VPN harrapaketa: barneko paketeak tun0-n, gutun-azala eth0-n

VPN ostalari batean harrapatzeak ez du gauza bakarra erregistratzen. Kernelak paketea bitan erakusten du: bilduta, adaptagailu fisikoan, eta irekita, tunel gailuan. Interfazea aukeratzea istorio horietako zein irakurtzen duzun aukeratzea da. Harrapaketa batek zer frogatzen duenari buruzko eztabaida gehienak, egia esan, zein istorio bildu zenari buruzkoak dira.

Kapsulatzeak bi ikuspegi sortzen ditu

Tunelak aplikazio batek sortutako paketea hartu eta VPN zerbitzaria helmuga duen beste baten barruan jartzen du. Barneko forma tun0, wg0 edo bezeroak sortu zuen edozein gailutan agertzen da. Kanpoko forma sareara daraman adaptagailuan agertzen da. Bi formak legitimoak dira; galdera desberdinei erantzuten diete. Bildu bakoitza bereiz, biak goiburu eta irakurle desberdinak dituztelako.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

any pseudo-interfazea aukera txarra da konparazio honetarako. Birbidalitako paketeak bitan erregistra daitezke, eta tokian sortutako paketea bi formetan agertzen da, eta horrek zenbakiak puzten ditu. Zenbaki bat ezinezkoa iruditzen bazaizu, egiaztatu interfazea tunela errudun egin aurretik.

Tunelaren barruan paketea arrunta da

Tunel gailuan, ikusten duzuna aplikazioak kernelari bidaltzeko eskatu ziona da. Helmuga helbideak, portuak, DNS izenak, TLS zerbitzari izenak, tamainak eta denbora denak daude han. TLS karga aplikazioaren beraren saioak zifratuta jarraitzen du, beraz harrapaketak ez du orriaren edukia agerian uzten. Testu arrunteko DNS kontsulta hemen ikusgai dago bere garraiatzailea zifratuta egon arren, inoiz ez zelako babestu.

DNS zifratuak ikusgai dagoen eremu hori kentzen du. Ez du ezkutatzen helmuga helbidea, byte kopurua edo erritmoa, fluxuaren ezaugarriak baitira, ez kontsultarenak.

Kanpoan gutun-azala eta haren forma soilik

Adaptagailu fisikoak zure helbidea, zerbitzariaren helbidea, portua, paketeen tamainak eta denbora erakusten ditu. Barruan garraiatutako helmugak falta dira, nahiz eta haien formak oraindik inferentziak onar ditzakeen. Tamainek eta kadentziak bideo-fluxu bat, transferentzia handi bat edo txat-saio bat iradoki dezakete, horietako bat ere izendatu gabe. Inguruko behatzaileak gutxi gorabehera ikuspegi bera ikusten du, eta horrek azaltzen du nola tunel batek guneak ezkuta ditzakeen bere presentzia aldarrikatzen duen bitartean.

Baieztapen hori bideratzearen mende dago. Bide estuago batek, tunelera sartzen ez den IPv6 lehenetsi batek edo interfaze fisikora lotutako prozesu batek trafikoa gutun-azaletik kanpo jarriko du. Irakurri benetako bidea harrapaketatik ondorioak atera aurretik.

Parearen helbidea eta harrapaketaren higienea

TCP moduko OpenVPN-k socket ezarri bat mantentzen du, beraz socket taulak pareari izena eman diezaioke. UDP moduko OpenVPN-k socket-a konektatu gabe uzten du sarritan, eta ss tokiko aldea soilik erakutsi dezake. Irakurri horren ordez profileko remote, bezeroaren log zehatza edo muturreko punturako bidea. WireGuard-ek zuzenean jakinarazten ditu bere muturreko puntua eta azken handshakea.

wg show
ss -tunp | grep 51820

Harrapaketa fitxategi bat sortu zuen saioa baino gehiago bizi da. Kopiatu daiteke, eta tokiko sarbidea duen edonork irakur dezake. Gorde ikerketak behar duena soilik, murriztu baimenak eta ezabatu lana amaituta dagoenean.

Parteka daitekeen harrapaketa batek esan beharko luke zein interfazek sortu zuen eta noiz. Ohar hori gabe, hurrengo irakurleak asmatu behar du zein geruzari begiratzen dion.