VPN-rögzítés: belső csomagok a tun0-n, boríték az eth0-n

A rögzítés egy VPN-gazdagépen nem egyetlen dolgot ment el. A kernel kétszer mutatja a csomagot: becsomagolva a fizikai adapteren, és kicsomagolva a tunnel eszközön. Az interfész kiválasztása annak kiválasztása, hogy melyik történetet olvassa. A legtöbb vita arról, hogy mit bizonyít egy rögzítés, valójában arról szól, melyik történetet gyűjtötték össze.

A beágyazás két nézetet hoz létre

A tunnel fogja az alkalmazás által előállított csomagot, és egy újba teszi, amelynek célja a VPN-kiszolgáló. A belső forma a tun0, a wg0 vagy bármely eszközön jelenik meg, amelyet a kliens létrehozott. A külső forma azon az adapteren jelenik meg, amely a hálózatba viszi. Mindkét forma legitim; különböző kérdésekre válaszolnak. Mindegyiket külön gyűjtse, mert a kettőnek eltérő a fejléce és az olvasója.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

A any pszeudo-interfész rossz választás ehhez az összehasonlításhoz. A továbbított csomagok kétszer rögzíthetők, és a helyben előállított csomag mindkét formában megjelenik, ami felfújja a számokat. Ha egy szám lehetetlennek tűnik, ellenőrizze az interfészt, mielőtt a tunnelt hibáztatná.

A tunnelen belül a csomag hétköznapi

A tunnel eszközön az látható, amit az alkalmazás a kerneltől elküldeni kért. A célcímek, portok, DNS-nevek, TLS-kiszolgálónevek, méretek és időzítés mind ott vannak. A TLS-terhelés az alkalmazás saját munkamenete által titkosítva marad, így a rögzítés nem tárja fel az oldal tartalmát. A nyílt szövegű DNS-lekérdezés itt látható, még ha a hordozója titkosított is, mert soha nem védték.

A titkosított DNS eltávolítja azt az egy látható mezőt. Nem rejti el a célcímet, a bájtszámot vagy a ritmust, amelyek az adatfolyam, nem pedig a lekérdezés tulajdonságai.

Kívül csak a boríték és annak formája

A fizikai adapter az Ön címét, a kiszolgáló címét, a portot, a csomagméreteket és az időzítést mutatja. A belül szállított célok hiányoznak, bár formájuk még támogathat következtetéseket. A méretek és az ütemezés videofolyamra, nagy átvitelre vagy csevegő munkamenetre utalhat anélkül, hogy bármelyiket megnevezné. Egy közeli megfigyelő nagyjából ugyanezt a képet látja, ami megmagyarázza, hogyan rejthet el egy tunnel oldalakat, miközben a saját jelenlétét hirdeti.

Ez az állítás az útválasztástól függ. Egy szűkebb útvonal, a tunnelbe nem lépő IPv6-alapértelmezés vagy a fizikai interfészhez kötött folyamat a forgalmat a borítékon kívülre helyezi. Olvassa el a tényleges útvonalat, mielőtt következtetéseket von le a rögzítésből.

A partner címe és a rögzítés higiéniája

Az OpenVPN TCP módban fenntart egy létesített socketet, így a socket-tábla megnevezheti a partnert. Az OpenVPN UDP módban gyakran csatlakoztatlanul hagyja a socketet, és a ss csak a helyi oldalt mutathatja. Olvassa inkább a profil remote mezőjét, egy részletes kliensnaplót vagy az útvonalat a végponthoz. A WireGuard közvetlenül jelenti a végpontját és a legutóbbi kézfogást.

wg show
ss -tunp | grep 51820

A rögzítési fájl túlélheti az őt létrehozó munkamenetet. Másolható, és olvasható lehet bárki számára, akinek helyi hozzáférése van. Csak azt tartsa meg, amire a vizsgálatnak szüksége van, korlátozza a jogosultságokat, és törölje, amikor a munka elkészült.

A megosztható rögzítésnek meg kell mondania, melyik interfész készítette és mikor. E megjegyzés nélkül a következő olvasónak ki kell találnia, melyik réteget nézi.