VPN fiksavimas: vidiniai paketai tun0, apvalkalas eth0

Fiksavimas VPN hoste neįrašo vieno vienintelio dalyko. Branduolys pateikia paketą du kartus: įvyniotą, fiziniame adapteryje, ir išvyniotą, tunelio įrenginyje. Sąsajos pasirinkimas yra pasirinkimas, kurią iš šių istorijų skaitote. Dauguma ginčų, ką įrodo fiksavimas, iš tikrųjų yra ginčai, kuri istorija buvo surinkta.

Inkapsuliavimas sukuria du vaizdus

Tunelis paima programos sukurtą paketą ir įdeda jį į naują, kurio paskirties vieta yra VPN serveris. Vidinė forma atsiranda tun0, wg0 arba bet kuriame kliento sukurtame įrenginyje. Išorinė forma atsiranda adapteryje, kuris ją neša į tinklą. Abi formos yra teisėtos; jos atsako į skirtingus klausimus. Rinkite kiekvieną atskirai, nes abi turi skirtingas antraštes ir skirtingus skaitytojus.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo sąsaja any yra blogas pasirinkimas šiam palyginimui. Persiųsti paketai gali būti įrašyti du kartus, o vietoje sukurtas paketas pasirodo abiem formomis, todėl skaičiai išpučiami. Jei skaičius atrodo neįmanomas, patikrinkite sąsają prieš kaltindami tunelį.

Tunelio viduje paketas yra įprastas

Tunelio įrenginyje tai, ką matote, yra tai, ko programa paprašė branduolį siųsti. Paskirties adresai, prievadai, DNS vardai, TLS serverių vardai, dydžiai ir laikas visi yra ten. TLS naudingoji apkrova lieka užšifruota pačios programos sesijos, todėl fiksavimas neatskleidžia puslapio turinio. Paprasto teksto DNS užklausa čia matoma, nors jos nešėjas užšifruotas, nes ji niekada nebuvo apsaugota.

Užšifruotas DNS pašalina tą vieną matomą lauką. Jis neslepia paskirties adreso, baitų skaičiaus ar ritmo, kurie yra srauto, o ne užklausos savybės.

Lauke tik apvalkalas ir jo forma

Fizinis adapteris rodo jūsų adresą, serverio adresą, prievadą, paketų dydžius ir laiką. Viduje nešamos paskirties vietos nėra, nors jų forma vis dar gali pagrįsti išvadas. Dydžiai ir tempas gali rodyti vaizdo srautą, didelį perdavimą ar pokalbio sesiją, neįvardydami nė vieno. Netoliese esantis stebėtojas mato maždaug tą patį vaizdą, o tai paaiškina, kaip tunelis gali slėpti svetaines, kartu skelbdamas savo buvimą.

Šis teiginys priklauso nuo maršrutizavimo. Siauresnis maršrutas, numatytasis IPv6, kuris nepatenka į tunelį, arba prie fizinės sąsajos pririštas procesas perkels srautą už apvalkalo ribų. Perskaitykite tikrąjį maršrutą prieš darydami išvadas iš fiksavimo.

Partnerio adresas ir fiksavimo higiena

TCP režime OpenVPN palaiko nustatytą lizdą, todėl lizdų lentelė gali įvardyti partnerį. UDP režime OpenVPN dažnai palieka lizdą neprijungtą, o ss gali rodyti tik vietinę pusę. Skaitykite vietoj to profilio remote, išsamų kliento žurnalą arba maršrutą iki galinio taško. WireGuard tiesiogiai praneša savo galinį tašką ir paskutinį rankos paspaudimą.

wg show
ss -tunp | grep 51820

Fiksavimo failas gyvuoja ilgiau nei jį sukūrusi sesija. Jį galima nukopijuoti, ir jis gali būti skaitomas bet kurio, turinčio vietinę prieigą. Saugokite tik tai, ko reikia tyrimui, apribokite leidimus ir ištrinkite jį, kai darbas bus baigtas.

Bendrinamas fiksavimas turėtų pasakyti, kuri sąsaja jį sukūrė ir kada. Be šios pastabos kitas skaitytojas turi spėti, į kurį sluoksnį jis žiūri.