VPN ಟನೆಲ್ ಎಂದರೇನು ಮತ್ತು ರಕ್ಷಣೆ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ
ಟನೆಲ್ ಆಯ್ದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ನೀವು ಈಗಾಗಲೇ ಹೊಂದಿದ್ದ ಲಿಂಕ್ ಮೇಲೆ ಎರಡನೇ ಲಕೋಟೆಯಲ್ಲಿ ಸುತ್ತುತ್ತದೆ. ಒಂದು ವಿನಂತಿಯನ್ನು ಅನುಸರಿಸಿ ಮತ್ತು ಸೈಟ್ ನಿಜವಾಗಿ ಯಾವ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸುತ್ತದೆ ಎಂದು ನೋಡಿ.
ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಗೊಂಡಿದೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಬೀಗ ಮುಚ್ಚಿದೆ, ಆದರೂ ಒಂದು ಸೈಟ್ ನಿಮ್ಮ ಫ್ಲಾಟ್‌ನ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸುತ್ತಿದೆ. ಯಾವುದೂ ವಿಫಲವಾಗಿಲ್ಲ. ಟನೆಲ್ ನಿಮ್ಮ Wi-Fi ಅಥವಾ ಮೊಬೈಲ್ ಲಿಂಕ್ ಅನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ; ಅದು ಆಯ್ದ ಪ್ಯಾಕೆಟ್‌ಗಳ ಸುತ್ತ ಎರಡನೇ ಲಕೋಟೆ ಹಾಕಿ ಆ ಲಕೋಟೆಯನ್ನು ನೀವು ಈಗಾಗಲೇ ಹೊಂದಿದ್ದ ನೆಟ್‌ವರ್ಕ್ ಮೂಲಕ ಕಳುಹಿಸುತ್ತದೆ. ಈ ತಂತ್ರವನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವುದು ಮುಖ್ಯವಾಗಿ ಒಂದು ವಿನಂತಿಯನ್ನು ಅನುಸರಿಸುವುದು ಮತ್ತು ಲಕೋಟೆ ಎಲ್ಲಿ ತೆರೆಯುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸುವುದು, ಏಕೆಂದರೆ ಮನೆಯ ವಿಳಾಸ ಸೋರಿಕೆಯಿಂದ ದೊಡ್ಡ ಡೌನ್‌ಲೋಡ್ ನಿಂತುಕೊಳ್ಳುವವರೆಗೆ ಬಹುತೇಕ ಪ್ರತಿಯೊಂದು ಗೊಂದಲದ ಲಕ್ಷಣವೂ ಆ ಗಡಿಯಿಂದಲೇ ಬರುತ್ತದೆ.
ಎರಡು ಲಕೋಟೆಗಳು, ಒಂದು ಭೌತಿಕ ಲಿಂಕ್
ನಿಮ್ಮ ಲ್ಯಾಪ್‌ಟಾಪ್ ರೂಟರ್‌ನೊಂದಿಗೆ ತನ್ನ ಸಾಮಾನ್ಯ ಸಂಪರ್ಕವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ, ರೂಟರ್ ಪೂರೈಕೆದಾರರೊಂದಿಗೆ ತನ್ನ ಸಾಮಾನ್ಯ ಸಂಪರ್ಕವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಟನೆಲ್ ಮೇಲೆ ಬಂದಾಗ ಆ ಮಾರ್ಗದಲ್ಲಿ ಏನೂ ಬದಲಾಗುವುದಿಲ್ಲ. ಬದಲಾಗುವುದು ಏನೆಂದರೆ ಆಯ್ದ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ವರ್ಚುವಲ್ ಇಂಟರ್ಫೇಸ್‌ಗೆ ಒಪ್ಪಿಸಲಾಗುತ್ತದೆ, VPN ಸಹವರ್ತಿಗೆ ವಿಳಾಸ ಮಾಡಿದ ಹೊಸ ಪ್ಯಾಕೆಟ್ ಒಳಗೆ ಸುತ್ತಲಾಗುತ್ತದೆ, ಮತ್ತು ಭೌತಿಕ ಲಿಂಕ್ ಮೇಲೆ ಸಾಮಾನ್ಯ ಸಂಚಾರವಾಗಿ ಕಳುಹಿಸಲಾಗುತ್ತದೆ.
