VPN tveršana: iekšējie paketes uz tun0, aploksne uz eth0

Tveršana VPN resursdatorā neieraksta vienu vienīgu lietu. Kodols paketi atklāj divreiz: ietītu, fiziskajā adapterī, un atvērtu, tuneļa ierīcē. Saskarnes izvēle ir izvēle, kuru no šiem stāstiem jūs lasāt. Lielākā daļa strīdu par to, ko pierāda tveršana, patiesībā ir strīdi par to, kurš stāsts tika savākts.

Inkapsulācija rada divus skatus

Tunelis paņem lietotnes radīto paketi un ievieto to jaunā, kura galamērķis ir VPN serveris. Iekšējā forma parādās uz tun0, wg0 vai jebkuras ierīces, ko izveidojis klients. Ārējā forma parādās adapterī, kas to nes uz tīklu. Abas formas ir likumīgas; tās atbild uz dažādiem jautājumiem. Vāciet katru atsevišķi, jo abām ir atšķirīgas galvenes un atšķirīgi lasītāji.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseido saskarne any ir slikta izvēle šim salīdzinājumam. Pārsūtītās paketes var ierakstīt divreiz, un lokāli ģenerēta pakete parādās abās formās, kas uzpūš skaitļus. Ja skaitlis šķiet neiespējams, pārbaudiet saskarni, pirms vainot tuneli.

Tuneļa iekšpusē pakete ir parasta

Tuneļa ierīcē tas, ko redzat, ir tas, ko lietotne lūdza kodolam nosūtīt. Galamērķa adreses, porti, DNS nosaukumi, TLS serveru nosaukumi, izmēri un laiks visi ir tur. TLS lietderīgā slodze paliek šifrēta ar pašas lietotnes sesiju, tāpēc tveršana neatklāj lapas saturu. Vienkārša teksta DNS vaicājums šeit ir redzams, lai gan tā nesējs ir šifrēts, jo tas nekad netika aizsargāts.

Šifrēts DNS noņem to vienu redzamo lauku. Tas neslēpj galamērķa adresi, baitu skaitu vai ritmu, kas ir plūsmas, nevis vaicājuma īpašības.

Ārpusē tikai aploksne un tās forma

Fiziskais adapteris rāda jūsu adresi, servera adresi, portu, pakešu izmērus un laiku. Iekšpusē pārnēsātie galamērķi nav redzami, lai gan to forma joprojām var pamatot secinājumus. Izmēri un ritms var liecināt par video straumi, lielu pārsūtīšanu vai tērzēšanas sesiju, nenosaucot nevienu no tiem. Netālu esošais novērotājs redz aptuveni to pašu skatu, kas izskaidro, kā tunelis var slēpt vietnes, vienlaikus reklamējot savu klātbūtni.

Šis apgalvojums ir atkarīgs no maršrutēšanas. Šaurāks maršruts, noklusējuma IPv6, kas neieiet tunelī, vai fiziskajai saskarnei piesaistīts process novietos trafiku ārpus aploksnes. Izlasiet faktisko maršrutu, pirms izdarāt secinājumus no tveršanas.

Partnera adrese un tveršanas higiēna

OpenVPN TCP režīmā uztur izveidotu ligzdu, tāpēc ligzdu tabula var nosaukt partneri. OpenVPN UDP režīmā bieži atstāj ligzdu nepievienotu, un ss var parādīt tikai lokālo pusi. Tā vietā lasiet profila remote, detalizētu klienta žurnālu vai maršrutu uz galapunktu. WireGuard tieši ziņo savu galapunktu un pēdējo rokasspiedienu.

wg show
ss -tunp | grep 51820

Tveršanas fails dzīvo ilgāk nekā sesija, kas to radīja. To var kopēt, un tas var būt lasāms ikvienam ar lokālu piekļuvi. Saglabājiet tikai to, kas nepieciešams izmeklēšanai, ierobežojiet atļaujas un izdzēsiet to, kad darbs ir pabeigts.

Koplietojamai tveršanai jānorāda, kura saskarne to radīja un kad. Bez šīs piezīmes nākamajam lasītājam jāmin, uz kuru slāni viņš skatās.