VPN ടണൽ എന്താണ്, സംരക്ഷണം എവിടെ അവസാനിക്കുന്നു
ടണൽ തിരഞ്ഞെടുത്ത പാക്കറ്റുകൾ നിങ്ങൾക്ക് ഇതിനകം ഉണ്ടായിരുന്ന ലിങ്കിന് മേലെ രണ്ടാമതൊരു എൻവലപ്പിൽ പൊതിയുന്നു. ഒരു അഭ്യർത്ഥന പിന്തുടർന്ന് ഒരു സൈറ്റ് യഥാർത്ഥത്തിൽ ഏത് വിലാസമാണ് രേഖപ്പെടുത്തുന്നതെന്ന് കാണുക.
ക്ലൈന്റ് കണക്റ്റ് ചെയ്തതായി പറയുന്നു, പൂട്ട് അടച്ചിരിക്കുന്നു, എന്നിട്ടും ഒരു സൈറ്റ് നിങ്ങളുടെ ഫ്ലാറ്റിന്റെ വിലാസം രേഖപ്പെടുത്തുന്നു. ഒന്നും പരാജയപ്പെട്ടിട്ടില്ല. ടണൽ നിങ്ങളുടെ Wi-Fi അല്ലെങ്കിൽ മൊബൈൽ ലിങ്ക് പകരം വയ്ക്കുന്നില്ല; അത് തിരഞ്ഞെടുത്ത പാക്കറ്റുകൾക്ക് ചുറ്റും രണ്ടാമതൊരു എൻവലപ്പ് ഇട്ട്, നിങ്ങൾക്ക് ഇതിനകം ഉണ്ടായിരുന്ന നെറ്റ്വർക്കിലൂടെ ആ എൻവലപ്പ് അയയ്ക്കുന്നു. ഈ തന്ത്രം മനസ്സിലാക്കുന്നത് പ്രധാനമായും ഒരു അഭ്യർത്ഥന പിന്തുടരുകയും എൻവലപ്പ് എവിടെ തുറക്കുന്നു എന്ന് ശ്രദ്ധിക്കുകയും ചെയ്യുന്നതാണ്, കാരണം വീട്ടുവിലാസം ചോരുന്നത് മുതൽ വലിയ ഡൗൺലോഡ് കുടുങ്ങുന്നത് വരെ മിക്കവാറും എല്ലാ ആശയക്കുഴപ്പമുള്ള ലക്ഷണവും ആ അതിർത്തിയിൽ നിന്നാണ് വരുന്നത്.
രണ്ട് എൻവലപ്പുകൾ, ഒരു ഭൗതിക ലിങ്ക്
നിങ്ങളുടെ ലാപ്ടോപ്പ് റൗട്ടറുമായി അതിന്റെ സാധാരണ കണക്ഷൻ നിലനിർത്തുന്നു, റൗട്ടർ ദാതാവുമായി അതിന്റെ സാധാരണ കണക്ഷൻ നിലനിർത്തുന്നു. ടണൽ ഉയരുമ്പോൾ ആ വഴിയിൽ ഒന്നും മാറുന്നില്ല. മാറുന്നത് തിരഞ്ഞെടുത്ത പാക്കറ്റുകൾ ഒരു വെർച്വൽ ഇന്റർഫേസിന് നൽകുന്നു, VPN പങ്കാളിക്ക് വിലാസമിട്ട പുതിയ പാക്കറ്റിനുള്ളിൽ പൊതിയുന്നു, ഭൗതിക ലിങ്കിലൂടെ സാധാരണ ട്രാഫിക്കായി അയയ്ക്കുന്നു എന്നതാണ്.