ಸ್ವೀಕರಿಸುವ ತುದಿ ಲಕೋಟೆಯನ್ನು ತೆರೆದು ಮೂಲ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅದರ ಗಮ್ಯಸ್ಥಾನದ ಕಡೆಗೆ ರವಾನಿಸುವ ಸಾಧನ. ಎರಡು ತುದಿಗಳ ನಡುವೆ ವೀಕ್ಷಕನಿಗೆ ಹೊರಗಿನ ಹೆಡರ್ ಕಾಣುತ್ತದೆ, ಒಳಗಿನ ಬಗ್ಗೆ ಏನೂ ಕಾಣುವುದಿಲ್ಲ, ಪ್ರೋಟೋಕಾಲ್ ಅದನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡದಿದ್ದರೆ, ಬಹುಪಾಲು ಗ್ರಾಹಕ ಪ್ರೋಟೋಕಾಲ್‌ಗಳು ಹಾಗೆ ಮಾಡುತ್ತವೆ ಮತ್ತು ಸಾಮಾನ್ಯ ತಂತ್ರ ಅದನ್ನು ಕಡ್ಡಾಯ ಮಾಡುವುದಿಲ್ಲ.
ಅದಕ್ಕೇ ವರ್ಚುವಲ್ ಇಂಟರ್ಫೇಸ್ ಒಟ್ಟಿಗೆ ನಿಜವೂ ಮತ್ತು ದಾರಿತಪ್ಪಿಸುವುದೂ ಆಗಿದೆ. ಅದು ವಿಳಾಸ ಮತ್ತು ಗರಿಷ್ಠ ಪ್ರಸಾರ ಘಟಕವಿರುವ ಕರ್ನಲ್ ವಸ್ತುವಾಗಿ ಅಸ್ತಿತ್ವದಲ್ಲಿದೆ, ಮತ್ತು ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂ ಬೇರೆ ಯಾವುದೇ ಇಂಟರ್ಫೇಸ್‌ಗೆ ಹಾಕುವಂತೆ ಅದರೊಳಗೆ ಸಂಚಾರವನ್ನು ಹಾಕುತ್ತದೆ. ಅದು ಕೇಬಲ್ ಅಲ್ಲ, ಮತ್ತು ಅದರ ಅಸ್ತಿತ್ವವು ಒಂದು ಘಟಕ ಸ್ಥಾಪಿತವಾಗಿದೆ ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ನಿಮ್ಮ ಬ್ರೌಸರ್ ಅದನ್ನು ಬಳಸುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಮಾರ್ಗಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ, ಇಂಟರ್ಫೇಸ್ ಮೇಲಿದೆಯೇ ಎಂಬುದಲ್ಲ.
ಒಂದು ವಿನಂತಿಯ ಪ್ರಯಾಣವನ್ನು ನೋಡಿ
ಒಂದು ಗಮ್ಯಸ್ಥಾನ ಆರಿಸಿ ಮತ್ತು ಕರ್ನಲ್‌ಗೆ ಯಾವ ಇಂಟರ್ಫೇಸ್ ಬಳಸುತ್ತದೆ ಎಂದು ಕೇಳಿ. ಈ ಒಂದೇ ಆಜ್ಞೆ ಟನೆಲ್ ಏನಾದರೂ ಮಾಡುತ್ತದೆಯೇ ಎಂಬ ಬಹುಪಾಲು ಚರ್ಚೆಗಳನ್ನು ಬಗೆಹರಿಸುತ್ತದೆ:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0ಮಾರ್ಗದ ಔಟ್‌ಪುಟ್ ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್ ಹೆಸರಿಸಿದರೆ ಪ್ಯಾಕೆಟ್ ಸುತ್ತಲ್ಪಡುತ್ತದೆ. ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್ ಹೆಸರಿಸಿದರೆ ಸುತ್ತಲ್ಪಡುವುದಿಲ್ಲ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಎಷ್ಟು ಬಾರಿ ಮರುಪ್ರಾರಂಭವಾದರೂ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ. ಎರಡನೇ ಆಜ್ಞೆ ಎರಡೂ ಇಂಟರ್ಫೇಸ್‌ಗಳನ್ನು ಅಕ್ಕಪಕ್ಕ ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ವಿಳಾಸವಿಲ್ಲದೆ ಅಥವಾ ತಪ್ಪು ಕುಟುಂಬದ ವಿಳಾಸದೊಂದಿಗೆ ಮೇಲೆ ಬಂದ ಟನೆಲ್ ಅನ್ನು ಹೀಗೇ ಗುರುತಿಸುತ್ತೀರಿ.
