Zer da VPN tunel bat eta non amaitzen da babesa

Bezeroak konektatuta dagoela dio, giltzarrapoa itxita dago, eta gune batek zure etxebizitzaren helbidea erregistratzen jarraitzen du. Ez da ezer huts egin. Tunel batek ez du zure Wi-Fi edo mugikor konexioa ordezkatzen; pakete jakin batzuen inguruan bigarren gutun-azal bat jartzen du eta gutun-azal hori jada zenuen sarean zehar bidaltzen du. Trikimailua ulertzea, batez ere, eskaera bat jarraitzea eta gutun-azala non irekitzen den nabaritzea da, ia sintoma nahasgarri guztiak, etxeko helbidea ihes egitetik deskarga handi bat trabatzera, muga horretatik datozelako.

Bi gutun-azal, esteka fisiko bat

Zure eramangarriak ohiko konexioa mantentzen du routerrarekin, eta routerrak ohiko konexioa mantentzen du hornitzailearekin. Bide horretan ez da ezer aldatzen tunela altxatzen denean. Aldatzen dena da pakete hautatuak interfaze birtual bati ematen zaizkiola, VPN parekideari zuzendutako pakete berri baten barruan biltzen direla eta esteka fisikoan zehar trafiko arrunt gisa bidaltzen direla.

Harrera muturra gutun-azala irekitzen duen eta jatorrizko paketea bere helmugara birbidaltzen duen gailu bat da. Bi muturren artean, behatzaile batek kanpoko goiburua ikusten du eta barrukoari buruz ezer ez, protokoloak zifratzen ez badu, eta hori kontsumo protokolo gehienek egiten dute eta teknika orokorrak ez du eskatzen.

Horregatik da interfaze birtuala aldi berean erreala eta engainagarria. Kernel objektu gisa existitzen da, helbide batekin eta gehienezko transmisio unitate batekin, eta sistema eragileak trafikoa bertara bideratzen du beste edozein interfazetara bezala. Ez da kable bat, eta haren existentziak osagai bat instalatuta dagoela baino ez du frogatzen. Zure nabigatzaileak erabiltzen duen ala ez bideek erabakitzen dute, ez interfazea aktibo egoteak.

Ikusi eskaera bat bidaian

Aukeratu helmuga bat eta galdetu kernelari zein interfaze erabiliko duen. Agindu bakar honek tunelak ezer egiten duen ala ez eztabaida gehienak konpontzen ditu:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Bidearen irteerak tunelaren interfazea aipatzen badu, paketea bildu egingo da. Interfaze fisikoa aipatzen badu, ez da bilduko, eta bezeroa berrabiarazteak ez du hori aldatzen. Bigarren aginduak bi interfazeak elkarren ondoan erakusten ditu, eta horrela antzematen duzu helbiderik gabe edo familia okerreko helbide batekin altxatu den tunel bat.

Ondoren begiratu gutun-azalaren barruko lehen jauzia, eta alderatu kanpoko lehen jauziarekin:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Tunelaren barruan lehen jauzia parekidearen barruko helbidea da, ez zure routerra. Tunelaren interfazean egindako harrapaketak barruko paketeak erakusten ditu, hau da, aplikazioak bidaltzen ari dela uste duen trafikoa. Aldi berean interfaze fisikoan harrapatzeak kanpoko paketeak erakusten ditu, eta biak batera tunelak benetan egiten duenaren erakustaldirik argiena dira.

Hiru helbide, eta guneari bat baino ez zaio agertzen

Jendeak etengabe nahasten ditu hauek, eta nahasteak ihes-txosten faltsuak sortzen ditu. Eremu ezberdinak dira goiburu ezberdinetan, bizitza ezberdinekin.

Adapter birtualaren ondoko zenbakia bigarren errenkada da. Ez da gune batek erregistratzen duen helbidea, eta zure IP publiko gisa aipatzea huts-hutsik okerra da. Gune batek ikusten duen helbidea irteerak esleitzen du, eta sare pribatuko tunel batean agian ez dago irteera publikorik, helmuga erakundearen barruan bizi delako, ez internetean.

Guneen arteko tunel bat mekanismo bera da mutur desberdinekin. Bi routerrek trafikoa biltzen dute sareen artean, eta inongo gailu bakarrak ez du bezero bat instalatuta. Gutun-azala printzipioz berdina da, eta muga administratiboa ez.

Non irekitzen da gutun-azala, eta zer irauten du horrek

Tunela bere parekidean amaitzen da. Aplikazioaren zifratze propioak harago iristen bada, muga hori gainditzen du, eta hori da HTTPSren kasu arrunta: nabigatzailearen saioa gunean amaitzen da, beraz irteerak ezin duen zifratutako testua birbidaltzen du.

Beste ezerk ez du lehenespenez irauten. Zifratu gabeko eskaera bat irteeran irakurgarria da kafetegiko Wi-Fian irakurgarria zen bezalaxe, eta tunelak aplikazioak inoiz izan ez zuen babesa gehitzen du. Era berean, irteeraren suebaki arauek eta birbidaltze politikak erabakitzen dute zer gertatuko den hurrengo; eskuko ukipen arrakastatsu bat parekidearekiko konexioari buruzko egitatea da, ez bidaiaren gainerakoari buruzkoa.

Gainkarga beste ondorio ikusgai bat da. Pakete bakoitzak goiburu gehigarri bat darama, eta kanpoko garraioak berea gehi dezake, beraz pakete bakoitzeko karga erabilgarria txikitzen da. Gehienezko transmisio unitate finkoa duen bidean, horixe da tunel batek ping bat pasa eta karga handi bat trabatzeko arrazoia.

Egiaztatu aplikazioak benetan egin zuen bidea

Azken urratsa aplikazio zehatza baieztatzea da, ez makina oro har. Ebatzi helmuga, begiratu helbide horren bidea, eta gero behatu konexioa irekita dagoen bitartean:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Bideak tunela aipatzen badu baina socket zerrendak interfaze fisikoko iturburu helbidea duen konexioa erakusten badu, aplikazioa zerbait zehatzera lotuta dago, edo bigarren tunel bat lehiatzen ari da lehenetsitako bideagatik. Bideratze kontua da, eta hiru irteera hauetatik erantzun daiteke, ez bezeroaren egoera-pantailatik.

RFC 4301 segurtasun arkitekturak IPsec-erako bilketa honen IP geruzako bertsioa deskribatzen du, eta geruza logika bera aplikatzen zaie WireGuard eta OpenVPN. Barruko paketea eta kanpoko paketea objektu bereizi gisa seinalatu ahal dituzunean, tunelaren portaera gehiena ez da misteriotsua izateari uzten eta irakur dezakezun bideratze taula bihurtzen da.