VPN түсірілімі: tun0 ішіндегі пакеттер, eth0 қаптамасы

VPN хостта түсіру бір ғана нәрсені жазбайды. Ядро пакетті екі рет ашады: физикалық адаптерде оралған, туннель құрылғысында ашылған күйде. Интерфейсті таңдау — осы әңгімелердің қайсысын оқитыныңызды таңдау. Түсірілім нені дәлелдейтіні туралы даулардың көбісі шын мәнінде қай әңгіме жиналғаны туралы дау.

Инкапсуляция екі көрініс жасайды

Туннель қолданба жасаған пакетті алып, оны межелі жері VPN сервері болатын жаңа пакеттің ішіне салады. Ішкі пішін tun0, wg0 немесе клиент жасаған кез келген құрылғыда көрінеді. Сыртқы пішін оны желіге апаратын адаптерде көрінеді. Екі пішін де заңды; олар әртүрлі сұрақтарға жауап береді. Әрқайсысын бөлек жинаңыз, өйткені екеуінің тақырыптары мен оқырмандары әртүрлі.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Бұл салыстыру үшін any псевдоинтерфейсі нашар таңдау. Жіберілген пакеттер екі рет жазылуы мүмкін, ал жергілікті жасалған пакет екі пішінде де көрінеді, бұл санақты ұлғайтады. Егер сан мүмкін емес көрінсе, туннельді кінәламас бұрын интерфейсті тексеріңіз.

Туннель ішінде пакет қарапайым

Туннель құрылғысында көргеніңіз — қолданба ядродан жіберуді сұраған нәрсе. Межелі адрестер, порттар, DNS атаулары, TLS сервер атаулары, өлшемдер мен уақыт — бәрі сонда. TLS жүктемесі қолданбаның өз сессиясымен шифрланған күйде қалады, сондықтан түсірілім бет мазмұнын ашпайды. Ашық мәтінді DNS сұрауы мұнда көрінеді, тіпті оның тасымалдаушысы шифрланған болса да, өйткені ол ешқашан қорғалмаған.

Шифрланған DNS сол бір көрінетін өрісті жояды. Ол межелі адресті, байт санын немесе ырғақты жасырмайды, бұлар ағынның қасиеттері, сұраудың емес.

Сыртта тек қаптама және оның пішіні

Физикалық адаптер сіздің адресіңізді, сервер адресін, портты, пакет өлшемдерін және уақытты көрсетеді. Ішінде тасымалданатын межелі жерлер жоқ, бірақ олардың пішіні әлі де қорытындыға негіз бола алады. Өлшемдер мен ырғақ ешқайсысын атамай-ақ бейне ағынын, үлкен тасымалдауды немесе чат сессиясын болжауы мүмкін. Жақын бақылаушы шамамен осы көріністі көреді, бұл туннельдің өз болмысын жарнамалай отырып, сайттарды қалай жасыра алатынын түсіндіреді.

Бұл тұжырым маршруттауға байланысты. Тар маршрут, туннельге кірмейтін IPv6 әдепкісі немесе физикалық интерфейске байланған процесс трафикті қаптамадан тыс қалдырады. Түсірілімнен қорытынды жасамас бұрын нақты маршрутты оқыңыз.

Пир адресі және түсірілім гигиенасы

TCP режиміндегі OpenVPN орнатылған сокетті ұстайды, сондықтан сокет кестесі пирді атай алады. UDP режиміндегі OpenVPN сокетті жиі қосылмаған күйде қалдырады, ал ss тек жергілікті жақты көрсетуі мүмкін. Оның орнына профильдің remote өрісін, егжей-тегжейлі клиент журналын немесе соңғы нүктеге дейінгі маршрутты оқыңыз. WireGuard өз соңғы нүктесі мен соңғы қол алысуын тікелей хабарлайды.

wg show
ss -tunp | grep 51820

Түсірілім файлы оны жасаған сессиядан ұзақ өмір сүреді. Оны көшіруге болады және жергілікті қолжетімділігі бар кез келген адам оқи алады. Тек тергеуге қажеттіні сақтаңыз, рұқсаттарды шектеңіз және жұмыс біткенде оны жойыңыз.

Бөлісуге болатын түсірілім қай интерфейс оны жасағанын және қашан жасағанын айтуы керек. Бұл жазбасыз келесі оқырман қай қабатқа қарап тұрғанын болжауға мәжбүр.