VPN snimanje: unutarnji paketi na tun0, omotač na eth0

Snimanje na VPN hostu ne bilježi jednu jedinu stvar. Jezgra izlaže paket dvaput: umotan, na fizičkom adapteru, i otvoren, na tunelskom uređaju. Odabir sučelja bira koju od tih priča čitate. Većina rasprava o tome što snimanje dokazuje zapravo su rasprave o tome koja je priča prikupljena.

Enkapsulacija stvara dva pogleda

Tunel uzima paket koji je aplikacija proizvela i stavlja ga unutar novog čije je odredište VPN poslužitelj. Unutarnji oblik pojavljuje se na tun0, wg0 ili kojem god uređaju je klijent stvorio. Vanjski oblik pojavljuje se na adapteru koji ga nosi u mrežu. Oba oblika su legitimna; odgovaraju na različita pitanja. Prikupite svaki zasebno, jer dva imaju različita zaglavlja i različite čitatelje.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-sučelje any loš je izbor za ovu usporedbu. Proslijeđeni paketi mogu biti zabilježeni dvaput, a lokalno generiran paket pojavljuje se u oba oblika, što napuhuje brojeve. Ako neki broj izgleda nemoguće, provjerite sučelje prije nego okrivite tunel.

Unutar tunela paket je običan

Na tunelskom uređaju, ono što vidite je ono što je aplikacija zamolila jezgru da pošalje. Odredišne adrese, portovi, DNS imena, TLS imena poslužitelja, veličine i vrijeme sve su tu. TLS korisni teret ostaje šifriran sesijom same aplikacije, pa snimanje ne otkriva sadržaj stranice. DNS upit u čistom tekstu vidljiv je ovdje iako je njegov nosač šifriran, jer nikada nije bio zaštićen.

Šifrirani DNS uklanja to jedno vidljivo polje. On ne skriva odredišnu adresu, broj bajtova ni ritam, koji su svojstva toka, a ne upita.

Vani samo omotač i njegov oblik

Fizički adapter pokazuje vašu adresu, adresu poslužitelja, port, veličine paketa i vrijeme. Odredišta nošena unutra izostaju, iako njihov oblik još može podržati zaključivanje. Veličine i ritam mogu sugerirati video tok, veliki prijenos ili razgovor, a da nijedno ne imenuju. Obližnji promatrač vidi približno istu sliku, što objašnjava kako tunel može sakriti stranice dok oglašava vlastitu prisutnost.

Ta tvrdnja ovisi o usmjeravanju. Uža ruta, IPv6 zadana ruta koja ne ulazi u tunel, ili proces vezan za fizičko sučelje stavit će promet izvan omotača. Pročitajte stvarnu rutu prije nego izvedete zaključke iz snimanja.

Adresa partnera i higijena snimanja

OpenVPN u TCP načinu drži uspostavljeni socket, pa tablica socketa može navesti partnera. OpenVPN u UDP načinu često ostavlja socket nepovezanim, a ss može pokazati samo lokalnu stranu. Pročitajte umjesto toga remote profila, detaljan klijentski dnevnik ili rutu do krajnje točke. WireGuard izravno prijavljuje svoju krajnju točku i posljednje rukovanje.

wg show
ss -tunp | grep 51820

Datoteka snimanja nadživi sesiju koja ju je proizvela. Može se kopirati i može biti čitljiva svakome s lokalnim pristupom. Čuvajte samo ono što istraga zahtijeva, ograničite dozvole i izbrišite je kad posao bude gotov.

Snimanje koje se može dijeliti treba reći koje sučelje ga je proizvelo i kada. Bez te napomene sljedeći čitatelj mora nagađati na koji sloj gleda.