VPN-ის აღბეჭდვა: შიდა პაკეტები tun0-ზე, კონვერტი eth0-ზე

VPN ჰოსტზე აღბეჭდვა ერთ რამეს არ იწერს. ბირთვი პაკეტს ორჯერ აჩვენებს: გახვეულს, ფიზიკურ ადაპტერზე, და გახსნილს, გვირაბის მოწყობილობაზე. ინტერფეისის არჩევა ნიშნავს არჩევანს, თუ ამ ისტორიებიდან რომელს კითხულობთ. კამათების უმეტესობა იმაზე, რასაც აღბეჭდვა ამტკიცებს, სინამდვილეში კამათია იმაზე, თუ რომელი ისტორია შეგროვდა.

ინკაფსულაცია ორ ხედს ქმნის

გვირაბი იღებს აპლიკაციის მიერ შექმნილ პაკეტს და ათავსებს ახალში, რომლის დანიშნულება VPN სერვერია. შიდა ფორმა ჩანს tun0-ზე, wg0-ზე ან ნებისმიერ მოწყობილობაზე, რომელიც კლიენტმა შექმნა. გარე ფორმა ჩანს იმ ადაპტერზე, რომელიც მას ქსელში მიაქვს. ორივე ფორმა ლეგიტიმურია; ისინი სხვადასხვა კითხვას პასუხობენ. შეაგროვეთ თითოეული ცალკე, რადგან ორივეს განსხვავებული თავსართი და განსხვავებული მკითხველი აქვს.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

ფსევდოინტერფეისი any ცუდი არჩევანია ამ შედარებისთვის. გადამისამართებული პაკეტები ორჯერ შეიძლება ჩაიწეროს, ხოლო ლოკალურად შექმნილი პაკეტი ორივე ფორმით ჩნდება, რაც რიცხვებს აბერებს. თუ რიცხვი შეუძლებლად გეჩვენებათ, შეამოწმეთ ინტერფეისი, სანამ გვირაბს დაადანაშაულებთ.

გვირაბის შიგნით პაკეტი ჩვეულებრივია

გვირაბის მოწყობილობაზე, რასაც ხედავთ, არის ის, რაც აპლიკაციამ ბირთვს გაგზავნა სთხოვა. დანიშნულების მისამართები, პორტები, DNS სახელები, TLS სერვერის სახელები, ზომები და დრო ყველა იქ არის. TLS დატვირთვა დარჩება დაშიფრული თავად აპლიკაციის სესიით, ამიტომ აღბეჭდვა გვერდის შიგთავსს არ ამჟღავნებს. ღია ტექსტის DNS მოთხოვნა აქ ჩანს, თუმცა მისი გადამტანი დაშიფრულია, რადგან ის არასოდეს დაცულა.

დაშიფრული DNS შლის იმ ერთ ხილულ ველს. ის არ მალავს დანიშნულების მისამართს, ბაიტების რაოდენობას ან რიტმს, რომლებიც ნაკადის, და არა მოთხოვნის თვისებებია.

გარეთ მხოლოდ კონვერტი და მისი ფორმა

ფიზიკური ადაპტერი გიჩვენებთ თქვენს მისამართს, სერვერის მისამართს, პორტს, პაკეტების ზომებსა და დროს. შიგნით გადატანილი დანიშნულებები არ ჩანს, თუმცა მათი ფორმა მაინც შეიძლება დასკვნებს უჭერდეს მხარს. ზომები და კადენცია შეიძლება მიგვანიშნოს ვიდეო ნაკადზე, დიდ გადაცემაზე ან ჩატის სესიაზე, არც ერთის დასახელების გარეშე. ახლო დამკვირვებელი დაახლოებით იმავე ხედს ხედავს, რაც ხსნის, როგორ შეიძლება გვირაბმა საიტები დამალოს და ამავდროულად საკუთარი ყოფნა გამოაცხადოს.

ეს მტკიცება მარშრუტიზაციაზეა დამოკიდებული. ვიწრო მარშრუტი, IPv6 ნაგულისხმევი, რომელიც გვირაბში არ შედის, ან ფიზიკურ ინტერფეისზე მიბმული პროცესი ტრაფიკს კონვერტის გარეთ მოათავსებს. წაიკითხეთ რეალური მარშრუტი, სანამ აღბეჭდვიდან დასკვნებს გამოიტანთ.

პირის მისამართი და აღბეჭდვის ჰიგიენა

OpenVPN TCP რეჟიმში ინარჩუნებს დადგენილ სოკეტს, ამიტომ სოკეტების ცხრილს შეუძლია პირის დასახელება. OpenVPN UDP რეჟიმში ხშირად ტოვებს სოკეტს დაუკავშირებელს, და ss შეიძლება მხოლოდ ლოკალური მხარე აჩვენოს. ამის ნაცვლად წაიკითხეთ პროფილის remote, დეტალური კლიენტის ჟურნალი ან მარშრუტი საბოლოო წერტილამდე. WireGuard პირდაპირ იუწყება თავის საბოლოო წერტილსა და ბოლო ხელის ჩამორთმევას.

wg show
ss -tunp | grep 51820

აღბეჭდვის ფაილი უფრო დიდხანს ცოცხლობს, ვიდრე სესია, რომელმაც ის შექმნა. მისი კოპირება შესაძლებელია და ის შეიძლება იყოს წაკითხვადი ნებისმიერისთვის, ვისაც ლოკალური წვდომა აქვს. შეინახეთ მხოლოდ ის, რაც გამოძიებას სჭირდება, შეზღუდეთ ნებართვები და წაშალეთ, როცა სამუშაო დასრულდება.

გასაზიარებელმა აღბეჭდვამ უნდა თქვას, რომელმა ინტერფეისმა შექმნა ის და როდის. ამ ჩანაწერის გარეშე, შემდეგ მკითხველს მოუწევს გამოიცნოს, რომელ ფენას უყურებს.