Hvað TUN gerir og hvað VPN-samskiptareglan þarf enn að gera

Að meðhöndla tun0 og VPN-samskiptareglu sem einn hlut sendir fólk í rangt logg. Viðmótið er staðbundin mörk þar sem forrit í notendarými skiptist á IP-pökkum við kjarnann. Samskiptareglan er það sem forritið gerir við pakkana þegar það hefur þá: flutningur, auðkenning, dulkóðun og mótaðili. Að búa til tækið velur ekkert af þessu.

Tveir hlutar, ein pakkaleið

Kjarninn skrifar IP-pakka í tækið og forritið les hann úr skráarlýsingu. Í hina áttina skrifar forritið pakka til baka og kjarninn beinir honum eins og hann hafi borist á raunverulegt viðmót. TUN ber IP en TAP ber Ethernet-ramma. Að lesa pakka við þessi mörk sýnir umgjörðina, og tækið er einmitt til þess.

Allt handan þessara marka er mál forritsins. Tvö forrit geta notað sama viðmótshugtak og gert gjörólíka hluti við pakkana. Tækið sjálft hefur enga skoðun á því hvað gerist næst. Skráarlýsingin er eina handfangið sem forritið hefur á kjarnahlið.

Búðu til tækið og fylgstu svo með mörkunum

Búðu til tæki viljandi þegar þú prófar mörkin. Varanlegt tæki lifir af ferlið sem bjó það til, sem er gagnlegt fyrir tilraunir og algeng uppspretta ruglings síðar. Athugaðu flöggin og eigandann áður en þú kennir VPN-inu um.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

Upplýsingar um tenginguna sýna tægertýpuna og eigandann sem fylgir. Ef ekkert ferli heldur því opnu fara pakkar sem skrifaðir eru í það hvergi. Tæki án ferlis getur litið heilbrigt út í tengingarlista án þess að hleypa nokkru í gegn.

Hvað viðmótsheitið getur ekki lofað

Viðmótsheitið segir ekkert um dulkóðun eða auðkenningu. Forrit getur vafið pakkana í TLS, í eigin samskiptareglu, í IPsec eða í ekkert. Að velja TUN í stað TAP breytir umgjörðinni við mörkin, ekki öryggishönnuninni. Valið á umgjörð er raunverulegt og er margfalt minna en öryggisspurningin.

Greining virkar á sama hátt: athugandi sér ytra samskiptaregluna á vírnum, ekki merkimiða sem segir hvaða staðbundna tæki framleiddi hana. Göng sem líta út eins og eitthvað annað gera það vegna ytri samskiptareglu sinnar, ekki vegna viðmótsheitis síns. Athugandi getur ekki séð hvaða staðbundna tæki framleiddi pakkann, aðeins hvernig pakkinn lítur út. Haltu þessum tveimur spurningum aðskildum þegar þú berð saman vörur, því eitt svar felur aldrei í sér hitt.

Lagaðu viðgerðina að því þrepi sem bregst

Aðskilðu þrep bilunar þegar eitthvað brotnar. Tæki sem vantar, heimildarvilla og hafnað innskráning gefa mismunandi sönnunargögn og mismunandi viðgerðir. Lestu fyrst staðbundna stöðu, svo eigið logg forritsins, svo sjónarhorn mótaðilans. Lestu öll þrjú áður en þú breytir einhverju.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Ef tækið er til og ferli heldur því virka staðbundnu mörkin og vandamálið er lengra út. Ef tækið vantar mun engin athugun á skilríkjum hjálpa. Þrep sem þú getur nefnt er þrep sem þú getur prófað. TUN/TAP-skjölin lýsa mörkunum og tækilíkaninu.