ضبط VPN: بسته‌های درونی روی tun0، پاکت روی eth0

ضبط روی میزبان VPN یک چیز واحد را ثبت نمی‌کند. هسته بسته را دو بار آشکار می‌کند: پیچیده‌شده، روی آداپتور فیزیکی، و بازشده، روی دستگاه تونل. انتخاب رابط یعنی انتخاب اینکه کدام یک از این روایت‌ها را می‌خوانید. بیشتر بحث‌ها درباره اینکه یک ضبط چه چیزی را اثبات می‌کند در واقع بحث درباره این است که کدام روایت جمع‌آوری شده است.

کپسوله‌سازی دو نما می‌سازد

تونل بسته‌ای را که یک برنامه تولید کرده برمی‌دارد و آن را داخل بسته تازه‌ای می‌گذارد که مقصدش سرور VPN است. شکل درونی روی tun0، wg0 یا هر دستگاهی که کارخواه ساخته باشد ظاهر می‌شود. شکل بیرونی روی آداپتوری ظاهر می‌شود که آن را به شبکه می‌برد. هر دو شکل مشروع‌اند؛ آن‌ها به پرسش‌های متفاوتی پاسخ می‌دهند. هر یک را جداگانه جمع کنید، زیرا این دو سرآیندها و خوانندگان متفاوتی دارند.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

شبه‌رابط any برای این مقایسه انتخاب بدی است. بسته‌های هدایت‌شده می‌توانند دو بار ثبت شوند، و بسته‌ای که به‌صورت محلی تولید شده در هر دو شکل ظاهر می‌شود، که شمارش‌ها را متورم می‌کند. اگر عددی غیرممکن به نظر می‌رسد، پیش از مقصر دانستن تونل، رابط را بررسی کنید.

درون تونل، بسته عادی است

روی دستگاه تونل، آنچه می‌بینید همان چیزی است که برنامه از هسته خواسته بود بفرستد. نشانی‌های مقصد، درگاه‌ها، نام‌های DNS، نام‌های سرور TLS، اندازه‌ها و زمان‌بندی همه آنجا هستند. بار TLS با نشست خود برنامه رمزگذاری‌شده می‌ماند، بنابراین ضبط محتوای صفحه را آشکار نمی‌کند. یک پرس‌وجوی DNS با متن ساده اینجا دیده می‌شود، هرچند حاملش رمزگذاری شده است، چون هرگز محافظت نشده بود.

DNS رمزگذاری‌شده آن یک میدان دیدنی را حذف می‌کند. نشانی مقصد، شمار بایت یا ریتم را پنهان نمی‌کند، که ویژگی‌های جریان‌اند نه ویژگی‌های پرس‌وجو.

بیرون فقط پاکت و شکلش

آداپتور فیزیکی نشانی شما، نشانی سرور، درگاه، اندازه‌های بسته و زمان‌بندی را نشان می‌دهد. مقصدهایی که درون حمل می‌شوند غایب‌اند، هرچند شکلشان هنوز می‌تواند از استنباط پشتیبانی کند. اندازه‌ها و آهنگ می‌توانند بدون نام بردن از هیچ‌یک، به جریان ویدئو، انتقال انبوه یا نشست گفتگو اشاره کنند. ناظری در نزدیکی تقریباً همین نما را می‌بیند، که توضیح می‌دهد چگونه یک تونل می‌تواند سایت‌ها را پنهان کند در حالی که حضور خودش را تبلیغ می‌کند.

این ادعا به مسیریابی بستگی دارد. مسیری باریک‌تر، یک IPv6 پیش‌فرض که وارد تونل نمی‌شود، یا فرایندی که به رابط فیزیکی بسته شده است، ترافیک را بیرون از پاکت قرار می‌دهد. پیش از نتیجه‌گیری از ضبط، مسیر واقعی را بخوانید.

نشانی همتا و بهداشت ضبط

OpenVPN در حالت TCP یک سوکت برقرارشده نگه می‌دارد، بنابراین جدول سوکت می‌تواند همتا را نام ببرد. OpenVPN در حالت UDP اغلب سوکت را بی‌اتصال رها می‌کند، و ss ممکن است فقط سمت محلی را نشان دهد. به‌جای آن remote نمایه، یک گزارش کارخواه مفصل یا مسیر تا نقطه پایانی را بخوانید. WireGuard مستقیماً نقطه پایانی و آخرین دست‌دادن خود را گزارش می‌کند.

wg show
ss -tunp | grep 51820

یک فایل ضبط از نشستی که آن را تولید کرده بیشتر می‌ماند. می‌توان آن را کپی کرد، و ممکن است برای هر کسی با دسترسی محلی خواندنی باشد. فقط آنچه تحقیق نیاز دارد نگه دارید، مجوزها را محدود کنید و وقتی کار تمام شد آن را حذف کنید.

ضبطی که می‌توان به اشتراک گذاشت باید بگوید کدام رابط آن را تولید کرده و چه زمانی. بدون آن یادداشت، خواننده بعدی باید حدس بزند به کدام لایه نگاه می‌کند.