Captura de VPN: paquetes internos en tun0, sobre en eth0

Capturar nun host de VPN non rexistra unha soa cousa. O núcleo expón o paquete dúas veces: envolto, no adaptador físico, e desenvuelto, no dispositivo de túnel. Escoller a interface é escoller cal desas historias le. A maioría das discusións sobre o que demostra unha captura son en realidade discusións sobre cal historia se recolleu.

A encapsulación crea dúas vistas

O túnel toma o paquete que produciu unha aplicación e colócao dentro dun novo cuxo destino é o servidor VPN. A forma interna aparece en tun0, wg0 ou no dispositivo que crease o cliente. A forma externa aparece no adaptador que a leva á rede. Ambas formas son lexítimas; responden preguntas diferentes. Recolle cada unha por separado, porque as dúas teñen cabeceiras e lectores diferentes.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

A pseudointerface any é unha mala escolla para esta comparación. Os paquetes reenviados poden rexistrarse dúas veces, e un paquete xerado localmente aparece en ambas formas, o que infla as contas. Se un número parece imposible, comprobe a interface antes de culpar o túnel.

Dentro do túnel, o paquete é corrente

No dispositivo de túnel, o que ve é o que a aplicación pediu ao núcleo que enviase. Os enderezos de destino, os portos, os nomes DNS, os nomes de servidor TLS, os tamaños e o tempo están todos alí. A carga útil TLS segue cifrada pola sesión da propia aplicación, así que a captura non revela o contido da páxina. Unha consulta DNS en texto claro é visible aquí aínda que o seu portador estea cifrado, porque nunca estivo protexida.

O DNS cifrado elimina ese único campo visible. Non oculta o enderezo de destino, a conta de bytes nin o ritmo, que son propiedades do fluxo e non da consulta.

Fóra, só o sobre e a súa forma

O adaptador físico mostra o seu enderezo, o do servidor, o porto, os tamaños de paquete e o tempo. Os destinos transportados dentro están ausentes, aínda que a súa forma aínda pode sustentar inferencias. Os tamaños e a cadencia poden suxerir un fluxo de vídeo, unha transferencia masiva ou unha sesión de conversa sen nomear ningunha. Un observador próximo ve aproximadamente esta mesma vista, o que explica como un túnel pode ocultar sitios mentres anuncia a súa propia presenza.

Esa afirmación depende do encamiñamento. Unha ruta máis estreita, un IPv6 por defecto que non entra no túnel ou un proceso ligado á interface física poñerán o tráfico fóra do sobre. Lea a ruta real antes de sacar conclusións da captura.

Enderezo do par e hixiene da captura

OpenVPN en modo TCP mantén un socket establecido, así que a táboa de sockets pode nomear o par. OpenVPN en modo UDP adoita deixar o socket sen conectar, e ss pode mostrar só o lado local. Lea no seu lugar remote do perfil, un rexistro detallado do cliente ou a ruta ata o punto final. WireGuard informa directamente do seu punto final e do último handshake.

wg show
ss -tunp | grep 51820

Un ficheiro de captura sobrevive á sesión que o produciu. Pódese copiar e pode ser lexible por calquera con acceso local. Garde só o que necesita a investigación, restrinxa os permisos e bórreo cando o traballo estea feito.

Unha captura compartible debería dicir que interface a produciu e cando. Sen esa nota, o seguinte lector ten que adiviñar que capa está mirando.