Hversu margar gátlistir hefur VPN-pakki? Það fer eftir því

Fullyrðingin um að VPN-pakki beri nákvæmlega tvo gátlista hljómar snyrtilega og er nógu oft röng til að vera þess virði að taka hana í sundur. Fjöldinn fer eftir því hvaða IP-útgáfur koma fram, hvaða flutningsreglu er flutt og hvaða verndarsnið jarðgöngin nota. Gátlisti hauss, gátlisti efra lags og dulritunarleg heilleikamerki eru þrjár aðferðir með þrjú umfang. Að telja þá byrjar á að merkja hvað hver þeirra nær yfir.

Athugaðu hvaða IP-útgáfur eru í raun á vírnum

IPv4-hausar bera 16 bita hausgátlista og IPv6-hausar bera ekkert slíkt. Þessi eina staðreynd breytir fjöldanum fyrir hver jarðgöng, því að pakka IPv4 inn í IPv6 og IPv6 inn í IPv4 gefur mismunandi skjöl. Jarðgöng geta flutt báðar fjölskyldurnar í einu, og þá getur önnur áttin innihaldið svið sem hin hefur ekki. Festu útgefnar útgáfur áður en nokkuð er talið.

Skrifaðu fyrirkomulagið sem hauslista frekar en mynd. Röðin skiptir máli við lestur upptöku, og viðvera eða fjarvera gátlistasviðsins er það fyrsta sem merkja á.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Fyrsta línan hefur engan IP-hausgátlista hvergi í IP-hausunum, en önnur hefur tvo þegar báðir hausar eru IPv4. Sama jarðgangatækni, mismunandi fjöldi, og hvorug lína er fullkomið vírsnið.

Athugaðu hvað hver gátlisti nær yfir

Yfirferðin er sá hluti sem fólk sleppir, og hún er það sem gerir fjölda merkingarbæran. IPv4-hausgátlistinn verndar hausinn og ekkert annað, svo hann segir ekkert um nothægu hleðsluna fyrir aftan. UDP-gátlisti yfir IPv6 nær yfir gervihaus auk UDP-hauss og hleðslu, sem þýðir að hann nær inn í flutta pakkann þegar gagnagreminu er komið fyrir í jarðgöngum. TCP hefur sinn eigin gátlista með svipaðri háð gervihausnum. Þetta eru þrjú mismunandi umfang, þótt öll þrjú séu kölluð gátlistar.

RFC 791 skilgreinir athugun IPv4-haussins og endurreikning hans á hverri stökki, og RFC 8200 skilgreinir meðferð efra lags yfir IPv6 þar á meðal gervihausinn. Ekkert skjalið segir að VPN-pakki hafi fastan fjölda gátlista, því að ekkert þeirra lýsir jarðgöngum.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Athugaðu heilleikavörðuna sérstaklega

ESP-heilleiki er dulritunarleg vörn með eigin yfirferð og framsetningu sem fer eftir reikniritinu. Hann er ekki IP- eða UDP-gátlisti undir öðru nafni, og lengd hans breytist með valinni byggingu. Heilleikaathugun nær yfir skilgreindan hluta pakkans, sem getur eftir hamnum náð yfir ESP-hausinn og hluta hleðslunnar. Að telja hann sem gátlistasvið með þekktri breidd er þar sem flestar þessara skýringa hrynja.

Lestu valda byggingu áður en þú telur bæti, og lýstu niðurstöðunni sem heilleikavörn frekar en gátlista með öðru merki. Afkóðarinn nefnir sviðið fyrir þig ef þú spyrð.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Athugaðu athugunarstaðinn áður en talið er

Upptaka á innra tenginu og upptaka á vírnum geta sýnt gjörólík lög. Á innra tenginu er jarðgöngunum þegar aflétt, svo þú sérð flutta pakkann og engan ytri hausanna. Á vírnum sérðu ytri hausana og dulritaða hleðslu sem þú getur ekki lesið. Hvorug sýnin er röng, og þau eru ekki sýn á sama hlutinn. Tilgreindu hvar upptakan var gerð áður en þú vitnar í hvaða fjölda sem er.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Fyrsta skipunin sýnir ytri pakkann með heilleikastéttinni, og önnur sýnir flutta pakkann með eigin flutningsgátlista. Að leggja saman tölur úr báðum upptökum telur ekkert tvisvar, en útskýrir sama pakkann tvisvar.

Berðu fjöldann saman við raunverulega upptöku

Afkóðaðu einn pakka að fullu og merktu hvert svið sem afkóðarinn kallar gátlista eða heilleikagildi. Berðu síðan hvert merki saman við fyrirkomulagið sem þú skrifaðir, og eyðtu þeim sem tilheyra lagi sem þú ert ekki í raun að telja. Fjöldi sem stendur af sér þá æfingu er varðanlegur, og fjöldi sem vitnað er í úr minni er það ekki.

Endurtaktu fyrir svaráttina, því að jarðgöng sem flytja báðar fjölskyldurnar geta verið mismunandi eftir átt og eftir straumi. Segðu síðan fjöldann með umfangi sínu, til dæmis þrír gátlistar fyrir þennan innri pakka á þessum athugunarstað, frekar en sem eiginleika VPN-pakka almennt.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum