VPN кармоо: tun0 ичиндеги пакеттер, eth0 кабыгы

VPN хостунда кармоо бир гана нерсени жазбайт. Ядро пакетти эки жолу ачат: физикалык адаптерде оролгон, туннел түзмөгүндө ачылган түрдө. Интерфейсти тандоо — бул окуялардын кайсынысын окуй турганыңызды тандоо. Кармоо эмнени далилдейт деген талаштардын көбү чындыгында кайсы окуя топтолду деген талаш.

Инкапсуляция эки көрүнүш жаратат

Туннел колдонмо жараткан пакетти алып, аны багыты VPN сервери болгон жаңы пакеттин ичине салат. Ички форма tun0, wg0 же кардар жараткан кандай гана түзмөктө болбосун көрүнөт. Сырткы форма аны тармакка алып барган адаптерде көрүнөт. Эки форма тең мыйзамдуу; алар ар кандай суроолорго жооп берет. Ар бирин өзүнчө топтоңуз, анткени экөөнүн аталыштары жана окурмандары ар башка.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Бул салыштыруу үчүн any псевдоинтерфейси начар тандоо. Жөнөтүлгөн пакеттер эки жолу жазылышы мүмкүн, ал эми жергиликтүү жаралган пакет эки формада тең көрүнөт, бул эсептерди көбөйтөт. Эгер сан мүмкүн эмес көрүнсө, туннелди күнөөлөөдөн мурун интерфейсти текшериңиз.

Туннелдин ичинде пакет кадимки

Туннел түзмөгүндө көргөнүңүз — колдонмо ядродон жөнөтүүнү сураган нерсе. Барар даректер, порттор, DNS аттары, TLS сервер аттары, өлчөмдөр жана убакыт — баары ошол жерде. TLS жүктөмү колдонмонун өз сессиясы менен шифрленген бойдон калат, ошондуктан кармоо беттин мазмунун ачпайт. Ачык тексттеги DNS суроосу бул жерде көрүнөт, анын ташуучусу шифрленген болсо да, анткени ал эч качан корголгон эмес.

Шифрленген DNS ошол бир көрүнүүчү талааны алып салат. Ал барар даректи, байт санын же ыргакты жашырбайт, булар агымдын касиеттери, суроонун эмес.

Сыртта кабык жана анын формасы гана

Физикалык адаптер сиздин дарегиңизди, сервердин дарегин, портту, пакет өлчөмдөрүн жана убакытты көрсөтөт. Ичинде ташылып жүргөн багыттар жок, бирок алардын формасы дагы эле божомолго негиз боло алат. Өлчөмдөр жана ыргак эч бирин атабастан видео агымын, чоң өткөрмөнү же чат сессиясын сунушташы мүмкүн. Жакынкы байкоочу болжол менен ошол эле көрүнүштү көрөт, бул туннелдин өз бар экендигин жарнамалап туруп, сайттарды кантип жашыра аларын түшүндүрөт.

Бул ырастоо маршруттоого көз каранды. Тар маршрут, туннелге кирбеген IPv6 демейкиси же физикалык интерфейске байланган процесс трафикти кабыктын сыртына чыгарат. Кармоодон тыянак чыгарбастан мурун чыныгы маршрутту окуңуз.

Пир дареги жана кармоо гигиенасы

TCP режиминдеги OpenVPN орнотулган сокетти кармайт, ошондуктан сокет таблицасы пирди атай алат. UDP режиминдеги OpenVPN сокетти көбүнчө туташтырылбаган бойдон калтырат, ал эми ss жергиликтүү тарапты гана көрсөтүшү мүмкүн. Анын ордуна профилдин remote талаасын, толук кардар журналын же акыркы чекитке чейинки маршрутту окуңуз. WireGuard өзүнүн акыркы чекитин жана акыркы кол алышуусун түз билдирет.

wg show
ss -tunp | grep 51820

Кармоо файлы аны жараткан сессиядан узак жашайт. Аны көчүрүүгө болот жана жергиликтүү кирүү мүмкүнчүлүгү бар ар ким окуй алат. Тергөөгө керектүү нерселерди гана сактаңыз, укуктарды чектеңиз жана иш бүткөндө аны жок кылыңыз.

Бөлүшүүгө боло турган кармоо кайсы интерфейс аны жаратканын жана качан жаратканын айтышы керек. Бул эскертүүсүз кийинки окуучу кайсы катмарга карап турганын болжолдоого аргасыз.