Tangkapan VPN: paket dalam di tun0, amplop di eth0

Menangkap pada host VPN tidak merekam satu hal saja. Kernel mengekspos paket dua kali: terbungkus, pada adaptor fisik, dan terbuka, pada perangkat terowongan. Memilih antarmuka berarti memilih kisah mana yang Anda baca. Sebagian besar perdebatan tentang apa yang dibuktikan sebuah tangkapan sebenarnya perdebatan tentang kisah mana yang dikumpulkan.

Enkapsulasi menciptakan dua pandangan

Terowongan mengambil paket yang dihasilkan aplikasi dan menempatkannya di dalam paket baru yang tujuannya adalah server VPN. Bentuk dalam muncul di tun0, wg0, atau perangkat apa pun yang dibuat klien. Bentuk luar muncul pada adaptor yang membawanya ke jaringan. Kedua bentuk sah; keduanya menjawab pertanyaan berbeda. Kumpulkan masing-masing secara terpisah, karena keduanya memiliki header dan pembaca yang berbeda.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Antarmuka semu any adalah pilihan buruk untuk perbandingan ini. Paket yang diteruskan dapat direkam dua kali, dan paket yang dihasilkan secara lokal muncul di kedua bentuk, yang menggelembungkan hitungan. Jika suatu angka tampak mustahil, periksa antarmuka sebelum menyalahkan terowongan.

Di dalam terowongan, paket itu biasa

Pada perangkat terowongan, yang Anda lihat adalah yang diminta aplikasi kepada kernel untuk dikirim. Alamat tujuan, port, nama DNS, nama server TLS, ukuran, dan waktu semuanya ada di sana. Muatan TLS tetap terenkripsi oleh sesi aplikasi itu sendiri, sehingga tangkapan tidak mengungkap isi halaman. Kueri DNS dalam teks terang terlihat di sini meskipun pengangkutnya terenkripsi, karena kueri itu tidak pernah dilindungi.

DNS terenkripsi menghapus satu bidang yang terlihat itu. Ia tidak menyembunyikan alamat tujuan, jumlah byte, atau irama, yang merupakan sifat aliran, bukan sifat kueri.

Di luar hanya amplop dan bentuknya

Adaptor fisik menampilkan alamat Anda, alamat server, port, ukuran paket, dan waktu. Tujuan yang dibawa di dalam tidak ada, meskipun bentuknya masih dapat mendukung inferensi. Ukuran dan irama dapat menyarankan aliran video, transfer besar, atau sesi obrolan tanpa menyebut satu pun. Pengamat di dekatnya melihat tampilan yang kurang lebih sama, yang menjelaskan bagaimana terowongan dapat menyembunyikan situs sambil mengiklankan keberadaannya sendiri.

Klaim itu bergantung pada perutean. Rute yang lebih sempit, IPv6 bawaan yang tidak masuk ke terowongan, atau proses yang terikat ke antarmuka fisik akan menaruh lalu lintas di luar amplop. Baca rute sebenarnya sebelum menarik kesimpulan dari tangkapan.

Alamat peer dan higiene tangkapan

OpenVPN dalam mode TCP mempertahankan soket yang sudah terbentuk, sehingga tabel soket dapat menyebut peer. OpenVPN dalam mode UDP sering membiarkan soket tidak terhubung, dan ss mungkin hanya menampilkan sisi lokal. Baca remote profil, log klien terperinci, atau rute ke titik akhir sebagai gantinya. WireGuard melaporkan titik akhir dan jabat tangan terakhirnya secara langsung.

wg show
ss -tunp | grep 51820

Berkas tangkapan bertahan lebih lama daripada sesi yang menghasilkannya. Berkas itu dapat disalin, dan mungkin dapat dibaca oleh siapa pun yang memiliki akses lokal. Simpan hanya yang dibutuhkan penyelidikan, batasi izin, dan hapus saat pekerjaan selesai.

Tangkapan yang dapat dibagikan harus menyebutkan antarmuka mana yang menghasilkannya dan kapan. Tanpa catatan itu, pembaca berikutnya harus menebak lapisan mana yang sedang dilihat.