VPN-Ofgrëff: banneschten Paketen op tun0, Ëmschlag op eth0

Opgräifen op engem VPN-Host registréiert net eng eenzeg Saach. De Kernel weist de Paket zweemol: agepackt, um physeschen Adapter, an ausgepackt, um Tunnel-Apparat. D’Schnittstell ze wielen heescht ze wielen, wéi eng vun dëse Geschichten Dir liest. Déi meescht Diskussiounen driwwer, wat eng Opnam beweist, sinn eigentlech Diskussiounen driwwer, wéi eng Geschicht gesammelt gouf.

Encapsulatioun schaaft zwou Vueen

Den Tunnel hëlt de Paket, deen eng Applikatioun produzéiert huet, an setzt en an en neien, deem säin Zil de VPN-Server ass. D’bannenzeg Form erschéngt op tun0, wg0 oder op engem Apparat, deen de Client erstallt huet. D’baussenzeg Form erschéngt um Adapter, deen en an d’Netzwierk dréit. Béid Forme sinn legitim; si beäntweren ënnerschiddlech Froen. Sammelt jiddwereen eenzel, well déi zwou ënnerschiddlech Headeren an ënnerschiddlech Lieser hunn.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

D’Pseudo-Schnittstell any ass eng schlecht Wiel fir dëse Verglach. Weidergeleet Pakete kënnen zweemol registréiert ginn, an e lokal generéierte Paket erschéngt a béiden Formen, wat d’Zuele bléist. Wann eng Zuel onméiglech ausgesäit, préift d’Schnittstell, ier Dir den Tunnel beschëllegt.

Am Tunnel ass de Paket gewéinlech

Um Tunnel-Apparat ass dat, wat Dir gesitt, dat, wat d’Applikatioun de Kernel gefrot huet ze schécken. Ziladressen, Porten, DNS-Nimm, TLS-Servernimm, Gréissten an Timing sinn all do. D’TLS-Luedung bleift duerch d’Sessioun vun der Applikatioun selwer verschlësselt, sou datt d’Opnam keng Säiteninhalter verroden. Eng DNS-Fro am Kloertext ass hei siichtbar, och wann hire Fourrier verschlësselt ass, well se ni geschützt war.

Verschlësselt DNS entfernt dat eenzegt siichtbart Feld. Et verstoppt net d’Ziladress, d’Bytezuel oder de Rhythmus, déi Eegenschafte vum Flux sinn an net vun der Fro.

Bausse just den Ëmschlag a seng Form

Den physeschen Adapter weist Är Adress, d’Adress vum Server, de Port, d’Paketgréissten an den Timing. D’Ziler, déi bannen gedroe ginn, feele, obwuel hir Form nach Ëmschloss ënnerstëtze kann. Gréissten an Kadenz kënnen e Videostream, eng grouss Iwwerdroung oder eng Chat-Sessioun suggeréieren, ouni eng dovun ze nennen. E Beobachter an der Noperschaft gesäit ongeféier déiselwecht Vue, wat erkläert, wéi en Tunnel Siten ka verstoppen, während en seng eege Präsenz annoncéiert.

Dës Behauptung hänkt vum Routing of. Eng méi schmuel Route, en IPv6-Standard, deen net an den Tunnel geet, oder e Prozess, deen un d’physesch Schnittstell gebonnen ass, wäert den Traffic baussent dem Ëmschlag setzen. Liest déi tatsächlech Route, ier Dir Schlussfolgerungen aus der Opnam zitt.

Peer-Adress an Opnam-Hygiene

OpenVPN am TCP-Modus hält e etabléierte Socket, sou datt d’Socket-Tabell de Peer nenne kann. OpenVPN am UDP-Modus léisst de Socket dacks ongebonnen, an ss weist vläicht nëmmen déi lokal Säit. Liest amplaz remote vum Profil, e detailléierte Client-Log oder d’Route zum Endpunkt. WireGuard mellt säin Endpunkt a säin leschten Handshake direkt.

wg show
ss -tunp | grep 51820

Eng Opnam-Datei iwwerlieft d’Sessioun, déi se produzéiert huet. Si ka kopéiert ginn, a si ka fir jiddereen mat lokalem Zougang liesbar sinn. Hält just dat, wat d’Enquête brauch, beschränkt d’Autorisatiounen an läscht se, wann d’Aarbecht fäerdeg ass.

Eng deelech Opnam soll soen, wéi eng Schnittstell se produzéiert huet a wéini. Ouni déi Notiz muss den nächsten Lieser roden, wéi eng Schicht hie kuckt.