സ്വീകരിക്കുന്ന അറ്റം എൻവലപ്പ് തുറന്ന് യഥാർത്ഥ പാക്കറ്റ് അതിന്റെ ലക്ഷ്യസ്ഥാനത്തേക്ക് കൈമാറുന്ന ഉപകരണമാണ്. രണ്ട് അറ്റങ്ങൾക്കിടയിൽ നിരീക്ഷകൻ പുറം തലക്കെട്ട് കാണുന്നു, അകത്തെക്കുറിച്ച് ഒന്നും കാണുന്നില്ല, പ്രോട്ടോക്കോൾ അത് എൻക്രിപ്റ്റ് ചെയ്യുന്നില്ലെങ്കിൽ, മിക്ക ഉപഭോക്തൃ പ്രോട്ടോക്കോളുകളും അങ്ങനെ ചെയ്യുന്നു, പൊതുവായ സാങ്കേതികത അത് നിർബന്ധമാക്കുന്നുമില്ല.
അതുകൊണ്ടാണ് വെർച്വൽ ഇന്റർഫേസ് ഒരേസമയം യഥാർത്ഥവും തെറ്റിദ്ധരിപ്പിക്കുന്നതും ആകുന്നത്. അത് വിലാസവും പരമാവധി സംപ്രേഷണ യൂണിറ്റും ഉള്ള കേർണൽ ഒബ്ജക്റ്റായി നിലനിൽക്കുന്നു, ഓപ്പറേറ്റിംഗ് സിസ്റ്റം മറ്റേതെങ്കിലും ഇന്റർഫേസിലേക്കെന്നപോലെ ട്രാഫിക് അതിലേക്ക് അയയ്ക്കുന്നു. അത് കേബിളല്ല, അതിന്റെ സാന്നിധ്യം ഒരു ഘടകം ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട് എന്ന് മാത്രം തെളിയിക്കുന്നു. നിങ്ങളുടെ ബ്രൗസർ അത് ഉപയോഗിക്കുന്നുണ്ടോ എന്ന് റൂട്ടുകളാണ് തീരുമാനിക്കുന്നത്, ഇന്റർഫേസ് ഓണാണോ എന്നല്ല.
ഒരു അഭ്യർത്ഥനയുടെ യാത്ര കാണുക
ഒരു ലക്ഷ്യസ്ഥാനം തിരഞ്ഞെടുത്ത് കേർണലിനോട് ഏത് ഇന്റർഫേസ് ഉപയോഗിക്കുമെന്ന് ചോദിക്കുക. ഈ ഒരു കമാൻഡ് ടണൽ എന്തെങ്കിലും ചെയ്യുന്നുണ്ടോ എന്നതിനെക്കുറിച്ചുള്ള മിക്ക തർക്കങ്ങളും തീർക്കുന്നു:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0റൂട്ട് ഔട്ട്പുട്ട് ടണൽ ഇന്റർഫേസ് പേരിട്ടാൽ പാക്കറ്റ് പൊതിയും. ഭൗതിക ഇന്റർഫേസ് പേരിട്ടാൽ പൊതിയില്ല, ക്ലൈന്റ് എത്ര തവണ പുനരാരംഭിച്ചാലും അത് മാറില്ല. രണ്ടാമത്തെ കമാൻഡ് രണ്ട് ഇന്റർഫേസുകളും അടുത്തടുത്ത് കാണിക്കുന്നു, വിലാസമില്ലാതെയോ തെറ്റായ കുടുംബത്തിലെ വിലാസത്തോടെയോ ഉയർന്ന ടണൽ ഇങ്ങനെയാണ് കണ്ടെത്തുന്നത്.
പിന്നീട് എൻവലപ്പിനുള്ളിൽ നിന്ന് ആദ്യ ഹോപ്പ് നോക്കി, പുറത്തെ ആദ്യ ഹോപ്പുമായി താരതമ്യം ചെയ്യുക:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5ടണലിനുള്ളിൽ ആദ്യ ഹോപ്പ് പങ്കാളിയുടെ ആന്തരിക വിലാസമാണ്, നിങ്ങളുടെ റൗട്ടറല്ല. ടണൽ ഇന്റർഫേസിലെ ക്യാപ്ചർ ആന്തരിക പാക്കറ്റുകൾ കാണിക്കുന്നു, അതാണ് അപ്ലിക്കേഷൻ അയയ്ക്കുന്നതായി കരുതുന്ന ട്രാഫിക്. അതേസമയം ഭൗതിക ഇന്റർഫേസിൽ ക്യാപ്ചർ ചെയ്യുമ്പോൾ പുറം പാക്കറ്റുകൾ കാണാം, രണ്ടും ഒരുമിച്ച് ടണൽ യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു എന്നതിന്റെ ഏറ്റവും വ്യക്തമായ പ്രദർശനമാണ്.
