Καταγραφή VPN: εσωτερικά πακέτα στο tun0, φάκελος στο eth0

Η καταγραφή σε έναν κεντρικό υπολογιστή VPN δεν καταγράφει ένα μόνο πράγμα. Ο πυρήνας εκθέτει το πακέτο δύο φορές: τυλιγμένο, στον φυσικό προσαρμογέα, και ξετυλιγμένο, στη συσκευή σήραγγας. Η επιλογή της διεπαφής είναι η επιλογή τού ποια από αυτές τις ιστορίες διαβάζετε. Οι περισσότερες συζητήσεις για το τι αποδεικνύει μια καταγραφή είναι στην πραγματικότητα συζητήσεις για το ποια ιστορία συλλέχθηκε.

Η ενθυλάκωση δημιουργεί δύο όψεις

Η σήραγγα παίρνει το πακέτο που παρήγαγε μια εφαρμογή και το βάζει μέσα σε ένα νέο του οποίου ο προορισμός είναι ο διακομιστής VPN. Η εσωτερική μορφή εμφανίζεται στο tun0, στο wg0 ή σε όποια συσκευή δημιούργησε ο πελάτης. Η εξωτερική μορφή εμφανίζεται στον προσαρμογέα που τη μεταφέρει στο δίκτυο. Και οι δύο μορφές είναι νόμιμες· απαντούν σε διαφορετικά ερωτήματα. Συλλέξτε την καθεμία ξεχωριστά, γιατί οι δύο έχουν διαφορετικές κεφαλίδες και διαφορετικούς αναγνώστες.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Η ψευδοδιεπαφή any είναι κακή επιλογή για αυτή τη σύγκριση. Τα προωθούμενα πακέτα μπορούν να καταγραφούν δύο φορές, και ένα τοπικά παραγόμενο πακέτο εμφανίζεται και στις δύο μορφές, γεγονός που φουσκώνει τις μετρήσεις. Αν ένας αριθμός φαίνεται αδύνατος, ελέγξτε τη διεπαφή πριν κατηγορήσετε τη σήραγγα.

Μέσα στη σήραγγα το πακέτο είναι συνηθισμένο

Στη συσκευή σήραγγας, αυτό που βλέπετε είναι αυτό που ζήτησε η εφαρμογή από τον πυρήνα να στείλει. Διευθύνσεις προορισμού, θύρες, ονόματα DNS, ονόματα διακομιστών TLS, μεγέθη και χρονισμός είναι όλα εκεί. Το ωφέλιμο φορτίο TLS παραμένει κρυπτογραφημένο από τη συνεδρία της ίδιας της εφαρμογής, οπότε η καταγραφή δεν αποκαλύπτει το περιεχόμενο της σελίδας. Ένα ερώτημα DNS σε καθαρό κείμενο είναι ορατό εδώ παρόλο που ο φορέας του είναι κρυπτογραφημένος, γιατί ποτέ δεν προστατεύτηκε.

Το κρυπτογραφημένο DNS αφαιρεί αυτό το ένα ορατό πεδίο. Δεν κρύβει τη διεύθυνση προορισμού, τον αριθμό byte ή τον ρυθμό, που είναι ιδιότητες της ροής και όχι του ερωτήματος.

Έξω μόνο ο φάκελος και το σχήμα του

Ο φυσικός προσαρμογέας δείχνει τη διεύθυνσή σας, τη διεύθυνση του διακομιστή, τη θύρα, τα μεγέθη πακέτων και τον χρονισμό. Οι προορισμοί που μεταφέρονται μέσα απουσιάζουν, αν και το σχήμα τους μπορεί ακόμη να στηρίξει συμπεράσματα. Τα μεγέθη και ο ρυθμός μπορούν να υποδείξουν ροή βίντεο, μεγάλη μεταφορά ή συνεδρία συνομιλίας χωρίς να ονομάσουν καμία. Ένας κοντινός παρατηρητής βλέπει περίπου την ίδια εικόνα, πράγμα που εξηγεί πώς μια σήραγγα μπορεί να κρύβει ιστότοπους ενώ διαφημίζει την ίδια της την παρουσία.

Αυτός ο ισχυρισμός εξαρτάται από την δρομολόγηση. Μια στενότερη διαδρομή, μια προεπιλογή IPv6 που δεν μπαίνει στη σήραγγα ή μια διεργασία δεσμευμένη στη φυσική διεπαφή θα βάλουν την κίνηση έξω από τον φάκελο. Διαβάστε την πραγματική διαδρομή πριν βγάλετε συμπεράσματα από την καταγραφή.

Διεύθυνση ομοτίμου και υγιεινή καταγραφής

Το OpenVPN σε λειτουργία TCP διατηρεί έναν εδραιωμένο υποδοχέα, οπότε ο πίνακας υποδοχέων μπορεί να ονομάσει το ομότιμο. Το OpenVPN σε λειτουργία UDP συχνά αφήνει τον υποδοχέα ασύνδετο, και το ss μπορεί να δείχνει μόνο την τοπική πλευρά. Διαβάστε αντ' αυτού το remote του προφίλ, ένα λεπτομερές ημερολόγιο πελάτη ή τη διαδρομή προς το τελικό σημείο. Το WireGuard αναφέρει απευθείας το τελικό του σημείο και την τελευταία χειραψία.

wg show
ss -tunp | grep 51820

Ένα αρχείο καταγραφής επιβιώνει της συνεδρίας που το παρήγαγε. Μπορεί να αντιγραφεί και μπορεί να είναι αναγνώσιμο από οποιονδήποτε έχει τοπική πρόσβαση. Κρατήστε μόνο ό,τι χρειάζεται η έρευνα, περιορίστε τα δικαιώματα και διαγράψτε το όταν η εργασία τελειώσει.

Μια καταγραφή που μπορεί να μοιραστεί πρέπει να λέει ποια διεπαφή την παρήγαγε και πότε. Χωρίς αυτή τη σημείωση, ο επόμενος αναγνώστης πρέπει να μαντέψει σε ποιο επίπεδο κοιτάζει.