Kapja e VPN: paketat e brendshme në tun0, zarfi në eth0

Kapja në një host VPN nuk regjistron një gjë të vetme. Bërthama e ekspozon paketën dy herë: e mbështjellë, në përshtatësin fizik, dhe e zbërthyer, në pajisjen e tunelit. Zgjedhja e ndërfaqes është zgjedhja e tregimit që lexoni. Shumica e debateve për atë që provon një kapje janë në fakt debate për tregimin që u mblodh.

Inkapsulimi krijon dy pamje

Tuneli merr paketën që ka prodhuar një aplikacion dhe e vendos brenda një të reje, destinacioni i së cilës është serveri VPN. Forma e brendshme shfaqet në tun0, wg0 ose në çdo pajisje që ka krijuar klienti. Forma e jashtme shfaqet në përshtatësin që e çon në rrjet. Të dyja format janë legjitime; ato u përgjigjen pyetjeve të ndryshme. Mblidhni secilën veçmas, sepse të dyja kanë koka dhe lexues të ndryshëm.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Ndërfaqja pseudo any është një zgjedhje e dobët për këtë krahasim. Paketat e përcjella mund të regjistrohen dy herë, dhe një paketë e gjeneruar lokalisht shfaqet në të dyja format, gjë që fryen numërimet. Nëse një numër duket i pamundur, kontrolloni ndërfaqen përpara se të fajësoni tunelin.

Brenda tunelit paketa është e zakonshme

Në pajisjen e tunelit, ajo që shihni është ajo që aplikacioni i kërkoi bërthamës të dërgojë. Adresat e destinacionit, portat, emrat DNS, emrat e serverëve TLS, madhësitë dhe koha janë të gjitha aty. Ngarkesa TLS mbetet e kriptuar nga sesioni i vetë aplikacionit, kështu që kapja nuk zbulon përmbajtjen e faqes. Një pyetës DNS në tekst të hapur është i dukshëm këtu edhe pse transportuesi i tij është i kriptuar, sepse nuk u mbrojt kurrë.

DNS i kriptuar heq atë fushë të vetme të dukshme. Ai nuk fsheh adresën e destinacionit, numrin e bajteve apo ritmin, të cilat janë veti të rrjedhës dhe jo të pyetësit.

Jashtë vetëm zarfi dhe forma e tij

Përshtatësi fizik shfaq adresën tuaj, adresën e serverit, portën, madhësitë e paketave dhe kohën. Destinacionet e transportuara brenda mungojnë, edhe pse forma e tyre mund të mbështesë ende konkluzione. Madhësitë dhe ritmi mund të sugjerojnë një transmetim video, një transferim të madh ose një sesion bisede pa emërtuar asnjë prej tyre. Një vëzhgues aty pranë sheh pothuajse të njëjtën pamje, gjë që shpjegon si një tunel mund të fshehë faqet duke reklamuar praninë e tij.

Ky pohim varet nga rrugëtimi. Një rrugë më e ngushtë, një IPv6 e parazgjedhur që nuk hyn në tunel, ose një proces i lidhur me ndërfaqen fizike do të vendosin trafikun jashtë zarfit. Lexoni rrugën aktuale përpara se të nxirrni konkluzione nga kapja.

Adresa e palës tjetër dhe higjiena e kapjes

OpenVPN në modalitetin TCP mban një socket të vendosur, kështu që tabela e socket-ëve mund të emërojë palën tjetër. OpenVPN në modalitetin UDP shpesh e lë socket-in të palidhur, dhe ss mund të shfaqë vetëm anën lokale. Lexoni në vend të kësaj remote e profilit, një log të detajuar të klientit ose rrugën drejt pikës fundore. WireGuard raporton drejtpërdrejt pikën e tij fundore dhe shtrëngimin e fundit të duarve.

wg show
ss -tunp | grep 51820

Një skedar kapjeje jeton më gjatë se sesioni që e prodhoi. Ai mund të kopjohet dhe mund të jetë i lexueshëm nga kushdo me akses lokal. Mbani vetëm atë që i nevojitet hetimit, kufizoni lejet dhe fshijeni kur puna të ketë mbaruar.

Një kapje e ndashme duhet të thotë cila ndërfaqe e prodhoi dhe kur. Pa atë shënim, lexuesi tjetër duhet të hamendësojë se çfarë shtrese po shikon.