Çfarë është një tunel VPN dhe ku mbaron mbrojtja

Klienti thotë i lidhur, dryni është i mbyllur, dhe një sajt ende regjistron adresën e banesës tuaj. Asgjë nuk dështoi. Një tunel nuk e zëvendëson Wi-Fi-n ose lidhjen celulare; ai vendos një zarf të dytë rreth paketave të caktuara dhe e dërgon atë zarf përmes rrjetit që ju e kishit tashmë. Të kuptuarit e marifetit në thelb do të thotë të ndjekësh një kërkesë dhe të vëresh se ku hapet zarfi, sepse pothuajse çdo simptomë konfuze, nga një adresë shtëpie që rrjedh deri te një shkarkim i madh i bllokuar, vjen nga ajo kufi.

Dy zarfe, një lidhje fizike

Laptopi juaj ruan lidhjen normale me ruterin, dhe ruteri ruan lidhjen normale me ofruesin. Asgjë në atë rrugë nuk ndryshon kur ngrihet një tunel. Ajo që ndryshon është se paketat e zgjedhura i dorëzohen një ndërfaqeje virtuale, mbështillen brenda një pakete të re të adresuar te partneri VPN dhe dërgohen si trafik i zakonshëm përmes lidhjes fizike.

Fundi marrës është një pajisje që hap zarfin dhe përcjell paketën origjinale drejt destinacionit të saj. Midis dy skajeve, një vëzhgues sheh kryefjalën e jashtme dhe asgjë për të brendshmen, përveç nëse protokolli e kripton atë, gjë që bëjnë shumica e protokolleve të konsumatorit dhe që teknika e përgjithshme nuk e kërkon.

Prandaj ndërfaqja virtuale është njëkohësisht e vërtetë dhe mashtruese. Ajo ekziston si objekt i kernelit me një adresë dhe një njësi maksimale transmetimi, dhe sistemi operativ drejton trafikun në të si në çdo ndërfaqe tjetër. Nuk është kabllo, dhe ekzistenca e saj vërteton vetëm se një komponent është instaluar. Nëse shfletuesi juaj e përdor atë e vendosin rrugët, jo fakti që ndërfaqja është lart.

Ndjek një kërkesë në udhëtim

Zgjidh një destinacion dhe pyet kernelin se cilën ndërfaqe do të përdorë. Ky komandë i vetëm zgjidh shumicën e debateve nëse tuneli bën diçka:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Nëse dalja e rrugës emërton ndërfaqen e tunelit, paketa do të mbështillet. Nëse emërton ndërfaqen fizike, nuk do të mbështillet, dhe asnjë rinisje e klientit nuk e ndryshon këtë. Komanda e dytë i shfaq të dyja ndërfaqet krah për krah, dhe kështu vëren një tunel që u ngrit pa adresë ose me një adresë nga familja e gabuar.

Pastaj shiko hopin e parë nga brenda zarfit dhe krahasoje me hopin e parë nga jashtë:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Brenda tunelit hopi i parë është adresa e brendshme e partnerit, jo ruteri juaj. Kapja në ndërfaqen e tunelit tregon paketat e brendshme, pra trafikun që aplikacioni mendon se po dërgon. Kapja në të njëjtën kohë në ndërfaqen fizike tregon paketat e jashtme, dhe të dyja bashkë janë demostrimi më i qartë i asaj që bën në të vërtetë një tunel.

Tre adresa, dhe sajti sheh vetëm një

Njerëzit i ngatërrojnë këto vazhdimisht, dhe konfuzioni prodhon raporte të rreme rrjedhjeje. Janë fusha të ndryshme në kryefjalë të ndryshme me jetëgjatësi të ndryshme.

Numri pranë përshtatësit virtual është rreshti i dytë. Nuk është adresa që regjistron një sajt, dhe citimi i saj si IP-ja juaj publike është thjesht gabim. Adresën që sheh një sajt e cakton dalja, dhe në një tunel të rrjetit privat mund të mos ketë fare dalje publike, sepse destinacioni jeton brenda organizatës dhe jo në internet.

Një tunel midis sajteve është i njëjti mekanizëm me skaje të tjera. Dy ruterë mbështjellin trafikun midis rrjeteve, dhe asnjë pajisje individuale nuk ka një klient të instaluar. Zarfi është identik në parim, kufiri administrativ nuk është.

Ku hapet zarfi dhe çfarë i mbijeton atij

Tuneli përfundon te partneri i tij. Nëse kriptimi i vetë aplikacionit shkon më larg, ai i mbijeton atij kufiri, që është rasti normal për HTTPS: sesioni i shfletuesit përfundon në sajt, kështu që dalja përcjell tekst të kriptuar që nuk mund ta lexojë.

Asgjë tjetër nuk i mbijeton si parazgjedhje. Një kërkesë e pakriptuar lexohet në dalje saktësisht siç lexohej në Wi-Fi-n e kafenesë, dhe tuneli nuk shton mbrojtje që aplikacioni nuk e kishte kurrë. Po ashtu, rregullat e murit të zjarrit dhe politika e përcjelljes së daljes vendosin çfarë ndodh më pas; një shtrëngim duar i suksesshëm është fakt për lidhjen me partnerin, jo për pjesën tjetër të udhëtimit.

Mbikështesa është pasoja tjetër e dukshme. Çdo paketë mban një kryefjalë shtesë, dhe transporti i jashtëm mund të shtojë të vetën, kështu që ngarkesa e dobishme për paketë zvogëlohet. Në një rrugë me njësi maksimale transmetimi fikse, kjo është saktësisht arsyeja pse një tunel mund të kalojë një ping dhe të bllokojë një ngarkim të madh.

Kontrollo rrugën që ndoqi vërtet aplikacioni

Hapi i fundit është të konfirmosh aplikacionin konkret, jo makinën në përgjithësi. Zgjidh destinacionin, shiko rrugën për atë adresë dhe pastaj vëzhgo lidhjen ndërsa është e hapur:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Nëse rruga emërton tunelin, por lista e soketëve tregon një lidhje me një adresë burimore nga ndërfaqja fizike, aplikacioni është i lidhur me diçka të caktuar, ose një tunel i dytë konkurron për rrugën e parazgjedhur. Është pyetje rrugëtimi, dhe përgjigja mund të jepet nga këto tre dalje, jo nga ekrani i statusit të klientit.

Arkitektura e sigurisë RFC 4301 përshkruan versionin e shtresës IP të këtij mbështjellimi për IPsec, dhe e njëjta logjikë shtresash vlen për WireGuard dhe OpenVPN. Pasi mund të tregosh paketën e brendshme dhe paketën e jashtme si objekte të veçanta, pjesa më e madhe e sjelljes së tunelit pushon së qeni misterioze dhe bëhet një tabelë rrugëtimi që mund ta lexosh.