ನಂತರ ಲಕೋಟೆಯ ಒಳಗಿನಿಂದ ಮೊದಲ ಹಾಪ್ ನೋಡಿ, ಹೊರಗಿನ ಮೊದಲ ಹಾಪ್‌ನೊಂದಿಗೆ ಹೋಲಿಸಿ:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5ಟನೆಲ್ ಒಳಗೆ ಮೊದಲ ಹಾಪ್ ಸಹವರ್ತಿಯ ಒಳಗಿನ ವಿಳಾಸ, ನಿಮ್ಮ ರೂಟರ್ ಅಲ್ಲ. ಟನೆಲ್ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಸೆರೆಹಿಡಿಯುವುದು ಒಳಗಿನ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಅದೇ ಅಪ್ಲಿಕೇಶನ್ ಕಳುಹಿಸುತ್ತಿದೆ ಎಂದು ನಂಬುವ ಸಂಚಾರ. ಅದೇ ಸಮಯದಲ್ಲಿ ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಸೆರೆಹಿಡಿದರೆ ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್‌ಗಳು ಕಾಣುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಸೇರಿ ಟನೆಲ್ ನಿಜವಾಗಿ ಏನು ಮಾಡುತ್ತದೆ ಎಂಬುದರ ಸ್ಪಷ್ಟತಮ ಪ್ರದರ್ಶನ.
ಮೂರು ವಿಳಾಸಗಳು, ಮತ್ತು ಸೈಟ್ ಒಂದನ್ನು ಮಾತ್ರ ನೋಡುತ್ತದೆ
ಜನರು ಇವನ್ನು ನಿರಂತರವಾಗಿ ಗೊಂದಲಿಸುತ್ತಾರೆ, ಮತ್ತು ಆ ಗೊಂದಲ ಸುಳ್ಳು ಸೋರಿಕೆ ವರದಿಗಳನ್ನು ಹುಟ್ಟಿಸುತ್ತದೆ. ಇವು ಬೇರೆ ಬೇರೆ ಹೆಡರ್‌ಗಳಲ್ಲಿನ ಬೇರೆ ಬೇರೆ ಕ್ಷೇತ್ರಗಳು, ಬೇರೆ ಬೇರೆ ಆಯುಷ್ಯಗಳೊಂದಿಗೆ.
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
ವರ್ಚುವಲ್ ಅಡಾಪ್ಟರ್ ಪಕ್ಕದ ಸಂಖ್ಯೆ ಎರಡನೇ ಸಾಲು. ಅದು ಸೈಟ್ ದಾಖಲಿಸುವ ವಿಳಾಸವಲ್ಲ, ಮತ್ತು ಅದನ್ನು ನಿಮ್ಮ ಸಾರ್ವಜನಿಕ IP ಎಂದು ಉಲ್ಲೇಖಿಸುವುದು ಸುಮ್ಮನೆ ತಪ್ಪು. ಸೈಟ್ ನೋಡುವ ವಿಳಾಸವನ್ನು ನಿರ್ಗಮನ ನೀಡುತ್ತದೆ, ಮತ್ತು ಖಾಸಗಿ ನೆಟ್‌ವರ್ಕ್ ಟನೆಲ್‌ನಲ್ಲಿ ಸಾರ್ವಜನಿಕ ನಿರ್ಗಮನವೇ ಇಲ್ಲದಿರಬಹುದು, ಏಕೆಂದರೆ ಗಮ್ಯಸ್ಥಾನ ಇಂಟರ್ನೆಟ್‌ನಲ್ಲಲ್ಲ, ಸಂಸ್ಥೆಯ ಒಳಗಿದೆ.
