VPN-opptak: indre pakker på tun0, konvolutt på eth0

Opptak på en VPN-vert registrerer ikke én enkelt ting. Kjernen eksponerer pakken to ganger: innpakket, på den fysiske adapteren, og utpakket, på tunnelenheten. Å velge grensesnitt er å velge hvilken av disse historiene du leser. De fleste debatter om hva et opptak beviser, er egentlig debatter om hvilken historie som ble samlet inn.

Innkapsling skaper to visninger

Tunnelen tar pakken en applikasjon har produsert og legger den inne i en ny hvis destinasjon er VPN-serveren. Den indre formen vises på tun0, wg0 eller hvilken som helst enhet klienten har opprettet. Den ytre formen vises på adapteren som bærer den ut til nettverket. Begge former er legitime; de svarer på forskjellige spørsmål. Samle hver for seg, fordi de to har forskjellige headere og forskjellige lesere.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudogrensesnittet any er et dårlig valg for denne sammenligningen. Videresendte pakker kan registreres to ganger, og en lokalt generert pakke vises i begge former, noe som blåser opp tellingene. Hvis et tall virker umulig, sjekk grensesnittet før du klandrer tunnelen.

Inne i tunnelen er pakken vanlig

På tunnelenheten er det du ser, det applikasjonen ba kjernen om å sende. Destinasjonsadresser, porter, DNS-navn, TLS-servernavn, størrelser og timing er alle der. TLS-nyttelasten forblir kryptert av applikasjonens egen økt, så opptaket avslører ikke sideinnhold. En DNS-spørring i klartekst er synlig her selv om bæreren er kryptert, fordi den aldri var beskyttet.

Kryptert DNS fjerner det ene synlige feltet. Det skjuler ikke destinasjonsadressen, byttetallet eller rytmen, som er egenskaper ved strømmen og ikke ved spørringen.

Utenfor bare konvolutten og dens form

Den fysiske adapteren viser adressen din, serverens adresse, porten, pakkestørrelser og timing. Destinasjoner som bæres inni er fraværende, selv om formen deres fortsatt kan støtte slutninger. Størrelser og kadens kan antyde en videostrøm, en stor overføring eller en chatøkt uten å navngi noen av dem. En observatør i nærheten ser omtrent samme visning, noe som forklarer hvordan en tunnel kan skjule nettsteder mens den annonserer sin egen tilstedeværelse.

Den påstanden avhenger av ruting. En smalere rute, en IPv6-standard som ikke går inn i tunnelen, eller en prosess bundet til det fysiske grensesnittet vil legge trafikken utenfor konvolutten. Les den faktiske ruten før du trekker konklusjoner fra opptaket.

Peer-adresse og opptakshygiene

OpenVPN i TCP-modus holder en etablert socket, så socket-tabellen kan navngi peeren. OpenVPN i UDP-modus lar ofte socketen være uten forbindelse, og ss viser kanskje bare den lokale siden. Les i stedet remote i profilen, en detaljert klientlogg eller ruten til endepunktet. WireGuard rapporterer endepunktet og den siste håndtrykket direkte.

wg show
ss -tunp | grep 51820

En opptaksfil overlever økten som produserte den. Den kan kopieres, og den kan være lesbar for alle med lokal tilgang. Behold bare det undersøkelsen trenger, begrens tillatelsene og slett den når arbeidet er gjort.

Et opptak som kan deles, bør si hvilket grensesnitt som produserte det og når. Uten den noten må neste leser gjette hvilket lag de ser på.