Wat en VPN-Tunnel ass, a wou de Schutz ophält

De Client seet verbonnen, d'Schlass ass zou, an eng Säit logt nach ëmmer d'Adress vun Ärer Wunneng. Näischt ass feelgeschloen. En Tunnel ersetzt net Äert Wi-Fi oder Är mobil Verbindung; hie setzt en zweeten Enveloppe ëm bestëmmte Paketen a schéckt dësen Enveloppe iwwer d'Netz, dat Dir schonn hutt. Den Trick ze verstoen ass gréisstendeels eng Ufro ze verfollegen an ze bemierken, wou den Enveloppe opgemaach gëtt, well bal all verwirrend Symptom, vun enger auslafender Heemadress bis zu engem hausende groussen Download, vun där Grenz kënnt.

Zwee Enveloppen, eng physesch Verbindung

Ären Laptop behält seng normal Verbindung mam Router, an de Router behält seng normal Verbindung mam Provider. Um deem Wee ännert sech näischt, wann en Tunnel eropkënnt. Wat sech ännert ass, datt ausgewielte Paketen un eng virtuell Schnëttstell iwwerginn, an en neit Paket adresséiert un de VPN-Partner agewéckelt a s als gewéinlechen Trafic iwwer déi physesch Verbindung geschéckt ginn.

D'Empfangsseite ass en Apparat, deen den Enveloppe opmécht an d'Originalpaket a Richtung säin Zil weiderleet. Tëschent den zwou Säiten gesäit en Observateur den äusseren Header an näischt iwwer den inneren, ausser de Protokoll verschlësselt en, wat déi meeschte Konsumenteprotokollen maachen an déi allgemeng Technik net verlangt.

Dofir ass déi virtuell Schnëttstell gläichzäiteg real an irreféierend. Si existéiert als Kernelobjekt mat enger Adress an enger maximaler Iwwerdroungseenheet, an d'Betribssystem leet Trafic era wéi an all aner Schnëttstell. Si ass kee Kabel, an hir Existenz beweist just, datt eng Komponent installéiert ass. Ob Äre Browser se benotzt, entscheeden d'Routen, net ob d'Schnëttstell uewen ass.

Kuckt eng Ufro op der Rees

Wielt en Zil a frot de Kernel, wéi eng Schnëttstell en benotze wäert. Dës eenzeg Kommando entscheet déi meescht Diskussiounen driwwer, ob den Tunnel iwwerhaapt eppes mécht:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Wann d'Routenausgab d'Tunnelschnëttstell nennt, gëtt de Paket agewéckelt. Wann se déi physesch Schnëttstell nennt, gëtt en dat net, an keen Neistart vum Client ännert dat. Déi zweet Kommando weist déi zwou Schnëttstellen niefteneen, an esou entdeckt Dir en Tunnel, deen ouni Adress oder mat enger Adress aus der falscher Famill eropkomm ass.

Kuckt dann den éischte Sprong vun bannen aus dem Enveloppe, a vergläicht en mam éischte Sprong dobaussen:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Bannen am Tunnel ass den éischte Sprong d'inner Adress vum Partner, net Äre Router. D'Opnam op der Tunnelschnëttstell weist déi inner Paketen, dat ass den Trafic, deen d'Applikatioun mengt ze schécken. D'Opnam gläichzäiteg op der physescher Schnëttstell weist déi baussenzeg Paketen, an déi zwee zesummen sinn déi kloerst Demonstratioun vun deem, wat en Tunnel tatsächlech mécht.

Dräi Adressen, an nëmmen eng gesäit d'Säit

D'Leit verwiesselen dës stänneg, an d'Verwiesslung produzéiert falsch Leckberichter. Et sinn ënnerschiddlech Felder an ënnerschiddlechen Headere mat ënnerschiddlecher Liewensdauer.

D'Zuel nieft dem virtuelle Adapter ass déi zweet Zeil. Et ass net d'Adress, déi eng Säit logt, an se als Är ëffentlech IP ze zitéieren ass einfach falsch. D'Adress, déi eng Säit gesäit, gëtt vum Ausgang zougewisen, an an engem Tunnel an en privat Netz ka et guer keen ëffentlechen Ausgang ginn, well d'Zil bannen an der Organisatioun läit an net am Internet.

En Tunnel tëschent Standorten ass dee selwechte Mechanismus mat aneren Endpunkten. Zwee Routere wéckelen Trafic tëschent Netzwierker, an keen eenzelen Apparat huet e Client installéiert. Den Enveloppe ass am Prinzip identesch, d'administrativ Grenz net.

Wou den Enveloppe opgemaach gëtt, a wat en iwwerlieft

Den Tunnel endet bei sengem Partner. Wann d'Verschlësselung vun der Applikatioun selwer méi wäit geet, iwwerlieft si déi Grenz, wat de normale Fall bei HTTPS ass: d'Sessioun vum Browser endet op der Säit, dofir leet den Ausgang Chiffertext weider, deen en net liese kann.

Soss iwwerlieft näischt standardméisseg. Eng onverschlësselt Ufro ass um Ausgang liesbar genee sou, wéi se um Café sengem Wi-Fi liesbar war, an den Tunnel füügt kee Schutz derbäi, deen d'Applikatioun ni hat. Genee esou entscheeden d'Firewallregelen an d'Weiderleeungsrichtlinn vum Ausgang, wat als nächst geschitt; en erfollegräichen Handshake ass eng Tatsaach iwwer d'Verbindung mam Partner, net iwwer de Rescht vun der Rees.

Den Iwwerhang ass déi aner siichtbar Konsequenz. All Paket dréit en zousätzlechen Header, an den äusseren Transport kann säin eegene derbäisetzen, sou datt d'notzbar Notzlaascht pro Paket schrumpft. Op engem Wee mat enger fixer maximaler Iwwerdroungseenheet ass dat genee de Grond, firwat en Tunnel en Ping duerchléisst an en groussen Upload blockéiert.

Iwwerpréift de Wee, deen d'Applikatioun tatsächlech geholl huet

De leschte Schrëtt ass déi konkreet Applikatioun ze bestätegen, net d'Maschinn am Allgemengen. Léist d'Zil op, kuckt d'Route fir déi Adress, an observéiert dann d'Verbindung, während se op ass:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Wann d'Route den Tunnel nennt, awer d'Socketlëscht eng Verbindung mat enger Quelladress vun der physescher Schnëttstell weist, ass d'Applikatioun un eppes Konkreetes gebonnen, oder en zweeten Tunnel konkurréiert ëm déi Standardroute. Dat ass eng Routingfro, an se kann aus dësen dräi Ausgaben beäntwert ginn an net vum Statusécran vum Client.

D'Sécherheetsarchitektur RFC 4301 beschreift d'IP-Schicht-Versioun vun dësem Awéckelen fir IPsec, an déiselwecht Schichtlogik gëllt fir WireGuard an OpenVPN. Soubal Dir de bannenzege Paket an de baussenzege Paket als getrennt Objete kënnt bezeechnen, hält de gréissten Deel vum Tunnelverhalen op mysteriéis ze sinn a gëtt eng Routingtabell, déi Dir liese kënnt.