Ko dara TUN un kas VPN protokolam vēl jādara

Attieksme pret tun0 un VPN protokolu kā pret vienu lietu aizved cilvēkus pie nepareizā žurnāla. Saskarne ir lokāla robeža, kur lietotāja telpas programma apmainās ar IP paketēm ar kodolu. Protokols ir tas, ko šī programma dara ar paketēm, tiklīdz tās ir: pārsūtīšana, autentifikācija, šifrēšana un partneris. Ierīces izveide neizvēlas nevienu no tiem.

Divas sastāvdaļas, viens pakešu ceļš

Kodols ieraksta IP paketi ierīcē, un programma to nolasa no faila deskriptora. Pretējā virzienā programma ieraksta paketi atpakaļ, un kodols to maršrutē tā, it kā tā būtu ieradusies īstā saskarnē. TUN pārvadā IP, bet TAP pārvadā Ethernet kadrus. Paketes lasīšana pie šīs robežas parāda iekadrējumu, un ierīce ir domāta tieši tam.

Viss aiz šīs robežas ir programmas darīšana. Divas programmas var izmantot vienu un to pašu saskarnes jēdzienu un darīt ar paketēm pilnīgi atšķirīgas lietas. Pašai ierīcei nav viedokļa par to, kas notiks tālāk. Faila deskriptors ir vienīgais rokturis, kas programmai ir kodola pusē.

Izveidojiet ierīci, tad vērojiet robežu

Pārbaudot robežu, apzināti izveidojiet ierīci. Pastāvīga ierīce pārdzīvo procesu, kas to izveidoja, kas ir noderīgi eksperimentiem un vēlāk kļūst par biežu apjukumu avotu. Pirms vainot VPN, pārbaudiet karodziņus un īpašnieku.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

Saites informācija parāda ierīces tipu un piesaistīto īpašnieku. Ja neviens process to netur atvērtu, tajā ierakstītās paketes nekur nenonāk. Ierīce bez piesaistīta procesa var izskatīties vesela saišu sarakstā, lai gan neko neizlaiž cauri.

Ko saskarnes nosaukums nevar apsolīt

Saskarnes nosaukums neko nepasaka par šifrēšanu vai autentifikāciju. Programma var ietīt paketes TLS, savā protokolā, IPsec vai nekur. Izvēloties TUN, nevis TAP, mainās iekadrējums pie robežas, nevis drošības dizains. Iekadrējuma izvēle ir reāla, un tā ir daudz mazāka par drošības jautājumu.

Atklāšana darbojas tāpat: novērotājs redz ārējo protokolu uz vada, nevis uzlīmi, kas pateiktu, kura lokālā ierīce to radīja. Tunelis, kas izskatās kā kaut kas cits, tāds ir sava ārējā protokola dēļ, nevis saskarnes nosaukuma dēļ. Novērotājs nevar redzēt, kura lokālā ierīce radīja paketi, tikai to, kā pakete izskatās. Turiet šos divus jautājumus atsevišķi, kad salīdzināt produktus, jo viena atbilde nekad neizriet no otras.

Pielāgojiet labojumu neizdevušajam posmam

Kad kaut kas salūzt, atdaliet atteices posmus. Trūkstoša ierīce, atļauju kļūda un noraidīta pieteikšanās dod atšķirīgus pierādījumus un atšķirīgus labojumus. Vispirms lasiet lokālo stāvokli, tad pašas programmas žurnālu, tad partnera skatījumu. Izlasiet visus trīs pirms kaut ko mainīt.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Ja ierīce pastāv un process to tur, lokālā robeža strādā, un problēma ir tālāk. Ja ierīces nav, nekāda akreditācijas datu pārbaude nepalīdzēs. Posms, kuru varat nosaukt, ir posms, kuru varat pārbaudīt. TUN/TAP dokumentācija apraksta robežu un ierīces modeli.