മൂന്ന് വിലാസങ്ങൾ, സൈറ്റ് ഒന്ന് മാത്രം കാണുന്നു
ആളുകൾ ഇവ തുടർച്ചയായി കൂട്ടിക്കുഴയ്ക്കുന്നു, ആ ആശയക്കുഴപ്പം വ്യാജ ചോർച്ച റിപ്പോർട്ടുകൾ സൃഷ്ടിക്കുന്നു. ഇവ വ്യത്യസ്ത തലക്കെട്ടുകളിലെ വ്യത്യസ്ത ഫീൽഡുകളാണ്, ആയുസ്സും വ്യത്യസ്തമാണ്.
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
വെർച്വൽ അഡാപ്റ്ററിന് അടുത്തുള്ള സംഖ്യ രണ്ടാമത്തെ വരിയാണ്. അത് ഒരു സൈറ്റ് രേഖപ്പെടുത്തുന്ന വിലാസമല്ല, അത് നിങ്ങളുടെ പൊതു IP എന്ന് ഉദ്ധരിക്കുന്നത് വെറും തെറ്റാണ്. സൈറ്റ് കാണുന്ന വിലാസം എക്സിറ്റാണ് നൽകുന്നത്, സ്വകാര്യ നെറ്റ്വർക്ക് ടണലിൽ പൊതു എക്സിറ്റ് തന്നെ ഇല്ലായിരിക്കാം, കാരണം ലക്ഷ്യസ്ഥാനം ഇന്റർനെറ്റിലല്ല, സംഘടനയ്ക്കുള്ളിലാണ്.
സൈറ്റ്-ടു-സൈറ്റ് ടണൽ വ്യത്യസ്ത അന്ത്യബിന്ദുക്കളുള്ള അതേ സംവിധാനമാണ്. രണ്ട് റൗട്ടറുകൾ നെറ്റ്വർക്കുകൾക്കിടയിലെ ട്രാഫിക് പൊതിയുന്നു, ഒരു വ്യക്തിഗത ഉപകരണത്തിലും ക്ലൈന്റ് ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ല. എൻവലപ്പ് തത്വത്തിൽ സമാനമാണ്, ഭരണപരമായ അതിർത്തി അല്ല.
എൻവലപ്പ് എവിടെ തുറക്കുന്നു, അതിൽ നിന്ന് എന്ത് അതിജീവിക്കുന്നു
ടണൽ അതിന്റെ പങ്കാളിയിൽ അവസാനിക്കുന്നു. അപ്ലിക്കേഷന്റെ സ്വന്തം എൻക്രിപ്ഷൻ കൂടുതൽ ദൂരം എത്തുന്നുവെങ്കിൽ അത് ആ അതിർത്തിയെ അതിജീവിക്കുന്നു, HTTPS-ന്റെ സാധാരണ കേസ് ഇതാണ്: ബ്രൗസറിന്റെ സെഷൻ സൈറ്റിൽ അവസാനിക്കുന്നു, അതിനാൽ എക്സിറ്റ് വായിക്കാൻ കഴിയാത്ത സൈഫർടെക്സ്റ്റ് കൈമാറുന്നു.
