VPN تونل څه دی او ساتنه چېرې پای ته رسېږي
تونل ځینې پاکټونه د هغې اړیکې باندې چې تاسو دمخه درلوده په دویم پوښ کې تړي۔ یوه غوښتنه تعقیب کړئ او وګورئ چې سایټ واقعاً کومه پته ثبتوي۔
کلاینټ وايي چې نښلول شوی، قلف بند دی، او یو سایټ لا هم ستاسو د اپارتمان پته ثبتوي۔ هېڅ شی ناکام نه شو۔ تونل ستاسو Wi-Fi یا موبایل لینک نه بدلوي؛ هغه ځینې پاکټونه په دویم پوښ کې تړي او هغه پوښ د هغې شبکې له لارې لېږي چې تاسو دمخه درلوده۔ دې چلې ته پوهېدل ډېری د یوې غوښتنې تعقیب او د دې لیدل دي چې پوښ چېرې خلاصېږي، ځکه نږدې هر ګډوډونکی نښه، له کورنۍ پتې څخه تر لوی ډاونلوډ پورې چې بند پاتې کېږي، له همدې حد څخه راځي۔
دوه پوښونه، یو فزیکي لینک
ستاسو لپ ټاپ له روټر سره خپل عادي اړیکه ساتي، او روټر له چمتو کوونکي سره خپله عادي اړیکه ساتي۔ کله چې تونل پورته شي، په دې لار کې هېڅ شی نه بدلېږي۔ بدلېږي دا چې ټاکل شوي پاکټونه یو مجازي انټرفیس ته سپارل کېږي، د VPN ملګري ته په نښه شوي نوي پاکټ دننه تړل کېږي، او د فزیکي لینک له لارې د عادي ترافیک په توګه لېږل کېږي۔
ترلاسه کوونکی سر یو وسیله ده چې پوښ خلاصوي او اصلي پاکټ د هغه د منزل په لور وړاندې لېږي۔ د دوو سرو ترمنځ، څارونکی باندې سرلیک ویني او د دنني په اړه هېڅ نه ویني، پرته له دې چې پروتوکول یې کوډګري کوي، کوم چې ډېری مصرف کوونکي پروتوکولونه کوي او عمومي تخنیک یې غوښتنه نه کوي۔
له همدې کبله مجازي انټرفیس یوځای ریښتینی او ګمراه کوونکی دی۔ هغه د یو کرنل توکي په توګه د پتې او اعظمي انتقالي واحد سره شتون لري، او عملیاتي سیسټم د نورو انټرفیسونو په څېر ترافیک دننه لېږي۔ دا کیبل نه دی، او شتون یې یوازې دا ثابتوي چې یو برخه نصب شوې ده۔ ستاسو براوزر چې کاروي که نه، پدې اړه لارې پرېکړه کوي، نه د انټرفیس پورته والی۔
د یوې غوښتنې سفر وګورئ
یو منزل وټاکئ او له کرنل وپوښتئ چې کوم انټرفیس به کاروي۔ همدا یو امر د دې اړه د ډېرو بحثونو پرېکړه کوي چې تونل څه کوي یا نه:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0که د لارې پایله د تونل انټرفیس نوم واخلي، پاکټ به وتړل شي۔ که فزیکي انټرفیس واخلي، نه وتړل شي، او کلاینټ هر څومره ځله بیا پیل شي دا نه بدلېږي۔ دویم امر دواړه انټرفیسونه څنګ په څنګ ښيي، او همداسې تاسو بې پتې یا د غلطې کورنۍ پتې سره پورته شوی تونل پېژنئ۔
بیا له پوښ دننه لومړنی ټوپ وګورئ، او د باندې لومړني ټوپ سره یې پرتله کړئ:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5د تونل دننه لومړنی ټوپ د ملګري دننی پته ده، نه ستاسو روټر۔ د تونل انټرفیس باندې نیول دنني پاکټونه ښيي، دا هغه ترافیک دی چې اپلیکیشن فکر کوي لېږي۔ په همدې وخت کې د فزیکي انټرفیس باندې نیول باندنی پاکټونه ښيي، او دواړه یوځای د تونل د ریښتیني کار ترټولو روښانه ښودنه ده۔
