Wat TUN docht, en wat it VPN-protokol noch dwaan moat

tun0 en in VPN-protokol as ien ding behannelje stjoert minsken nei it ferkearde log. De ynterface is in lokale grins dêr't in programma yn 'e brûkersromte IP-pakketten mei de kearn útwikselet. It protokol is wat dat programma mei de pakketten docht as it se hat: ferfier, ferifikaasje, fersifering en in tsjinpart. It meitsjen fan it apparaat kiest dêr neat fan.

Twa komponinten, ien pakketpaad

De kearn skriuwt in IP-pakket yn it apparaat, en it programma lêst it út in bestânsdeskriptor. Yn 'e oare rjochting skriuwt it programma in pakket werom en de kearn rûtelet it as wie it op in echte ynterface oankommen. TUN ferfiert IP, wylst TAP Ethernet-ramen ferfiert. It lêzen fan in pakket op dy grins lit de raming sjen, en dêr is it apparaat krekt foar.

Alles foarby dy grins is de saak fan it programma. Twa programma's kinne itselde ynterfacekonsept brûke en hiel ferskillende dingen mei de pakketten dwaan. It apparaat sels hat gjin miening oer wat der folgjende bart. De bestânsdeskriptor is it ienige hânsfet dat it programma oan 'e kearnkant hat.

Meitsje it apparaat, en sjoch dan nei de grins

Meitsje in apparaat mei opsetsin as jo de grins testen. In permanint apparaat oerlibbet it proses dat it makke hat, wat nuttich is foar eksperiminten en letter in foarkommende boarne fan betizing. Kontrolearje de flaggen en de eigner foardat jo it VPN de skuld jouwe.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

De detaillearring fan 'e keppeling lit it apparaattype en de ferbûne eigner sjen. As gjin proses it iepen hâldt, geane de pakketten dy't deryn skreaun wurde nearne hinne. In apparaat sûnder ferbûn proses kin der yn in keppelingslist sûn út sjen wylst it neat trochjout.

Wat de ynterfacenamme net belove kin

De ynterfacenamme seit neat oer fersifering of ferifikaasje. In programma kin de pakketten yn TLS, yn in eigen protokol, yn IPsec of yn hielendal neat wikkelje. TUN ynstee fan TAP kieze feroaret de raming op 'e grins, net it feiligensûntwerp. De kar fan raming is echt, en hy is folle lytser as de feiligensfrage.

Deteksje wurket itselde: in waarnimmer sjocht it bûtenste protokol op 'e tried, net in label dat seit hokker lokaal apparaat it makke hat. In tunnel dy't op wat oars liket, docht dat fanwegen syn bûtenste protokol, net fanwegen de namme fan syn ynterface. In waarnimmer kin net sjen hokker lokaal apparaat in pakket makke hat, allinne hoe't it pakket derút sjocht. Hâld dy twa fragen apart as jo produkten fergelykje, want ien antwurd betsjut nea it oare.

Pas de reparaasje oan de mislearre etappe

Skied de mislearringsstadia as der wat stikken giet. In ûntbrekkend apparaat, in tastimmingsflater en in wegere oanmelding jouwe ferskillende bewiis en ferskillende reparaasjes. Lês earst de lokale tastân, dan it eigen log fan it programma, dan it eachpunt fan it tsjinpart. Lês alle trije foardat jo wat feroarje.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

As it apparaat bestiet en in proses hâldt it, wurket de lokale grins en leit it probleem fierder bûten. As it apparaat ûntbrekt, helpt gjin inkelde kontrôle fan oanmeldgegevens. In etappe dy't jo beneame kinne, is in etappe dy't jo testen kinne. De TUN/TAP-dokumintaasje beskriuwt de grins en it apparaatmodel.