VPN-i püüdmine: sisemised paketid tun0-l, ümbrik eth0-l

VPN-i hostis püüdmine ei salvesta ühtainust asja. Kernel paljastab paketi kaks korda: mähitud kujul füüsilisel adapteril ja lahtipakitud kujul tunnelseadmel. Liidese valimine tähendab valimist, millist neist lugudest te loete. Enamik vaidlusi selle üle, mida püüdmine tõestab, on tegelikult vaidlused selle üle, milline lugu koguti.

Kapseldamine loob kaks vaadet

Tunnel võtab paketi, mille rakendus lõi, ja paneb selle uue sisse, mille sihtkohaks on VPN-i server. Sisemine kuju ilmub tun0, wg0 või mis tahes seadmel, mille klient lõi. Välimine kuju ilmub adapteril, mis kannab selle võrku. Mõlemad kujud on legitiimsed; need vastavad erinevatele küsimustele. Koguge kumbki eraldi, sest neil on erinevad päised ja erinevad lugejad.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-liides any on selleks võrdluseks halb valik. Edastatud pakette saab salvestada kaks korda ja kohapeal loodud pakett ilmub mõlemas kujus, mis paisutab arve. Kui mõni arv tundub võimatu, kontrollige liidest enne, kui tunnelit süüdistate.

Tunneli sees on pakett tavaline

Tunnelseadmel on see, mida te näete, see, mida rakendus palus kernelil saata. Sihtkoha aadressid, pordid, DNS-nimed, TLS-i serverinimed, suurused ja ajastus on kõik seal. TLS-i kasulik koormus jääb rakenduse enda sessiooniga krüpteerituks, seega püüdmine ei paljasta lehe sisu. Lihttekstiline DNS-päring on siin nähtav, kuigi selle kandja on krüpteeritud, sest seda ei kaitstud kunagi.

Krüpteeritud DNS eemaldab selle ühe nähtava välja. See ei peida sihtkoha aadressi, baidiarvu ega rütmi, mis on voolu, mitte päringu omadused.

Väljas ainult ümbrik ja selle kuju

Füüsiline adapter näitab teie aadressi, serveri aadressi, porti, paketi suurusi ja ajastust. Sees kantud sihtkohad puuduvad, kuigi nende kuju võib endiselt järeldusi toetada. Suurused ja rütm võivad vihjata videovoo, suure ülekande või vestlussessiooni kohta, nimetamata neist ühtegi. Lähedal asuv vaatleja näeb ligikaudu sama pilti, mis selgitab, kuidas tunnel saab saite varjata, reklaamides samal ajal oma kohalolu.

See väide sõltub marsruutimisest. Kitsam marsruut, IPv6 vaikemarsruut, mis tunnelisse ei sisene, või füüsilise liidesega seotud protsess viivad liikluse ümbrikust välja. Lugege tegelikku marsruuti enne, kui teete püüdmisest järeldusi.

Partneri aadress ja püüdmise hügieen

TCP-režiimis OpenVPN hoiab loodud socketit, seega saab socketite tabel partnerit nimetada. UDP-režiimis OpenVPN jätab socketi sageli ühendamata ja ss võib näidata ainult kohalikku poolt. Lugege selle asemel profiili remote, üksikasjalikku kliendilogid või marsruuti lõpp-punktini. WireGuard teatab oma lõpp-punkti ja viimase kätluse otse.

wg show
ss -tunp | grep 51820

Püüdmisfail elab kauem kui sessioon, mis selle lõi. Seda saab kopeerida ja see võib olla loetav kõigile, kellel on kohalik juurdepääs. Hoidke ainult seda, mida uurimine vajab, piirake õigusi ja kustutage see, kui töö on tehtud.

Jagatav püüdmine peaks ütlema, milline liides selle lõi ja millal. Ilma selle märkuseta peab järgmine lugeja oletama, millist kihti ta vaatab.