ബാക്കിയൊന്നും സ്വതവേ അതിജീവിക്കുന്നില്ല. എൻക്രിപ്റ്റ് ചെയ്യാത്ത അഭ്യർത്ഥന എക്സിറ്റിൽ കഫേയിലെ Wi-Fi-യിൽ വായിക്കാമായിരുന്നതുപോലെ തന്നെ വായിക്കാം, അപ്ലിക്കേഷന് ഒരിക്കലും ഉണ്ടായിരുന്നില്ലാത്ത സംരക്ഷണം ടണൽ കൂട്ടിച്ചേർക്കുന്നുമില്ല. അതുപോലെ, എക്സിറ്റിന്റെ ഫയർവാൾ നിയമങ്ങളും ഫോർവേഡിംഗ് നയവും അടുത്തത് എന്ത് സംഭവിക്കുമെന്ന് തീരുമാനിക്കുന്നു; വിജയകരമായ ഹാൻഡ്ഷേക്ക് പങ്കാളി ബന്ധത്തെക്കുറിച്ചുള്ള വസ്തുതയാണ്, യാത്രയുടെ ബാക്കിയുള്ളതിനെക്കുറിച്ചല്ല.
അധികച്ചെലവ് മറ്റൊരു ദൃശ്യമായ പരിണതഫലമാണ്. ഓരോ പാക്കറ്റും അധിക തലക്കെട്ട് വഹിക്കുന്നു, പുറം ഗതാഗതം സ്വന്തം തലക്കെട്ട് കൂട്ടിച്ചേർക്കാം, അതിനാൽ പാക്കറ്റിന് ഉപയോഗയോഗ്യമായ പേലോഡ് കുറയുന്നു. നിശ്ചിത പരമാവധി സംപ്രേഷണ യൂണിറ്റുള്ള വഴിയിൽ, ടണൽ പിംഗ് കടത്തിവിട്ട് വലിയ അപ്‌ലോഡ് തടയുന്നതിന് കാരണം ഇതുതന്നെ.
അപ്ലിക്കേഷൻ യഥാർത്ഥത്തിൽ സഞ്ചരിച്ച വഴി പരിശോധിക്കുക
അവസാന ഘട്ടം പൊതുവായ യന്ത്രമല്ല, നിർദ്ദിഷ്ട അപ്ലിക്കേഷൻ സ്ഥിരീകരിക്കുകയാണ്. ലക്ഷ്യസ്ഥാനം പരിഹരിക്കുക, ആ വിലാസത്തിന്റെ റൂട്ട് നോക്കുക, പിന്നീട് കണക്ഷൻ തുറന്നിരിക്കുമ്പോൾ അത് നിരീക്ഷിക്കുക:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'റൂട്ട് ടണലിനെ പേരിടുന്നുവെങ്കിലും സോക്കറ്റ് ലിസ്റ്റ് ഭൗതിക ഇന്റർഫേസിൽ നിന്നുള്ള ഉറവിട വിലാസത്തോടെയുള്ള കണക്ഷൻ കാണിക്കുന്നുവെങ്കിൽ, അപ്ലിക്കേഷൻ എന്തോ നിർദ്ദിഷ്ടമായതിൽ ബന്ധിതമാണ്, അല്ലെങ്കിൽ രണ്ടാമത്തെ ടണൽ സ്വതേയുള്ള റൂട്ടിനായി മത്സരിക്കുന്നു. ഇത് റൂട്ടിംഗ് ചോദ്യമാണ്, ക്ലൈന്റിന്റെ സ്റ്റാറ്റസ് സ്ക്രീനിന് പകരം ഈ മൂന്ന് ഔട്ട്പുട്ടുകളിൽ നിന്ന് ഉത്തരം നൽകാം.
RFC 4301 സുരക്ഷാ ആർക്കിടെക്ചർ IPsec-നായി ഈ പൊതിയലിന്റെ IP പാളി പതിപ്പ് വിവരിക്കുന്നു, അതേ പാളി യുക്തി WireGuard-നും OpenVPN-നും ബാധകമാണ്. അകത്തെ പാക്കറ്റും പുറം പാക്കറ്റും വെവ്വേറെ വസ്തുക്കളായി ചൂണ്ടിക്കാണിക്കാൻ കഴിഞ്ഞാൽ, ടണലിന്റെ ഭൂരിഭാഗം പെരുമാറ്റവും നിഗൂഢമായിരിക്കുന്നത് നിലയ്ക്കുകയും നിങ്ങൾക്ക് വായിക്കാവുന്ന റൂട്ടിംഗ് പട്ടികയായി മാറുകയും ചെയ്യുന്നു.