Zachytávanie VPN: vnútorné pakety na tun0, obal na eth0

Zachytávanie na hostiteľovi VPN nezaznamenáva jedinú vec. Jadro vystavuje paket dvakrát: zabalený, na fyzickom adaptéri, a rozbalený, na tunelovom zariadení. Voľba rozhrania je voľbou toho, ktorý z týchto príbehov čítate. Väčšina debát o tom, čo zachytenie dokazuje, sú v skutočnosti debaty o tom, ktorý príbeh bol zozbieraný.

Zapuzdrenie vytvára dva pohľady

Tunel vezme paket, ktorý vytvorila aplikácia, a vloží ho do nového, ktorého cieľom je server VPN. Vnútorná podoba sa objavuje na tun0, wg0 alebo na akomkoľvek zariadení, ktoré klient vytvoril. Vonkajšia podoba sa objavuje na adaptéri, ktorý ju nesie do siete. Obe podoby sú legitímne; odpovedajú na rôzne otázky. Zbierajte každú zvlášť, pretože obe majú iné hlavičky a iných čitateľov.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-rozhranie any je pre toto porovnanie zlá voľba. Preposielané pakety možno zaznamenať dvakrát a lokálne vytvorený paket sa objavuje v oboch podobách, čo nafukuje počty. Ak nejaké číslo vyzerá nemožne, skontrolujte rozhranie, kým obviníte tunel.

Vnútri tunela je paket obyčajný

Na tunelovom zariadení je to, čo vidíte, tým, čo aplikácia požiadala jadro odoslať. Cieľové adresy, porty, názvy DNS, názvy serverov TLS, veľkosti aj časovanie sú tam všetky. Užitočné zaťaženie TLS zostáva šifrované reláciou samotnej aplikácie, takže zachytenie neodhaľuje obsah stránky. Dotaz DNS v otvorenom texte je tu viditeľný, aj keď je jeho nosič šifrovaný, pretože nikdy nebol chránený.

Šifrované DNS odstraňuje to jedno viditeľné pole. Neskrýva cieľovú adresu, počet bajtov ani rytmus, čo sú vlastnosti toku, nie dotazu.

Vonku len obal a jeho tvar

Fyzický adaptér ukazuje vašu adresu, adresu servera, port, veľkosti paketov a časovanie. Ciele nesené vnútri chýbajú, hoci ich tvar môže stále podporovať úsudok. Veľkosti a kadencia môžu naznačovať video stream, hromadný prenos alebo chatovaciu reláciu bez toho, aby niektorý pomenovali. Neďaleký pozorovateľ vidí približne rovnaký obraz, čo vysvetľuje, ako tunel môže skrývať weby a pritom inzerovať svoju vlastnú prítomnosť.

Toto tvrdenie závisí od smerovania. Užšia trasa, predvolený IPv6, ktorý do tunela nevstupuje, alebo proces viazaný na fyzické rozhranie dostanú prevádzku mimo obalu. Prečítajte si skutočnú trasu, kým zo zachytenia vyvodíte závery.

Adresa protistrany a hygiena zachytenia

OpenVPN v režime TCP drží nadviazaný socket, takže tabuľka socketov môže protistranu pomenovať. OpenVPN v režime UDP často necháva socket nepripojený a ss môže ukázať len lokálnu stranu. Prečítajte si namiesto toho remote profilu, podrobný klientsky log alebo trasu ku koncovému bodu. WireGuard hlási svoj koncový bod a posledný handshake priamo.

wg show
ss -tunp | grep 51820

Súbor zachytenia prežije reláciu, ktorá ho vytvorila. Možno ho skopírovať a môže byť čitateľný komukoľvek s lokálnym prístupom. Uchovávajte len to, čo vyšetrovanie potrebuje, obmedzte oprávnenia a keď bude práca hotová, vymažte ho.

Zdieľané zachytenie by malo povedať, ktoré rozhranie ho vytvorilo a kedy. Bez tejto poznámky musí ďalší čitateľ hádať, na ktorú vrstvu sa pozerá.