VPN որսում. ներքին փաթեթներ tun0-ում, ծրար՝ eth0-ում

VPN հոսթում որսումը մեկ բան չի գրանցում։ Միջուկը փաթեթը ցույց է տալիս երկու անգամ՝ փաթաթված, ֆիզիկական ադապտերի վրա, և բացված՝ թունելի սարքի վրա։ Ինտերֆեյս ընտրելը նշանակում է ընտրել, թե այս պատմություններից որն եք կարդում։ Որսումն ինչ է ապացուցում՝ վերաբերյալ վեճերի մեծ մասը իրականում վեճեր են այն մասին, թե որ պատմությունն է հավաքվել։

Ինկապսուլացումը ստեղծում է երկու տեսք

Թունելը վերցնում է հավելվածի ստեղծած փաթեթը և դնում այն նոր փաթեթի մեջ, որի նպատակակետը VPN սերվերն է։ Ներքին ձևը հայտնվում է tun0-ում, wg0-ում կամ ցանկացած սարքում, որը ստեղծել է հաճախորդը։ Արտաքին ձևը հայտնվում է այն ադապտերի վրա, որը տանում է այն ցանց։ Երկու ձևերն էլ օրինական են. դրանք պատասխանում են տարբեր հարցերի։ Հավաքեք յուրաքանչյուրը առանձին, որովհետև երկուսն ունեն տարբեր վերնագրեր և տարբեր ընթերցողներ։

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

any կեղծ ինտերֆեյսը վատ ընտրություն է այս համեմատության համար։ Փոխանցված փաթեթները կարող են գրանցվել երկու անգամ, և տեղում ստեղծված փաթեթը հայտնվում է երկու ձևով, ինչը ուռճացնում է հաշվարկները։ Եթե թիվը անհնար է թվում, ստուգեք ինտերֆեյսը նախքան թունելին մեղադրելը։

Թունելի ներսում փաթեթը սովորական է

Թունելի սարքի վրա այն, ինչ տեսնում եք, այն է, ինչ հավելվածը խնդրել է միջուկին ուղարկել։ Նպատակակետ հասցեները, պորտերը, DNS անունները, TLS սերվերի անունները, չափերը և ժամանակը բոլորը այնտեղ են։ TLS ծանրաբեռնվածությունը մնում է գաղտնագրված հավելվածի սեփական սեսիայով, ուստի որսումը չի բացահայտում էջի բովանդակությունը։ Բաց տեքստով DNS հարցումը այստեղ տեսանելի է, թեև դրա կրիչը գաղտնագրված է, որովհետև այն երբեք պաշտպանված չի եղել։

Գաղտնագրված DNS-ը հեռացնում է այդ մեկ տեսանելի դաշտը։ Այն չի թաքցնում նպատակակետ հասցեն, բայթերի քանակը կամ ռիթմը, որոնք հոսքի, այլ ոչ թե հարցման հատկություններ են։

Դրսում միայն ծրարը և դրա ձևը

Ֆիզիկական ադապտերը ցույց է տալիս ձեր հասցեն, սերվերի հասցեն, պորտը, փաթեթների չափերը և ժամանակը։ Ներսում կրված նպատակակետերը բացակայում են, թեև դրանց ձևը դեռ կարող է հիմք տալ ենթադրությունների։ Չափերն ու ռիթմը կարող են հուշել վիդեո հոսք, մեծ փոխանցում կամ զրույցի սեսիա՝ չանվանելով դրանցից ոչ մեկը։ Մոտակա դիտորդը տեսնում է մոտավորապես նույն պատկերը, ինչը բացատրում է, թե ինչպես կարող է թունելը թաքցնել կայքեր՝ միաժամանակ գովազդելով սեփական ներկայությունը։

Այդ պնդումը կախված է երթուղայնությունից։ Ավելի նեղ երթուղին, IPv6-ի լռելյայնը, որը չի մտնում թունել, կամ ֆիզիկական ինտերֆեյսին կապված պրոցեսը տրաֆիկը կդնեն ծրարից դուրս։ Կարդացեք իրական երթուղին նախքան որսումից եզրակացություններ անելը։

Զուգընկերոջ հասցեն և որսման հիգիենան

TCP ռեժիմում OpenVPN-ը պահում է հաստատված սոկետ, ուստի սոկետների աղյուսակը կարող է անվանել զուգընկերոջը։ UDP ռեժիմում OpenVPN-ը հաճախ թողնում է սոկետը չմիացված, և ss-ը կարող է ցույց տալ միայն տեղական կողմը։ Փոխարենը կարդացեք պրոֆիլի remote-ը, մանրամասն հաճախորդի մատյանը կամ երթուղին դեպի վերջնակետ։ WireGuard-ը ուղղակիորեն հաղորդում է իր վերջնակետը և վերջին ձեռքսեղմումը։

wg show
ss -tunp | grep 51820

Որսման ֆայլը ապրում է ավելի երկար, քան այն ստեղծած սեսիան։ Այն կարելի է պատճենել, և այն կարող է ընթեռնելի լինել տեղական հասանելիություն ունեցող ցանկացածի համար։ Պահեք միայն այն, ինչ անհրաժեշտ է հետաքննությանը, սահմանափակեք թույլտվությունները և ջնջեք այն, երբ աշխատանքը ավարտվի։

Կիսվող որսումը պետք է նշի, թե որ ինտերֆեյսն է այն ստեղծել և երբ։ Առանց այդ նշումի, հաջորդ ընթերցողը պետք է գուշակի, թե որ շերտին է նայում։