Captura de VPN: paquetes internos en tun0, sobre en eth0

Capturar en un host de VPN no registra una sola cosa. El núcleo expone el paquete dos veces: envuelto, en el adaptador físico, y desenvuelto, en el dispositivo de túnel. Elegir la interfaz es elegir cuál de esas historias se lee. La mayoría de las discusiones sobre qué demuestra una captura son en realidad discusiones sobre qué historia se recogió.

La encapsulación crea dos vistas

El túnel toma el paquete que produjo una aplicación y lo coloca dentro de uno nuevo cuyo destino es el servidor VPN. La forma interna aparece en tun0, wg0 o en cualquier dispositivo que haya creado el cliente. La forma externa aparece en el adaptador que lo lleva a la red. Ambas formas son legítimas; responden a preguntas distintas. Recoja cada una por separado, porque las dos tienen cabeceras y lectores diferentes.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

La pseudointerfaz any es una mala elección para esta comparación. Los paquetes reenviados pueden registrarse dos veces, y un paquete generado localmente aparece en ambas formas, lo que infla los recuentos. Si un número parece imposible, revise la interfaz antes de culpar al túnel.

Dentro del túnel, el paquete es corriente

En el dispositivo de túnel, lo que ve es lo que la aplicación pidió al núcleo que enviara. Las direcciones de destino, los puertos, los nombres DNS, los nombres de servidor TLS, los tamaños y el tiempo están todos ahí. La carga útil de TLS sigue cifrada por la sesión de la propia aplicación, así que la captura no revela el contenido de la página. Una consulta DNS en claro es visible aquí aunque su portador esté cifrado, porque nunca estuvo protegida.

El DNS cifrado elimina ese único campo visible. No oculta la dirección de destino, el recuento de bytes ni el ritmo, que son propiedades del flujo y no de la consulta.

Fuera, solo el sobre y su forma

El adaptador físico muestra su dirección, la del servidor, el puerto, los tamaños de paquete y el tiempo. Los destinos transportados dentro están ausentes, aunque su forma aún puede sustentar inferencias. Los tamaños y la cadencia pueden sugerir un flujo de vídeo, una transferencia masiva o una sesión de chat sin nombrar ninguno. Un observador cercano ve aproximadamente esta misma vista, lo que explica cómo un túnel puede ocultar sitios mientras anuncia su propia presencia.

Esa afirmación depende del enrutamiento. Una ruta más estrecha, un IPv6 por defecto que no entra en el túnel o un proceso ligado a la interfaz física pondrán el tráfico fuera del sobre. Lea la ruta real antes de sacar conclusiones de la captura.

Dirección del par e higiene de la captura

OpenVPN en modo TCP mantiene un socket establecido, así que la tabla de sockets puede nombrar al par. OpenVPN en modo UDP a menudo deja el socket sin conectar, y ss puede mostrar solo el lado local. Lea en su lugar remote del perfil, un registro detallado del cliente o la ruta al extremo. WireGuard informa directamente de su extremo y de su último handshake.

wg show
ss -tunp | grep 51820

Un archivo de captura sobrevive a la sesión que lo produjo. Se puede copiar y puede ser legible por cualquiera con acceso local. Guarde solo lo que necesita la investigación, restrinja los permisos y bórrelo cuando el trabajo esté hecho.

Una captura compartible debería decir qué interfaz la produjo y cuándo. Sin esa nota, el siguiente lector tiene que adivinar qué capa está mirando.