VPN-kaptado: internaj pakaĵoj sur tun0, koverto sur eth0

Kaptado sur VPN-gastiganto ne registras unu solan aferon. La kerno elmontras la pakaĵon dufoje: envolvita, sur la fizika adaptilo, kaj malvolvita, sur la tunela aparato. Elekti la interfacon estas elekti, kiun el tiuj rakontoj vi legas. La plej multaj diskutoj pri tio, kion pruvas kaptaĵo, estas fakte diskutoj pri tio, kiu rakonto estis kolektita.

Enkapsuligo kreas du vidojn

La tunelo prenas la pakaĵon, kiun produktis aplikaĵo, kaj metas ĝin en nova, kies celo estas la VPN-servilo. La interna formo aperas sur tun0, wg0 aŭ kiu ajn aparato, kiun la kliento kreis. La ekstera formo aperas sur la adaptilo, kiu portas ĝin al la reto. Ambaŭ formoj estas legitimaj; ili respondas malsamajn demandojn. Kolektu ĉiun aparte, ĉar la du havas malsamajn kapojn kaj malsamajn legantojn.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

La pseŭdointerfaco any estas malbona elekto por ĉi tiu komparo. Plusenditaj pakaĵoj povas esti registritaj dufoje, kaj loke generita pakaĵo aperas en ambaŭ formoj, kio ŝveligas la nombrojn. Se nombro ŝajnas neebla, kontrolu la interfacon antaŭ ol kulpigi la tunelon.

En la tunelo la pakaĵo estas ordinara

Sur la tunela aparato, tio, kion vi vidas, estas tio, kion la aplikaĵo petis la kernon sendi. Celaj adresoj, pordoj, DNS-nomoj, TLS-servilnomoj, grandecoj kaj tempo ĉiuj estas tie. La TLS-ŝarĝo restas ĉifrita per la propra sesio de la aplikaĵo, do la kaptaĵo ne malkaŝas paĝan enhavon. DNS-demando en klarteksto estas videbla ĉi tie eĉ se ĝia portanto estas ĉifrita, ĉar ĝi neniam estis protektita.

Ĉifrita DNS forigas tiun unu videblan kampon. Ĝi ne kaŝas la celan adreson, la bajtokalkulon aŭ la ritmon, kiuj estas ecoj de la fluo prefere ol de la demando.

Ekstere nur la koverto kaj ĝia formo

La fizika adaptilo montras vian adreson, la adreson de la servilo, la pordon, pakaĵajn grandecojn kaj tempon. Celoj portitaj interne mankas, kvankam ilia formo ankoraŭ povas subteni inferencojn. Grandecoj kaj kadenco povas sugesti videan flupon, grandan transdonon aŭ babilsesion sen nomi iun ajn el ili. Proksima observanto vidas proksimume la saman vidon, kio klarigas, kiel tunelo povas kaŝi retejojn dum ĝi reklamas sian propran ĉeeston.

Tiu aserto dependas de enkursigo. Pli mallarĝa itinero, IPv6-defaŭlto, kiu ne eniras la tunelon, aŭ procezo ligita al la fizika interfaco metos trafikon ekster la koverton. Legu la faktan itineron antaŭ ol fari konkludojn el la kaptaĵo.

Adreso de la partnero kaj kapta higieno

OpenVPN en TCP-reĝimo tenas establitan konektilon, do la konektila tabelo povas nomi la partneron. OpenVPN en UDP-reĝimo ofte lasas la konektilon nekonektita, kaj ss eble montras nur la lokan flankon. Legu anstataŭe remote de la profilo, detalan klientan protokolon aŭ la itineron al la finpunkto. WireGuard raportas sian finpunkton kaj lastan manpremon rekte.

wg show
ss -tunp | grep 51820

Kapta dosiero postvivas la sesion, kiu produktis ĝin. Ĝi povas esti kopiita, kaj ĝi eble estas legebla de iu ajn kun loka aliro. Konservu nur tion, kion la esploro bezonas, limigu permesojn kaj forigu ĝin, kiam la laboro finiĝos.

Dividebla kaptaĵo devus diri, kiu interfaco produktis ĝin kaj kiam. Sen tiu noto, la sekva leganto devas diveni, kiun tavolon li rigardas.