Hvað er VPN-göng og hvar endar verndin
Göng setja annað umslag utan um valda pakka yfir tenginguna sem þú hafðir þegar. Fylgdu einni beiðni og sjáðu hvaða heimilisfang vefsvæði skráir í raun.
Biðlarinn segir tengt, hengilásinn er læstur, og vefsvæði skráir samt heimilisfang íbúðarinnar þinnar. Ekkert hefur brugðist. Göng skipta ekki út Wi-Fi eða farsímaleiðinni þinni; þau setja annað umslag utan um ákveðin pakka og senda það umslag yfir netið sem þú hafðir þegar. Að skilja bragðið snýst að mestu um að fylgja einni beiðni og taka eftir hvar umslagið er opnað, því næstum hvert ruglingslegt einkenni, frá leku heimilisfangi og að stöðvuðu stórri niðurhali, kemur frá þeirri mörk.
Tvö umslög, ein eðlisfræðileg tenging
Fartölvan þín heldur venjulegri tengingu við beininn og beinirinn heldur venjulegri tengingu við þjónustuveituna. Ekkert á þeirri leið breytist þegar göng rísa. Það sem breytist er að valdir pakkar eru afhentir sýndarviðmóti, vafðir inn í nýjan pakka sem er stilaður á VPN-félagann og sendir sem venjuleg umferð yfir eðlisfræðilegu tenginguna.
Móttökuaðilinn er tæki sem opnar umslagið og sendir upprunalega pakkann áfram í átt að áfangastað sínum. Milli endanna tveggja sér áhorfandi ytri hausinn og ekkert um þann innri nema samskiptareglan dulkóði hann, sem flestar neytendasamskiptareglur gera og almenn tækni krefst ekki.
Þess vegna er sýndarviðmótið bæði raunverulegt og villandi. Það er til sem kjarnahlutur með heimilisfang og hámarksflutningseiningu, og stýrikerfið beinir umferð inn í það eins og hvert annað viðmót. Það er ekki kapall, og tilvist þess sannar aðeins að íhlutur sé uppsettur. Hvort vafrinn þinn notar það ræðst af leiðum, ekki af því að viðmótið sé uppi.
Fylgdu einni beiðni í ferðinni
Veldu áfangastað og spurðu kjarnann hvaða viðmót hann muni nota. Þessi eina skipun leysir flestar deilur um hvort göngin geri nokkuð:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0Ef úttak leiðarinnar nefnir göngviðmótið verður pakkinn vafinn. Ef það nefnir eðlisfræðilega viðmótið verður hann það ekki, og engin endurræsing biðlarans breytir því. Önnur skipunin sýnir bæði viðmótin hlið við hlið, og þannig tekurðu eftir göngum sem risu án heimilisfangs eða með heimilisfang úr rangri fjölskyldu.
Líttu þá á fyrsta hoppið innan úr umslaginu og berðu það saman við fyrsta hoppið utan:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5Inni í göngunum er fyrsta hoppið innra heimilisfang félagans, ekki beinirinn þinn. Upptakan á göngviðmótinu sýnir innri pakkana, það er umferðin sem forritið heldur að það sendi. Upptaka á eðlisfræðilega viðmótinu á sama tíma sýnir ytri pakkana, og saman eru þær skýrustu sönnunin fyrir því hvað göng gera í raun.
Þrjú heimilisföng, og vefsvæðið sér aðeins eitt
Fólk ruglar þessu stöðugt saman, og ruglingurinn framleiðir falskar lekasýslur. Þetta eru mismunandi svið í mismunandi hausum með mismunandi líftíma.
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
Talan við hlið sýndaraðlagans er önnur röðin. Hún er ekki heimilisfangið sem vefsvæði skráir, og að vitna í hana sem almenna IP-töluna þína er einfaldlega rangt. Heimilisfangið sem vefsvæði sér er úthlutað af útgöngunni, og í göngum að einkaneti getur alls ekki verið nein almenn útganga, því áfangastaðurinn er innan stofnunarinnar en ekki á internetinu.
Göng milli staða eru sama fyrirkomulag með aðra endapunkta. Tveir beinar vefja umferð milli neta, og ekkert einstakt tæki er með biðlara uppsettan. Umslagið er eins í grundvallaratriðum, stjórnsýslumörkin ekki.
Hvar umslagið er opnað, og hvað lifir það af
Göngin enda hjá félaga sínum. Ef eigin dulkóðun forritsins nær lengra lifir hún þessi mörk af, sem er venjulegt tilvik fyrir HTTPS: seta vafrans endar á vefsvæðinu, svo útgangan sendir áfram dulkóðaðan texta sem hún getur ekki lesið.
Ekkert annað lifir af sjálfgefið. Ódulkóðuð beiðni er læsileg við útgönguna nákvæmlega eins og hún var læsileg á Wi-Fi kaffihússins, og göngin bæta ekki við vernd sem forritið hafði aldrei. Á sama hátt ræða eldveggjarreglur og framsendingarstefna útgöngunnar hvað gerist næst; árangursrík handaband er staðreynd um tenginguna við félagann, ekki um afgang ferðarinnar.
Yfirbyggingin er hin sýnilega afleiðing. Hver pakki ber ytri haus, og ytri flutningurinn getur bætt við sínum eigin, svo nothæfa hleðslan á hvern pakka minnkar. Á leið með föstum hámarksflutningseiningum er það einmitt ástæðan fyrir því að göng komast í gegnum ping og stöðva stóra upphleðslu.
Athugaðu leiðina sem forritið fór í raun
Síðasta skrefið er að staðfesta tiltekna forritið, ekki vélina í heild. Leystu áfangastaðinn, líttu á leiðina fyrir það heimilisfang og fylgstu svo með tengingunni á meðan hún er opin:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'Ef leiðin nefnir göngin en sokkalistinn sýnir tengingu með upprunalegu heimilisfangi frá eðlisfræðilega viðmótinu, er forritið bundið við eitthvað tiltekið, eða önnur göng keppa um sjálfgefnu leiðina. Þetta er beinaspurning, og hægt er að svara henni út frá þessum þremur úttökum frekar en stöðuskjá biðlarans.
Öryggisarkitektúr RFC 4301 lýsir IP-lagsútgáfu þessarar vöfningar fyrir IPsec, og sama laga-rökfræðin gildir um WireGuard og OpenVPN. Þegar þú getur bent á innri pakkann og ytri pakkann sem aðskilda hluti, hættir mest hegðun gonganna að vera ráðgáta og verður beinatófla sem þú getur lesið.