VPN снимање: внатрешни пакети на tun0, обвивка на eth0

Снимањето на VPN хост не запишува една единствена работа. Јадрото го изложува пакетот двапати: завиткан, на физичкиот адаптер, и отворен, на уредот за тунел. Изборот на интерфејс е избор на тоа која од овие приказни ја читате. Повеќето расправии за тоа што докажува снимањето се всушност расправии за тоа која приказна е собрана.

Инкапсулацијата создава два погледа

Тунелот го зема пакетот што го создаде апликација и го става во нов, чија дестинација е VPN серверот. Внатрешната форма се појавува на tun0, wg0 или на кој било уред што го создал клиентот. Надворешната форма се појавува на адаптерот што го носи во мрежата. Двете форми се легитимни; тие одговараат на различни прашања. Соберајте ја секоја одделно, зашто двете имаат различни заглавија и различни читатели.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Псевдоинтерфејсот any е лош избор за оваа споредба. Препратените пакети можат да бидат запишани двапати, а локално генерираниот пакет се појавува во двете форми, што ги надувува бројките. Ако некоја бројка изгледа невозможно, проверете го интерфејсот пред да го обвините тунелот.

Внатре во тунелот пакетот е обичен

На уредот за тунел, она што го гледате е она што апликацијата го побарала од јадрото да го испрати. Дестинациски адреси, порти, DNS имиња, имиња на TLS сервери, големини и време сето е таму. TLS товарот останува шифриран од сопствената сесија на апликацијата, па снимањето не ја открива содржината на страницата. DNS барањето во чист текст е видливо овде иако неговиот носител е шифриран, зашто никогаш не било заштитено.

Шифрираниот DNS го отстранува тоа едно видливо поле. Тој не ја крие дестинациската адреса, бројот на бајти или ритамот, кои се својства на текот, а не на барањето.

Надвор само обвивката и нејзината форма

Физичкиот адаптер ја прикажува вашата адреса, адресата на серверот, портата, големините на пакетите и времето. Дестинациите што се носат внатре отсуствуваат, иако нивната форма и понатаму може да поддржи заклучоци. Големините и ритамот можат да укажат на видео тек, голем пренос или разговор, без да именуваат ниту еден. Блискиот набљудувач гледа приближно истиот приказ, што објаснува како тунелот може да ги сокрие сајтовите додека ја рекламира сопствената присутност.

Таа тврдба зависи од рутирањето. Потесна рута, стандардна IPv6 рута што не влегува во тунелот или процес врзан за физичкиот интерфејс ќе го стават сообраќајот надвор од обвивката. Прочитајте ја вистинската рута пред да извлечете заклучоци од снимањето.

Адреса на партнерот и хигиена на снимањето

OpenVPN во TCP режим држи воспоставен сокет, па табелата на сокети може да го именува партнерот. OpenVPN во UDP режим често го остава сокетот неспоен, а ss може да ја прикаже само локалната страна. Наместо тоа прочитајте remote од профилот, детален клиентски дневник или рутата до крајната точка. WireGuard директно го пријавува своето крајно одредиште и последното ракување.

wg show
ss -tunp | grep 51820

Датотеката од снимањето живее подолго од сесијата што ја создаде. Може да се копира и може да биде читлива за секој со локален пристап. Чувајте само што и е потребно на истрагата, ограничете ги дозволите и избришете ја кога работата ќе заврши.

Споделливото снимање треба да каже кој интерфејс го создал и кога. Без таа забелешка, следниот читател мора да погодува на кој слој гледа.