Wat TUN mécht, a wat de VPN-Protokoll nach muss maachen

tun0 an e VPN-Protokoll als eng Saach ze behandelen schéckt d'Leit an de falsche Log. D'Interface ass eng lokal Grenz, wou e Programm am Benotzerraum IP-Päckelen mam Kernel austauscht. De Protokoll ass dat, wat dat Programm mat de Päckelen mécht, soubal et se huet: Transport, Authentifizéierung, Verschlësselung an e Géigeniwwer. D'Apparaterstellung wielt keng vun dësen.

Zwee Komponenten, ee Paketwee

De Kernel schreift en IP-Paket an den Apparat, an d'Programm liest et aus engem Fichiersdeskriptor. An déi aner Richtung schreift d'Programm e Paket zréck an de Kernel leet et weider, wéi wann et op enger richteger Interface ukomm wier. TUN dréit IP, während TAP Ethernet-Frammen dréit. E Paket op där Grenz ze liesen weist d'Framing, an dofir ass den Apparat genau do.

Alles iwwer där Grenz ass dem Programm seng Saach. Zwee Programmer kënne sech dat selwecht Interface-Konzept deelen a komplett verschidden Saache mat de Päckelen maachen. Den Apparat selwer huet keng Meenung, wat duerno geschitt. Den Fichiersdeskriptor ass deen eenzegen Halt, deen d'Programm op der Kernelsäit huet.

Erstellt den Apparat, a kuckt dann op d'Grenz

Erstellt bewosst en Apparat, wann dir d'Grenz test. En persistente Apparat iwwerlieft de Prozess, deen en erstallt huet, wat nëtzlech fir Experimenter ass an duerno eng heefeg Quell vu Verwirrung. Kontrolléiert d'Flaagen an den Eegentemer, ier dir de VPN beschëllegt.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

D'Detailer vum Link weisen den Apparatstyp an den zougehéieren Eegentemer. Wann kee Prozess en oppen hält, ginn d'Päckelen, déi erag Schreif ginn, néierend. En Apparat ouni zougehéieren Prozess kann an enger Lëscht vu Linke gesond ausgesinn, während en näischt duerchléisst.

Wat den Interface-Numm net verspriechen kann

Den Interface-Numm seet näischt iwwer Verschlësselung oder Authentifizéierung. E Programm kann d'Päckelen an TLS, an en eegene Protokoll, an IPsec oder an näischt packen. TUN amplaz TAP ze wielen ännert d'Framing op der Grenz, net den Sécherheetsdesign. D'Wiel vum Framing ass richteg, an se ass vill méi kleng wéi d'Sécherheetsfro.

Detektioun funktionéiert op déiselwecht Manéier: en Observateur gesäit de baussenzege Protokoll um Kabel, net en Etikett dee seet, wéi ee lokalen Apparat en erstallt huet. En Tunnel, dee wéi eppes aneschtes ausgesäit, mécht dat wéinst sengem baussenzege Protokoll, net wéinst sengem Interface-Numm. En Observateur kann net gesinn, wéi ee lokalen Apparat e Paket erstallt huet, just wéi de Paket ausgesäit. Halt déi zwou Froen auserneen, wann dir Produkter vergläicht, well eng Äntwert ni déi aner implizéiert.

Passt d'Reparatur un de Schrack un, dee versoe geet

Trennt d'Schracke vum Versoen, wann eppes futti geet. En Apparat dee feelt, e Berechtegungsfehler an eng ofgeleent Umeldung ginn ënnerschiddlech Beweiser an ënnerschiddlech Reparaturen. Liest fir d'éischt den lokalen Zoustand, dann dem Programm säin eegene Log, dann d'Siicht vum Géigeniwwer. Liest all dräi, ier dir eppes ännert.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Wann den Apparat existéiert an e Prozess en hält, funktionéiert déi lokal Grenz an de Problem läit méi wäit dobaussen. Wann den Apparat feelt, hëlleft keng nach esou grëndlech Kontroll vun den Zougangsdaten. E Schrack, deen dir nenne kënnt, ass e Schrack, deen dir teste kënnt. D'TUN/TAP-Dokumentatioun beschreift d'Grenz an den Apparatsmodell.