Zer egiten du TUN-ek eta zer egin behar du oraindik VPN protokoloak

tun0 eta VPN protokoloa gauza bakartzat hartzeak jendea okerreko erregistrora bidaltzen du. Interfazea muga lokala da, non erabiltzaile-espazioko programa batek IP paketeak nukleoarekin trukatzen dituen. Protokoloa da programa horrek paketekin egiten duena, behin horiek dituenean: garraioa, autentifikazioa, enkriptatzea eta parekidea. Gailua sortzeak ez du horietako bat ere aukeratzen.

Bi osagai, pakete-bide bakarra

Nukleoak IP pakete bat idazten du gailuan, eta programak fitxategi-deskriptore batetik irakurtzen du. Beste noranzkoan programak pakete bat idazten du atzera eta nukleoak bideratzen du interfaze errealean iritsi balitz bezala. TUN-ek IP darama, eta TAP-ek Ethernet markoak. Muga horretan pakete bat irakurtzeak marko-egitura erakusten du, eta gailua zehazki horretarako da.

Muga horretatik harago dagoen guztia programaren kontua da. Bi programak interfaze kontzeptu bera erabili eta paketekin erabat desberdinak diren gauzak egin ditzakete. Gailuak berak ez du iritzirik gero zer gertatuko den. Fitxategi-deskriptorea da programak nukleoaren aldean duen helduleku bakarra.

Sortu gailua, eta gero begiratu muga

Sortu gailu bat nahita muga probatzen duzunean. Gailu iraunkorrak sortu zuen prozesua gainditzen du, eta hori erabilgarria da esperimentuetarako eta gero nahaste-iturri ohikoa. Egiaztatu banderak eta jabea VPN-a erruduntzat jo aurretik.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

Estekaren xehetasunek gailuaren mota eta erantsitako jabea erakusten ditu. Prozesu batek irekita ez badu, bertara idatzitako paketeak ez doaz inora. Prozesurik erantsi gabeko gailu bat osasuntsu itxura izan dezake esteken zerrendan, bitartean ezer pasatzen ez duela.

Zer ezin duen interfazearen izenak agindu

Interfazearen izenak ez du ezer esaten enkriptatzeari edo autentifikazioari buruz. Programa batek paketeak TLSn, bere protokoloan, IPsecen edo ezer ezerean biltzen ahal ditu. TAP ordez TUN aukeratzeak mugako marko-egitura aldatzen du, ez segurtasun-diseinua. Marko-egituraren hautaketa erreala da, eta segurtasun-galderak baino askoz txikiagoa.

Detekzioak modu berean egiten du lan: behatzaileak kanpoko protokoloa ikusten du kablean, ez paketea zein gailu lokalek sortu duen esaten duen etiketa bat. Beste zerbait dirudien tunelak hori egiten du kanpoko protokoloagatik, ez interfazearen izenagatik. Behatzaileak ezin du ikusi zein gailu lokalek sortu duen pakete bat, paketea nolakoa den bakarrik. Eutsi bi galdera horiei bereizita produktuak konparatzen dituzunean, erantzun batek inoiz ez baitu bestea inplikatzen.

Egokitu konponketa huts egiten duen etapari

Zerbait hautsi ondoren, banatu hutsegite-etapak. Gailu bat falta izateak, baimen-errore batek eta baztertutako saio-hasiera batek froga desberdinak eta konponketa desberdinak ematen dituzte. Irakurri lehenengo egoera lokala, gero programaren beraren erregistroa, gero parekidearen ikuspegia. Irakurri hirurak ezer aldatu aurretik.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Gailua badago eta prozesu batek eusten badio, muga lokala funtzionatzen ari da eta arazoa urrunago dago. Gailua falta bada, kredentzialen egiaztapenak ez du lagunduko, zenbat ere egin. Izena eman diezaiokezun etapa bat probatu dezakezun etapa bat da. TUN/TAP dokumentazioak muga eta gailuaren eredua deskribatzen ditu.