ಸೈಟ್-ಟು-ಸೈಟ್ ಟನೆಲ್ ಬೇರೆ ಅಂತ್ಯ ಬಿಂದುಗಳೊಂದಿಗೆ ಅದೇ ಕಾರ್ಯವಿಧಾನ. ಎರಡು ರೂಟರ್‌ಗಳು ನೆಟ್‌ವರ್ಕ್‌ಗಳ ನಡುವೆ ಸಂಚಾರವನ್ನು ಸುತ್ತುತ್ತವೆ, ಮತ್ತು ಯಾವುದೇ ಒಂದು ಸಾಧನದಲ್ಲಿ ಕ್ಲೈಂಟ್ ಸ್ಥಾಪಿತವಾಗಿಲ್ಲ. ಲಕೋಟೆ ತತ್ತ್ವದಲ್ಲಿ ಒಂದೇ, ಆಡಳಿತದ ಗಡಿ ಅಲ್ಲ.
ಲಕೋಟೆ ಎಲ್ಲಿ ತೆರೆಯುತ್ತದೆ, ಮತ್ತು ಅದರಿಂದ ಏನು ಉಳಿಯುತ್ತದೆ
ಟನೆಲ್ ತನ್ನ ಸಹವರ್ತಿಯಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ. ಅಪ್ಲಿಕೇಶನ್‌ನ ಸ್ವಂತ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಇನ್ನೂ ದೂರ ಹೋದರೆ ಅದು ಆ ಗಡಿಯನ್ನು ದಾಟಿ ಉಳಿಯುತ್ತದೆ, ಇದು HTTPSನ ಸಾಮಾನ್ಯ ಸಂದರ್ಭ: ಬ್ರೌಸರ್‌ನ ಅವಧಿ ಸೈಟ್‌ನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ನಿರ್ಗಮನವು ಓದಲಾಗದ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಪಠ್ಯವನ್ನು ರವಾನಿಸುತ್ತದೆ.
ಬೇರೆ ಏನೂ ಡಿಫಾಲ್ಟ್ ಆಗಿ ಉಳಿಯುವುದಿಲ್ಲ. ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡದ ವಿನಂತಿ ನಿರ್ಗಮನದಲ್ಲಿ ಕೆಫೆಯ Wi-Fi ನಲ್ಲಿ ಓದಲಾಗುತ್ತಿದ್ದಂತೆಯೇ ಓದಲಾಗುತ್ತದೆ, ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಎಂದೂ ಹೊಂದಿರದ ರಕ್ಷಣೆಯನ್ನು ಟನೆಲ್ ಸೇರಿಸುವುದಿಲ್ಲ. ಅದೇ ರೀತಿ, ನಿರ್ಗಮನದ ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳು ಮತ್ತು ರವಾನೆ ನೀತಿ ಮುಂದೆ ಏನಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ; ಯಶಸ್ವಿ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಸಹವರ್ತಿ ಸಂಪರ್ಕದ ಬಗ್ಗೆ ಸತ್ಯ, ಪ್ರಯಾಣದ ಉಳಿದ ಭಾಗದ ಬಗ್ಗೆ ಅಲ್ಲ.
