Captură VPN: pachete interne pe tun0, plic pe eth0

Captura pe un gazdă VPN nu înregistrează un singur lucru. Nucleul expune pachetul de două ori: împachetat, pe adaptorul fizic, și despachetat, pe dispozitivul de tunel. Alegerea interfeței este alegerea poveștii pe care o citiți. Majoritatea dezbaterilor despre ce dovedește o captură sunt de fapt dezbateri despre ce poveste a fost colectată.

Încapsularea creează două vederi

Tunelul ia pachetul produs de o aplicație și îl pune într-unul nou a cărui destinație este serverul VPN. Forma interioară apare pe tun0, wg0 sau pe orice dispozitiv creat de client. Forma exterioară apare pe adaptorul care îl duce în rețea. Ambele forme sunt legitime; răspund la întrebări diferite. Colectați fiecare separat, pentru că cele două au anteturi și cititori diferiți.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-interfața any este o alegere proastă pentru această comparație. Pachetele redirecționate pot fi înregistrate de două ori, iar un pachet generat local apare în ambele forme, ceea ce umflă numărătorile. Dacă un număr pare imposibil, verificați interfața înainte de a da vina pe tunel.

În interiorul tunelului, pachetul este obișnuit

Pe dispozitivul de tunel, ceea ce vedeți este ceea ce aplicația a cerut nucleului să trimită. Adresele de destinație, porturile, numele DNS, numele serverelor TLS, dimensiunile și sincronizarea sunt toate acolo. Payload-ul TLS rămâne criptat de sesiunea proprie a aplicației, așa că captura nu dezvăluie conținutul paginii. O interogare DNS în text clar este vizibilă aici chiar dacă purtătorul ei este criptat, pentru că nu a fost niciodată protejată.

DNS-ul criptat elimină acel singur câmp vizibil. Nu ascunde adresa de destinație, numărul de octeți sau ritmul, care sunt proprietăți ale fluxului și nu ale interogării.

Afară doar plicul și forma lui

Adaptorul fizic arată adresa dumneavoastră, adresa serverului, portul, dimensiunile pachetelor și sincronizarea. Destinațiile transportate înăuntru lipsesc, deși forma lor poate susține în continuare inferențe. Dimensiunile și cadența pot sugera un flux video, un transfer masiv sau o sesiune de chat fără a numi vreuna. Un observator din apropiere vede aproximativ aceeași imagine, ceea ce explică cum un tunel poate ascunde site-uri în timp ce își anunță propria prezență.

Acea afirmație depinde de rutare. O rută mai îngustă, un IPv6 implicit care nu intră în tunel sau un proces legat de interfața fizică vor pune traficul în afara plicului. Citiți ruta reală înainte de a trage concluzii din captură.

Adresa partenerului și igiena capturii

OpenVPN în modul TCP păstrează un socket stabilit, așa că tabelul de socketuri poate numi partenerul. OpenVPN în modul UDP lasă adesea socketul neconectat, iar ss poate arăta doar partea locală. Citiți în schimb remote al profilului, un jurnal detaliat al clientului sau ruta către punctul final. WireGuard raportează direct punctul său final și ultima strângere de mână.

wg show
ss -tunp | grep 51820

Un fișier de captură supraviețuiește sesiunii care l-a produs. Poate fi copiat și poate fi citit de oricine are acces local. Păstrați doar ce are nevoie investigația, restricționați permisiunile și ștergeți-l când munca este terminată.

O captură partajabilă ar trebui să spună ce interfață a produs-o și când. Fără acea notă, următorul cititor trebuie să ghicească la ce strat se uită.