt.

Diese Behauptung hängt vom Routing ab. Eine engere Route, ein IPv6-Standard, der nicht in den Tunnel gelangt, oder ein an die physische Schnittstelle gebundener Prozess bringt den Verkehr außerhalb der Hülle. Lesen Sie die tatsächliche Route, bevor Sie Schlüsse aus dem Mitschnitt ziehen.

Peer-Adresse und Mitschnitt-Hygiene

OpenVPN im TCP-Modus hält einen etablierten Socket, sodass die Socket-Tabelle den Peer nennen kann. OpenVPN im UDP-Modus lässt den Socket oft unverbunden, und ss zeigt möglicherweise nur die lokale Seite. Lesen Sie stattdessen remote des Profils, ein ausführliches Client-Log oder die Route zum Endpunkt. WireGuard meldet seinen Endpunkt und den letzten Handshake direkt.

wg show
ss -tunp | grep 51820

Eine Mitschnittdatei überlebt die Sitzung, die sie erzeugt hat. Sie kann kopiert werden und für jeden mit lokalem Zugriff lesbar sein. Behalten Sie nur, was die Untersuchung braucht, beschränken Sie die Berechtigungen und löschen Sie sie, wenn die Arbeit erledigt ist.

Ein teilbarer Mitschnitt sollte sagen, welche Schnittstelle ihn erzeugt hat und wann. Ohne diese Notiz muss der nächste Leser raten, auf welche Schicht er blickt.