Zajem VPN: notranji paketi na tun0, ovoj na eth0

Zajem na gostitelju VPN ne zabeleži ene same stvari. Jedro paket izpostavi dvakrat: zavit, na fizičnem vmesniku, in odvit, na napravi tunela. Izbira vmesnika je izbira, katero od teh zgodb berete. Večina razprav o tem, kaj zajem dokazuje, je v resnici razprav o tem, katera zgodba je bila zbrana.

Inkapsulacija ustvari dva pogleda

Tunel vzame paket, ki ga je ustvarila aplikacija, in ga vstavi v novega, katerega cilj je strežnik VPN. Notranja oblika se pojavi na tun0, wg0 ali na kateri koli napravi, ki jo je ustvaril odjemalec. Zunanja oblika se pojavi na vmesniku, ki ga nosi v omrežje. Obe obliki sta legitimni; odgovarjata na različna vprašanja. Zberite vsako posebej, ker imata različne glave in različne bralce.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Psevdovmesnik any je slaba izbira za to primerjavo. Posredovani paketi se lahko zabeležijo dvakrat, lokalno ustvarjen paket pa se pojavi v obeh oblikah, kar napihne štetje. Če se neka številka zdi nemogoča, preverite vmesnik, preden okrivite tunel.

Znotraj tunela je paket običajen

Na napravi tunela je tisto, kar vidite, tisto, kar je aplikacija prosila jedro, naj pošlje. Ciljni naslovi, vrata, imena DNS, imena strežnikov TLS, velikosti in čas so vsi tam. Koristna obremenitev TLS ostane šifrirana s sejo same aplikacije, zato zajem ne razkrije vsebine strani. Poizvedba DNS v čistem besedilu je tukaj vidna, čeprav je njen nosilec šifriran, ker nikoli ni bila zaščitena.

Šifriran DNS odstrani to eno vidno polje. Ne skriva ciljnega naslova, števila bajtov ali ritma, ki so lastnosti toka in ne poizvedbe.

Zunaj samo ovoj in njegova oblika

Fizični vmesnik prikazuje vaš naslov, naslov strežnika, vrata, velikosti paketov in čas. Cilji, ki se prenašajo znotraj, manjkajo, čeprav lahko njihova oblika še vedno podpira sklepanje. Velikosti in kadenca lahko nakazujejo video tok, velik prenos ali klepetalno sejo, ne da bi katerega koli poimenovali. Bližnji opazovalec vidi približno enak pogled, kar pojasnjuje, kako lahko tunel skrije spletna mesta, medtem ko oglašuje svojo prisotnost.

Ta trditev je odvisna od usmerjanja. Ožja pot, privzeti IPv6, ki ne vstopi v tunel, ali proces, vezan na fizični vmesnik, bodo promet postavili zunaj ovoja. Preberite dejansko pot, preden iz zajema potegnete sklepe.

Naslov partnerja in higiena zajema

OpenVPN v načinu TCP ohranja vzpostavljen socket, zato lahko tabela socketov poimenuje partnerja. OpenVPN v načinu UDP pogosto pusti socket nepovezan, ss pa lahko prikaže le lokalno stran. Preberite namesto tega remote profila, podroben dnevnik odjemalca ali pot do končne točke. WireGuard neposredno poroča svojo končno točko in zadnji rokovanje.

wg show
ss -tunp | grep 51820

Datoteka zajema preživi sejo, ki jo je ustvarila. Lahko se kopira in je lahko berljiva vsakomur z lokalnim dostopom. Shranite samo, kar preiskava potrebuje, omejite dovoljenja in jo izbrišite, ko je delo končano.

Zajem, ki ga je mogoče deliti, bi moral navesti, kateri vmesnik ga je ustvaril in kdaj. Brez te opombe mora naslednji bralec ugibati, na kateri sloj gleda.