درې پتې، او سایټ یوازې یوه ویني
خلک دا تل ګډوډوي، او دا ګډوډي درواغجن د لیک راپورونه جوړوي۔ دا په بېلابېلو سرلیکونو کې بېلابېل ساحې دي چې عمرونه یې هم بېلابېل دي۔
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
د مجازي اډاپټر څنګ ته شمېره دویمه کرښه ده۔ دا هغه پته نه ده چې سایټ یې ثبتوي، او دا ستاسو عامه IP ګڼل یوازې غلط دي۔ هغه پته چې سایټ ویني د وتلو لخوا ټاکل کېږي، او په شخصي شبکې تونل کې کېدای شي هیڅ عامه وتل نه وي، ځکه منزل د انټرنېټ پر ځای د سازمان دننه دی۔
د سایټ تر سایټ تونل د بېلابېلو پای ټکو سره هماغه میکانیزم دی۔ دوه روټرونه د شبکو ترمنځ ترافیک تړي، او په هیچا یوازې وسیله کې کلاینټ نصب نه دی۔ پوښ په اصولو کې ورته دی، اداري حد نه۔
پوښ چېرې خلاصېږي، او له هغه څه پاتې کېږي
تونل په خپل ملګري پای ته رسېږي۔ که د اپلیکیشن خپله کوډګري نوره هم لېرې ولاړه شي، هغه له دې حد څخه پاتې کېږي، کوم چې د HTTPS لپاره عادي حالت دی: د براوزر ناسته په سایټ کې پای ته رسېږي، نو وتل هغه کوډ شوی متن لېږي چې هغه یې نشي لوستلای۔
بل څه په ډیفالټ ډول نه پاتې کېږي۔ نه کوډ شوې غوښتنه په وتلو کې هماغسې لوستل کېدای شي لکه چې په کافي Wi-Fi کې لوستل کېده، او تونل هغه ساتنه نه زیاتوي چې اپلیکیشن هېڅکله نه درلوده۔ همداسې، د وتلو فایر وال قواعد او د لېږلو پالیسي پرېکړه کوي چې بیا څه پېښ شي؛ بریالۍ لاس ورکول د ملګري اړیکې په اړه حقیقت دی، نه د سفر پاتې برخې۔
اضافي لګښت بل ښکاره پایله ده۔ هر پاکټ اضافي سرلیک وړي، او باندنی انتقال کېدای شي خپل هم زیات کړي، نو په هر پاکټ ګټور بار کموالی کېږي۔ په ثابت اعظمي انتقالي واحد لار کې، همدا لامل دی چې تونل پینګ تېرولی شي او لوی اپلوډ بندولی شي۔
هغه لاره چې اپلیکیشن واقعاً وه، وګورئ
وروستی ګام د عمومي ماشین نه، بلکې ځانګړي اپلیکیشن تاییدول دي۔ منزل حل کړئ، د هغې پتې لپاره لاره وګورئ، بیا اړیکه پداسې حال کې وڅارئ چې خلاصه ده:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'که لاره د تونل نوم واخلي خو د سوکټ لیست د فزیکي انټرفیس د سرچینې پتې سره اړیکه ښيي، نو اپلیکیشن له یو ځانګړي شي سره تړلی دی، یا دویم تونل د ډیفالټ لارې لپاره سیالي کوي۔ دا د لارښوونې پوښتنه ده، او ځواب یې د کلاینټ د حالت سکرین پر ځای له دې درې پایلو څخه ورکول کېدای شي۔
د RFC 4301 امنیتي معماري د IPsec لپاره د دې تړلو IP-طبقه نسخه تشریح کوي، او هماغه طبقه منطق د WireGuard او OpenVPN لپاره هم تطبیقېږي۔ یوځل چې وتوانېدل دننی پاکټ او باندنی پاکټ د جلا شیانو په توګه وښیئ، د تونل ډېری رفتار له اسراره پاتې کېدل بندوي او هغه د لارښوونې جدول ګرځي چې تاسو یې لوستلای شئ۔