Qbid VPN: pakketti interni fuq tun0, envelop fuq eth0

Il-qbid fuq host VPN ma jirrekordja ħaġa waħda biss. Il-qalba tesponi l-pakkett darbtejn: imgeżwer, fuq l-adapter fiżiku, u miftuħ, fuq il-mezz tat-tunnel. L-għażla tal-interfaċċa hija għażla ta’ liema minn dawn l-istejjer taqra. Ħafna mid-dibattiti dwar x’jipprova qbid huma fil-fatt dibattiti dwar liema storja nġabret.

L-enkapsulament joħloq żewġ veduti

It-tunnel jieħu l-pakkett li pproduċiet applikazzjoni u jqiegħdu ġewwa wieħed ġdid li d-destinazzjoni tiegħu hija s-server VPN. Il-forma interna tidher fuq tun0, wg0 jew fuq kwalunkwe apparat li ħoloq il-klijent. Il-forma esterna tidher fuq l-adapter li jġorrha għan-netwerk. Iż-żewġ forom huma leġittimi; iwieġbu mistoqsijiet differenti. Iġbor kull waħda b’mod separat, għax it-tnejn għandhom headers u qarrejja differenti.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

L-interfaċċa psewdo any hija għażla ħażina għal din il-paragun. Il-pakketti mgħoddija jistgħu jiġu rrekordjati darbtejn, u pakkett iġġenerat lokalment jidher fiż-żewġ forom, li jkabbar l-għadd. Jekk xi numru jidher impossibbli, iċċekkja l-interfaċċa qabel ma tagħti l-ħtija lit-tunnel.

Ġewwa t-tunnel, il-pakkett huwa ordinarju

Fuq il-mezz tat-tunnel, dak li tara huwa dak li l-applikazzjoni talbet lill-qalba tibgħat. Indirizzi tad-destinazzjoni, portijiet, ismijiet DNS, ismijiet tas-server TLS, daqsijiet u ħin huma kollha hemm. Il-payload TLS jibqa’ kkriptat mis-sessjoni tal-applikazzjoni stess, għalhekk il-qbid ma jiżvelax il-kontenut tal-paġna. Mistoqsija DNS f’test ċar tidher hawn anki jekk it-trasportatur tagħha huwa kkriptat, għax qatt ma kienet protetta.

DNS ikkriptat ineħħi dak il-qasam wieħed viżibbli. Ma jaħbix l-indirizz tad-destinazzjoni, l-għadd ta’ bytes jew ir-ritmu, li huma proprjetajiet tal-fluss u mhux tal-mistoqsija.

Barra biss l-envelop u l-forma tiegħu

L-adapter fiżiku juri l-indirizz tiegħek, l-indirizz tas-server, il-port, id-daqsijiet tal-pakketti u l-ħin. Id-destinazzjonijiet li jinġarru ġewwa huma neqsin, għalkemm il-forma tagħhom xorta tista’ tappoġġja inferenzi. Id-daqsijiet u l-kadenza jistgħu jissuġġerixxu fluss tal-vidjo, trasferiment kbir jew sessjoni ta’ chat mingħajr ma jsemmu xi waħda minnhom. Osservatur fil-qrib jara bejn wieħed u ieħor l-istess veduta, li jispjega kif tunnel jista’ jaħbi siti waqt li jirreklama l-preżenza tiegħu stess.

Dik l-istqarrija tiddependi mir-routing. Rotta idjaq, IPv6 awtomatiku li ma jidħolx fit-tunnel, jew proċess marbut mal-interfaċċa fiżika se jqiegħdu t-traffiku barra mill-envelop. Aqra r-rotta reali qabel ma tislet konklużjonijiet mill-qbid.

Indirizz tal-pari u iġjene tal-qbid

OpenVPN fil-modalità TCP iżomm socket stabbilit, għalhekk it-tabella tas-sockets tista’ ssemmi l-pari. OpenVPN fil-modalità UDP spiss iħalli s-socket mhux konness, u ss jista’ juri biss in-naħa lokali. Aqra minflok remote tal-profil, log tal-klijent fid-dettall jew ir-rotta sal-punt finali. WireGuard jirrapporta l-punt finali tiegħu u l-aħħar handshake direttament.

wg show
ss -tunp | grep 51820

Fajl tal-qbid jibqa’ ħaj aktar mis-sessjoni li pproduċietu. Jista’ jiġi kkopjat, u jista’ jinqara minn kull min għandu aċċess lokali. Żomm biss dak li teħtieġ l-investigazzjoni, illimita l-permessi u ħassru meta x-xogħol ikun lest.

Qbid li jista’ jiġi kondiviż għandu jgħid liema interfaċċa pproduċietu u meta. Mingħajr dik in-nota, il-qarrej li jmiss irid jaqta’ liema saff qed iħares lejh.