Cad is tollán VPN ann, agus cá stopann an chosaint

Deir an cliant go bhfuil sé ceangailte, tá an glas ar an doras, agus taifeadann suíomh fós seoladh d'árasáin. Níor theip ar rud ar bith. Ní thagann tollán in ionad do Wi-Fi ná do nasc soghluaiste; cuireann sé dara clúdach timpeall ar phacáistí áirithe agus seolann sé an clúdach sin thar an líonra a bhí agat cheana féin. Chun an cleas a thuiscint is gá go príomha iarraidh amháin a leanúint agus breathnú ar an áit a n-osclaítear an clúdach, mar is ón teorainn sin a thagann beagnach gach siomtóm mearbhlach, ó sheoladh baile a sceitheann go híoslódáil mhór atá i bhfostú.

Dhá chlúdach, nasc fisiciúil amháin

Coinníonn do ríomhaire glúine a ghnáthnasc leis an ródaire, agus coinníonn an ródaire a ghnáthnasc leis an soláthraí. Ní athraíonn aon rud ar an gcosán sin nuair a éiríonn tollán. Is é a athraíonn ná go dtugtar pacáistí roghnaithe do chomhéadan fíorúil, go dtéitear iad taobh istigh de phacáiste nua atá dírithe chuig piara VPN, agus go seoltar iad mar ghnáth-thrácht thar an nasc fisiciúil.

Is é an taobh glactha feiste a osclaíonn an clúdach agus a sheolann an bunchpacáiste i dtreo a chinn scríbe. Idir an dá cheann, feiceann breathnadóir an ceanntásc amuigh agus rud ar bith den cheann istigh mura ndéanann an prótacal é a chriptiú, rud a dhéanann formhór na bprótacal tomhaltóra agus nach n-éilíonn an teicníc ghinearálta.

Sin é an fáth a bhfuil an comhéadan fíorúil idir fhíor agus mhíthreorach. Tá sé ann mar rud sa chroíleac le seoladh agus le huasmhéid aonaid tarchurtha, agus déanann an córas oibriúcháin trácht a ródú isteach ann mar a dhéanfadh sé le haon chomhéadan eile. Ní cábla é, agus ní chruthaíonn a bheith ann ach go bhfuil comhpháirt suiteáilte. Is iad na róid a shocraíonn an n-úsáideann do bhrabhsálaí é, ní an bhfuil an comhéadan suas.

Féach ar iarraidh amháin ag déanamh an turais

Roghnaigh ceann scríbe agus fiafraigh den chroíleac cén comhéadan a úsáidfidh sé. Socróidh an t-aon ordú seo formhór na ndíospóireachtaí faoi cé acu a dhéanann an tollán rud ar bith:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Má ainmníonn aschur an róid comhéadan an tolláin, cuirfear an pacáiste i gclúdach. Má ainmníonn sé an comhéadan fisiciúil, ní chuirfear, agus ní athraíonn aon ath-thosú ar an gcliant sin. Taispeánann an dara hordú an dá chomhéadan taobh le taobh, agus is mar sin a thugann tú faoi deara tollán a d'éirigh gan seoladh nó le seoladh as an teaghlach mícheart.

Ansin féach ar an gcéad léim ó thaobh istigh den chlúdach, agus cuir i gcomparáid é leis an gcéad léim ón taobh amuigh:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Taobh istigh den tollán is é an chéad léim seoladh istigh an phiara, ní do ródaire. Taispeánann an gabháil ar chomhéadan an tolláin na pacáistí istigh, is é sin an trácht a cheapann an feidhmchlár a bheith á sheoladh aige. Taispeánann gabháil chomhuaineach ar an gcomhéadan fisiciúil na pacáistí amuigh, agus le chéile is iad an léiriú is soiléire ar a ndéanann tollán i ndáiríre.

Trí sheoladh, agus ní fheiceann an suíomh ach ceann amháin

Meabhraíonn daoine iad seo go síoraí, agus cruthaíonn an mhearbhall tuairiscí sceite bréagacha. Is réimsí éagsúla iad i gceanntásca éagsúla le saolréanna éagsúla.

Is é an uimhir in aice an oiriúnaitheora fhíorúil an dara ró. Ní hé an seoladh a thaifeadann suíomh é, agus is simplí mícheart é a lua mar do IP phoiblí. Is é an t-aschur a shannann an seoladh a fheiceann suíomh, agus i dtollán chuig líonra príobháideach b'fhéidir nach bhfuil aon aschur poiblí ann ar chor ar bith, mar tá an ceann scríbe taobh istigh den eagraíocht agus ní ar an idirlíon.

Is é tollán idir suíomhanna an mheicníocht chéanna le foircinn éagsúla. Cuireann dhá ródaire trácht i gclúdach idir líonraí, agus níl cliant suiteáilte ar aon fheiste aonair. Tá an clúdach comhionann i bprionsabal, agus níl an teorainn riaracháin.

Cá n-osclaítear an clúdach, agus cad a mhaireann é

Críochnaíonn an tollán ag a phiara. Má shíneann criptiú an fheidhmchláir féin níos faide, maireann sé an teorainn sin, rud is gnáthchás le HTTPS: críochnaíonn seisiún an bhrabhsálaí ag an suíomh, mar sin seolann an t-aschur cripteacs nach féidir leis a léamh.

Ní mhaireann aon rud eile de réir réamhshocraithe. Tá iarraidh neamhchriptithe inléite ag an aschur go beacht mar a bhí sé inléite ar Wi-Fi an chaifé, agus ní chuireann an tollán cosaint leis nach raibh ag an bhfeidhmchlár riamh. Mar an gcéanna, socraíonn rialacha balla dóiteáin agus beartas seolta an aschuir cad a tharlaíonn ina dhiaidh; is fíric faoin nasc le piara é crannóg rathúil, ní faoin chuid eile den turas.

Is é an forchostas an toradh infheicthe eile. Iompraíonn gach pacáiste ceanntásc breise, agus féadfaidh an t-iompar amuigh a cheann féin a chur leis, mar sin laghdaíonn an t-ualach úsáideach in aghaidh an phacáiste. Ar chosán le huasmhéid aonaid tarchurtha seasta, sin go beacht an fáth ar féidir le tollán ping a rith agus uaslódáil mhór a stopadh.

Seiceáil an cosán a ghlac an feidhmchlár i ndáiríre

Is é an chéad chéim eile an feidhmchlár sonrach a dhearbhú, ní an meaisín i gcoitinne. Réitigh an ceann scríbe, féach ar an ród don seoladh sin, agus ansin breathnaigh ar an nasc agus é oscailte:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Má ainmníonn an ród an tollán ach má thaispeánann liosta na socóg nasc le seoladh foinse ón gcomhéadan fisiciúil, tá an feidhmchlár ceangailte le rud éigin sonrach, nó tá dara tollán ag iomaíocht don ród réamhshocraithe. Is ceist ródaithe é sin, agus is féidir í a fhreagairt ó na trí aschur seo seachas ó scáileán stádais an chliaint.

Déanann ailtireacht slándála RFC 4301 cur síos ar leagan ciseal IP den chlúdach seo do IPsec, agus tá an loighic chiseal chéanna i bhfeidhm maidir le WireGuard agus OpenVPN. Nuair is féidir leat an pacáiste istigh agus an pacáiste amuigh a shonrú mar rudaí ar leith, stopann formhór iompar an tolláin a bheith mistéireach agus déantar tábla ródaithe de ar féidir leat a léamh.