ಹೆಚ್ಚುವರಿ ಭಾರ ಇನ್ನೊಂದು ಗೋಚರ ಪರಿಣಾಮ. ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ ಹೆಚ್ಚುವರಿ ಹೆಡರ್ ಒಯ್ಯುತ್ತದೆ, ಮತ್ತು ಹೊರಗಿನ ಸಾಗಣೆ ತನ್ನದನ್ನು ಸೇರಿಸಬಹುದು, ಆದ್ದರಿಂದ ಪ್ರತಿ ಪ್ಯಾಕೆಟ್‌ನ ಉಪಯುಕ್ತ ಹೊರೆ ಕುಗ್ಗುತ್ತದೆ. ಸ್ಥಿರ ಗರಿಷ್ಠ ಪ್ರಸಾರ ಘಟಕದ ಮಾರ್ಗದಲ್ಲಿ, ಟನೆಲ್ ಪಿಂಗ್ ದಾಟಿಸಿ ದೊಡ್ಡ ಅಪ್‌ಲೋಡ್ ತಡೆಯಲು ಇದೇ ಕಾರಣ.
ಅಪ್ಲಿಕೇಶನ್ ನಿಜವಾಗಿ ತೆಗೆದುಕೊಂಡ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ
ಕೊನೆಯ ಹಂತ ಸಾಮಾನ್ಯವಾಗಿ ಯಂತ್ರವನ್ನಲ್ಲ, ನಿರ್ದಿಷ್ಟ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ದೃಢೀಕರಿಸುವುದು. ಗಮ್ಯಸ್ಥಾನವನ್ನು ಬಿಡಿಸಿ, ಆ ವಿಳಾಸದ ಮಾರ್ಗ ನೋಡಿ, ನಂತರ ಸಂಪರ್ಕ ತೆರೆದಿರುವಾಗ ಅದನ್ನು ಗಮನಿಸಿ:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'ಮಾರ್ಗ ಟನೆಲ್ ಹೆಸರಿಸಿದರೂ ಸಾಕೆಟ್ ಪಟ್ಟಿ ಭೌತಿಕ ಇಂಟರ್ಫೇಸ್‌ನ ಮೂಲ ವಿಳಾಸದ ಸಂಪರ್ಕ ತೋರಿಸಿದರೆ, ಅಪ್ಲಿಕೇಶನ್ ಯಾವುದೋ ನಿರ್ದಿಷ್ಟದಕ್ಕೆ ಬದ್ಧವಾಗಿದೆ, ಅಥವಾ ಎರಡನೇ ಟನೆಲ್ ಡಿಫಾಲ್ಟ್ ಮಾರ್ಗಕ್ಕಾಗಿ ಸ್ಪರ್ಧಿಸುತ್ತಿದೆ. ಇದು ರೂಟಿಂಗ್ ಪ್ರಶ್ನೆ, ಮತ್ತು ಕ್ಲೈಂಟ್‌ನ ಸ್ಥಿತಿ ಪರದೆಯ ಬದಲು ಈ ಮೂರು ಔಟ್‌ಪುಟ್‌ಗಳಿಂದ ಉತ್ತರಿಸಬಹುದು.
RFC 4301 ಭದ್ರತಾ ವಾಸ್ತುಶಿಲ್ಪ IPsecಗಾಗಿ ಈ ಸುತ್ತುವಿಕೆಯ IP ಪದರದ ಆವೃತ್ತಿಯನ್ನು ವಿವರಿಸುತ್ತದೆ, ಮತ್ತು ಅದೇ ಪದರ ತರ್ಕ WireGuard ಮತ್ತು OpenVPN ಗೂ ಅನ್ವಯಿಸುತ್ತದೆ. ಒಳಗಿನ ಪ್ಯಾಕೆಟ್ ಮತ್ತು ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಪ್ರತ್ಯೇಕ ವಸ್ತುಗಳಾಗಿ ತೋರಿಸಲು ಸಾಧ್ಯವಾದಾಗ, ಟನೆಲ್‌ನ ಬಹುಪಾಲು ವರ್ತನೆ ನಿಗೂಢವಾಗಿರುವುದನ್ನು ನಿಲ್ಲಿಸಿ ನೀವು ಓದಬಹುದಾದ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕವಾಗುತ್ತದೆ.