Tangkapan VPN: paket dalam pada tun0, sampul pada eth0

Menangkap pada hos VPN tidak merakam satu perkara sahaja. Kernel mendedahkan paket itu dua kali: terbungkus, pada penyesuai fizikal, dan terbuka, pada peranti terowong. Memilih antara muka bermakna memilih kisah mana yang anda baca. Kebanyakan perdebatan tentang apa yang dibuktikan oleh tangkapan sebenarnya perdebatan tentang kisah mana yang dikumpulkan.

Pengekapsulan mencipta dua pandangan

Terowong mengambil paket yang dihasilkan oleh aplikasi dan meletakkannya di dalam paket baharu yang destinasinya ialah pelayan VPN. Bentuk dalam muncul pada tun0, wg0 atau peranti mana pun yang dicipta oleh klien. Bentuk luar muncul pada penyesuai yang membawanya ke rangkaian. Kedua-dua bentuk sah; ia menjawab soalan yang berbeza. Kumpulkan setiap satu secara berasingan, kerana kedua-duanya mempunyai pengepala dan pembaca yang berbeza.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Antara muka pseudo any ialah pilihan yang buruk untuk perbandingan ini. Paket yang dipindahkan boleh dirakam dua kali, dan paket yang dijana secara setempat muncul dalam kedua-dua bentuk, yang menggelembungkan kiraan. Jika sesuatu nombor kelihatan mustahil, periksa antara muka sebelum menyalahkan terowong.

Di dalam terowong, paket itu biasa

Pada peranti terowong, apa yang anda lihat ialah apa yang diminta oleh aplikasi kepada kernel untuk dihantar. Alamat destinasi, port, nama DNS, nama pelayan TLS, saiz dan masa semuanya ada di sana. Muatan TLS kekal disulitkan oleh sesi aplikasi itu sendiri, jadi tangkapan tidak mendedahkan kandungan halaman. Pertanyaan DNS dalam teks biasa kelihatan di sini walaupun pembawanya disulitkan, kerana ia tidak pernah dilindungi.

DNS yang disulitkan membuang satu medan yang kelihatan itu. Ia tidak menyembunyikan alamat destinasi, kiraan bait atau irama, yang merupakan sifat aliran dan bukan sifat pertanyaan.

Di luar hanya sampul dan bentuknya

Penyesuai fizikal menunjukkan alamat anda, alamat pelayan, port, saiz paket dan masa. Destinasi yang dibawa di dalam tidak ada, walaupun bentuknya masih boleh menyokong inferens. Saiz dan irama boleh mencadangkan strim video, pemindahan besar atau sesi sembang tanpa menamakan mana-mana daripadanya. Pemerhati berdekatan melihat paparan yang hampir sama, yang menjelaskan bagaimana terowong boleh menyembunyikan laman sambil mengiklankan kehadirannya sendiri.

Dakwaan itu bergantung pada penghalaan. Laluan yang lebih sempit, IPv6 lalai yang tidak masuk ke terowong, atau proses yang terikat pada antara muka fizikal akan meletakkan trafik di luar sampul. Baca laluan sebenar sebelum membuat kesimpulan daripada tangkapan.

Alamat rakan dan kebersihan tangkapan

OpenVPN dalam mod TCP mengekalkan soket yang telah ditetapkan, jadi jadual soket boleh menamakan rakan. OpenVPN dalam mod UDP sering membiarkan soket tidak bersambung, dan ss mungkin hanya menunjukkan bahagian setempat. Baca remote profil, log klien terperinci atau laluan ke titik akhir sebagai gantinya. WireGuard melaporkan titik akhir dan jabat tangan terakhirnya secara langsung.

wg show
ss -tunp | grep 51820

Fail tangkapan hidup lebih lama daripada sesi yang menghasilkannya. Ia boleh disalin, dan ia mungkin boleh dibaca oleh sesiapa yang mempunyai akses setempat. Simpan hanya apa yang diperlukan oleh siasatan, hadkan kebenaran dan hapuskannya apabila kerja selesai.

Tangkapan yang boleh dikongsi harus menyatakan antara muka mana yang menghasilkannya dan bila. Tanpa nota itu, pembaca seterusnya terpaksa meneka lapisan mana yang sedang dilihat.