X'inhu tunnel VPN, u fejn tieqaf il-protezzjoni

Il-klijent jgħid ikkonnettjat, il-ktarru magħluq, u sit xorta jirreġistra l-indirizz tal-appartament tiegħek. Xejn ma fallek. Tunnel ma jissostitwixxix il-Wi-Fi jew il-link mobbli tiegħek; iqiegħed it-tieni borża madwar ċerti pakketti u jibgħat dik il-borża fuq in-netwerk li diġà kellek. Li tifhem it-trick huwa l-aktar kwistjoni li ssegwi talba waħda u tinnota fejn tinftaħ il-borża, għax kważi kull sintomu konfuż, minn indirizz tad-dar li jnixxi sa download kbir li jieqaf, jiġi minn dik il-fruntiera.

Żewġ borżiet, link fiżiku wieħed

Il-laptop tiegħek iżomm il-konnessjoni normali mar-router, u r-router iżomm il-konnessjoni normali mal-fornitur. Xejn ma jinbidel f'dak il-perkors meta jiġi tunnel. Li jinbidel huwa li pakketti magħżula jingħataw lil interface virtwali, jingħalfu ġewwa pakkett ġdid indirizzat lill-peer tal-VPN, u jintbagħtu bħala traffiku ordinarju fuq il-link fiżiku.

It-tarf li jirċievi huwa apparat li jiftaħ il-borża u jibgħat il-pakkett oriġinali lejn id-destinazzjoni tiegħu. Bejn iż-żewġt itruf, osservatur jara l-header ta' barra u xejn dwar ta' ġewwa sakemm il-protokoll ma jikkriptahx, li tagħmel il-biċċa l-kbira tal-protokolli tal-konsumatur u li t-teknika ġenerali ma teħtieġx.

Għalhekk l-interface virtwali hija kemm reali kif ukoll qarrieqa. Hija teżisti bħala oġġett tal-kernel b'indirizz u unità massima ta' trażmissjoni, u s-sistema operattiva tgħaddi traffiku fiha bħal f'kull interface oħra. Mhix cable, u l-eżistenza tagħha tipprova biss li komponent huwa installat. Jekk il-browser tiegħek jużahx jiddeċiedu r-rotot, mhux li l-interface hija attiva.

Ara talba waħda tagħmel il-vjaġġ

Agħżel destinazzjoni u staqsi lill-kernel liema interface se juża. Dan il-kmand wieħed jissolva l-biċċa l-kbira tad-diskussjonijiet dwar jekk it-tunnel huwiex qed jagħmel xi ħaġa:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Jekk l-output tar-rotta jsemmi l-interface tat-tunnel, il-pakkett jiġi mgħallef. Jekk jsemmi l-interface fiżika, ma jiġix, u l-ebda restart tal-klijent ma jbiddel dan. It-tieni kmand juri ż-żewġ interfaces spalla ma' spalla, u hekk tinduna b'tunnel li tela' mingħajr indirizz jew b'indirizz mill-familja l-ħażina.

Imbagħad ħares lejn l-ewwel qabża minn ġewwa l-borża, u qabbelha mal-ewwel qabża minn barra:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Ġewwa t-tunnel l-ewwel qabża hija l-indirizz ta' ġewwa tal-peer, mhux ir-router tiegħek. Il-qbid fuq l-interface tat-tunnel juri l-pakketti ta' ġewwa, jiġifieri t-traffiku li l-applikazzjoni taħseb li qed tibgħat. Il-qbid fl-istess ħin fuq l-interface fiżika juri l-pakketti ta' barra, u t-tnejn flimkien huma l-aktar dimostrazzjoni ċara ta' dak li tunnel fil-fatt jagħmel.

Tliet indirizzi, u wieħed biss jidher mis-sit

In-nies jaħslu dawn kontinwament, u l-konfużjoni tipproduċi rapporti foloz ta' tnixxija. Dawn huma oqsma differenti f'headers differenti b'ħajjiet differenti.

In-numru ħdejn l-adapter virtwali hija t-tieni ringiela. Mhuwiex l-indirizz li jirreġistra sit, u li tikkwotah bħala l-IP pubbliku tiegħek sempliċement ħażin. L-indirizz li jara sit jiġi assenjat mill-ħruġ, u f'tunnel għal netwerk privat forsi ma jkunx hemm ħruġ pubbliku xejn, għax id-destinazzjoni tgħix ġewwa l-organizzazzjoni u mhux fuq l-internet.

Tunnel bejn siti huwa l-istess mekkaniżmu b'truf differenti. Żewġ routers iħallu t-traffiku bejn netwerks, u l-ebda apparat individwali ma għandu klijent installat. Il-borża hija identika fil-prinċipju, il-fruntiera amministrattiva mhix.

Fejn tinftaħ il-borża, u x'jgħaddi minnha

It-tunnel jispiċċa fil-peer tiegħu. Jekk il-kriptaġġ tal-applikazzjoni nnifisha jmur aktar 'il bogħod, jgħaddi minn dik il-fruntiera, li huwa l-każ normali għall-HTTPS: is-sessjoni tal-browser tispiċċa fis-sit, għalhekk il-ħruġ jibgħat ciphertext li ma jistax jaqra.

Xejn ieħor ma jgħaddi b'mod default. Talba mhux kriptata hija tinqara fil-ħruġ eżattament kif kienet tinqara fuq il-Wi-Fi tal-kafè, u t-tunnel ma jżidx protezzjoni li l-applikazzjoni qatt ma kellha. Bl-istess mod, ir-regoli tal-firewall u l-politika tal-ġarr tal-ħruġ jiddeċiedu x'jiġri wara; handshake ta' suċċess hija fatt dwar il-konnessjoni mal-peer, mhux dwar il-bqija tal-vjaġġ.

L-overhead hija l-konsegwenza l-oħra viżibbli. Kull pakkett iġorr header addizzjonali, u t-trasport ta' barra jista' jżid tiegħu, għalhekk il-payload utli għal kull pakkett jinxtorob. Fuq perkors b'unità massima ta' trażmissjoni fissa, huwa eżattament għalhekk li tunnel jista' jgħaddi ping u jwaqqaf upload kbir.

Iċċekkja l-perkors li l-applikazzjoni fil-fatt ħa

L-aħħar pass huwa li tikkonferma l-applikazzjoni speċifika, mhux il-magna b'mod ġenerali. Issolvi d-destinazzjoni, ħares lejn ir-rotta għal dak l-indirizz, u mbagħad osserva l-konnessjoni waqt li tkun miftuħa:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Jekk ir-rotta ssemmi t-tunnel imma l-lista tas-sockets turi konnessjoni b'indirizz tas-sors mill-interface fiżika, l-applikazzjoni hija marbuta ma' xi ħaġa speċifika, jew it-tieni tunnel qed jikkompeti għar-rotta default. Din hija kwistjoni ta' routing, u tista' tiġi mwieġba minn dawn it-tliet outputs minflok mill-iskrin tal-istat tal-klijent.

L-arkitettura tas-sigurtà RFC 4301 tiddeskrivi l-verżjoni tal-livell IP ta' dan l-għalf għall-IPsec, u l-istess loġika tal-livelli tapplika għal WireGuard u OpenVPN. Ladarba tkun tista' tindika l-pakkett ta' ġewwa u l-pakkett ta' barra bħala oġġetti separati, il-biċċa l-kbira tal-imġiba tat-tunnel tieqaf tkun misterjuża u ssir tabella tar-rotot li tista' taqra.