VPN-opname: binnenpakketten op tun0, omhulsel op eth0

Opname op in VPN-host registrearret net ien inkeld ding. De kernel toant it pakket twa kear: ynpakt, op de fysike adapter, en útpakt, op it tunnelapparaat. De interface kieze is kieze hokker fan dy ferhalen jo lêze. De measte diskusjes oer wat in opname bewiist, binne eins diskusjes oer hokker ferhaal sammele is.

Enkapsulaasje skept twa sicht

De tunnel nimt it pakket dat in applikaasje makke hat en set it yn in nij ien wêrfan de bestimming de VPN-tsjinner is. De ynnere foarm ferskynt op tun0, wg0 of hokker apparaat de klant ek makke hat. De bûtere foarm ferskynt op de adapter dy't it nei it netwurk draacht. Beide foarmen binne legitiem; se beantwurdzje ferskillende fragen. Sammelje elk apart, want de twa hawwe ferskillende headers en ferskillende lêzers.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

De pseudo-interface any is in minne kar foar dizze fergeliking. Trochstjoerde pakketten kinne twa kear opnommen wurde, en in lokaal generearre pakket ferskynt yn beide foarmen, wat de tellingen opblaast. As in getal ûnmooglik liket, kontrolearje dan de interface foardat jo de tunnel de skuld jouwe.

Binnen de tunnel is it pakket gewoan

Op it tunnelapparaat is wat jo sjogge wat de applikaasje de kernel frege hat te stjoeren. Bestimmingsadressen, poarten, DNS-nammen, TLS-tsjinnernammen, gruttes en timing binne der allegear. De TLS-lading bliuwt fersifere troch de eigen sesje fan de applikaasje, sadat de opname gjin sideynhâld iepenbieret. In DNS-fraach yn platte tekst is hjir sichtber sels al is syn drager fersifere, om't it nea beskerme wie.

Fersifere DNS ferwideret dat iene sichtbere fjild. It ferberget net it bestimmingsadres, de byte-telling of it ritme, dy't eigenskippen fan de stream binne ynstee fan fan de fraach.

Bûten allinnich it omhulsel en syn foarm

De fysike adapter toant jo adres, it adres fan de tsjinner, de poarte, pakketgruttes en timing. Bestimmings dy't binnen droegen wurde, ûntbrekke, hoewol har foarm noch stipe foar ôflieding jaan kin. Gruttes en kadinsje kinne in fideo-stream, in grutte oerdracht of in petearsesje suggerearje sûnder ien fan har te neamen. In waarnimmer tichtby sjocht likernôch itselde byld, wat ferklearret hoe't in tunnel siden ferbergje kin wylst er syn eigen oanwêzigens advertearret.

Dy bewearing hinget ôf fan routing. In smeller rûte, in IPv6-standert dy't net de tunnel yn giet, of in proses bûn oan de fysike interface sille ferkear bûten it omhulsel pleatse. Lês de werklike rûte foardat jo konklúzjes út de opname lûke.

Peer-adres en opnamehygiëne

OpenVPN yn TCP-modus hâldt in fêstige socket, sadat de sockettabel de peer neame kin. OpenVPN yn UDP-modus lit de socket faak net ferbûn, en ss kin allinnich de lokale kant sjen litte. Lês ynstee remote fan it profyl, in wiidweidich kliïntlog of de rûte nei it einpunt. WireGuard rapportearret syn einpunt en lêste handshake direkt.

wg show
ss -tunp | grep 51820

In opnamebestân libbet langer as de sesje dy't it makke hat. It kin kopiaat wurde, en it kin lêsber wêze foar elkenien mei lokale tagong. Hâld allinnich wat it ûndersyk nedich hat, behein de rjochten en ferwiderje it as it wurk dien is.

In dielbere opname moat sizze hokker interface it makke hat en wannear. Sûnder dy notysje moat de folgjende lêzer riede nei hokker laach hy sjocht.