Çfarë bën TUN dhe çfarë duhet të bëjë ende protokolli VPN

Trajtimi i tun0 dhe i një protokolli VPN si një gjë e vetme i dërgon njerëzit te regjistri i gabuar. Ndërfaqja është një kufi lokal ku një program në hapësirën e përdoruesit shkëmben paketa IP me kernelin. Protokolli është ajo që bën ai program me paketat pasi i ka: transport, vërtetim, kriptim dhe një palë. Krijimi i pajisjes nuk zgjedh asnjërën prej tyre.

Dy komponentë, një rrugë paketash

Kerneli shkruan një paketë IP në pajisje, dhe programi e lexon atë nga një përshkrues skedari. Në drejtimin tjetër programi shkruan një paketë mbrapsht dhe kerneli e drejton atë sikur të kishte mbërritur në një ndërfaqe të vërtetë. TUN mbart IP, ndërsa TAP mbart korniza Ethernet. Leximi i një pakete në atë kufi tregon kornizimin, dhe pajisja është pikërisht për këtë.

Gjithçka përtej atij kufiri është punë e programit. Dy programe mund të përdorin të njëjtin koncept ndërfaqeje dhe të bëjnë gjëra krejt të ndryshme me paketat. Vetë pajisja nuk ka mendim për atë që ndodh më pas. Përshkruesi i skedarit është e vetmja dorezë që programi ka në anën e kernelit.

Krijoni pajisjen, pastaj vëzhgoni kufirin

Krijoni një pajisje qëllimisht kur testoni kufirin. Një pajisje e përhershme i mbijeton procesit që e krijoi, gjë e dobishme për eksperimente dhe një burim i zakonshëm konfuzioni më pas. Kontrolloni flamujt dhe pronarin përpara se të fajësoni VPN-në.

sudo ip tuntap add dev tun9 mode tun user alice
ip -d link show tun9

Detajet e lidhjes tregojnë llojin e pajisjes dhe pronarin e bashkangjitur. Nëse asnjë proces nuk e mban të hapur, paketat e shkruara në të nuk shkojnë askund. Një pajisje pa proces të bashkangjitur mund të duket e shëndetshme në një listë lidhjesh ndërsa nuk kalon asgjë.

Çfarë nuk mund të premtojë emri i ndërfaqes

Emri i ndërfaqes nuk thotë asgjë për kriptimin ose vërtetimin. Një program mund t'i mbështjellë paketat në TLS, në një protokoll të vetin, në IPsec ose në asgjë. Zgjedhja e TUN në vend të TAP ndryshon kornizimin në kufi, jo projektin e sigurisë. Zgjedhja e kornizimit është e vërtetë dhe është shumë më e vogël se çështja e sigurisë.

Zbulimi funksionon në të njëjtën mënyrë: një vëzhgues sheh protokollin e jashtëm në tel, jo një etiketë që thotë se cila pajisje lokale e prodhoi. Një tunel që duket si diçka tjetër e bën këtë për shkak të protokollit të tij të jashtëm, jo për shkak të emrit të ndërfaqes. Një vëzhgues nuk mund të shohë se cila pajisje lokale prodhoi një paketë, vetëm si duket paketa. Mbani të ndara këto dy pyetje kur krahasoni produkte, sepse një përgjigje nuk nënkupton kurrë tjetrën.

Përputhni rregullimin me fazën që dështon

Ndani fazat e dështimit kur diçka prishet. Një pajisje që mungon, një gabim leje dhe një hyrje e refuzuar japin prova dhe rregullime të ndryshme. Lexoni fillimisht gjendjen lokale, pastaj regjistrin e vetë programit, pastaj këndvështrimin e palës. Lexoni të tre përpara se të ndryshoni diçka.

ip -d link show tun0
journalctl -u openvpn-client@corp --since '10 min ago'

Nëse pajisja ekziston dhe një proces e mban, kufiri lokal funksionon dhe problemi është më larg. Nëse pajisja mungon, asnjë kontroll kredencialesh nuk do të ndihmojë. Një fazë që mund ta emërtoni është një fazë që mund ta testoni. Dokumentacioni i TUN/TAP përshkruan kufirin dhe modelin e pajisjes.