Снимање VPN-а: унутрашњи пакети на tun0, коверат на eth0

Снимање на VPN домаћину не бележи једну једину ствар. Језгро излаже пакет двапут: умотан, на физичком адаптеру, и отворен, на уређају тунела. Избор интерфејса је избор приче коју читате. Већина расправа о томе шта снимање доказује заправо су расправе о томе која је прича прикупљена.

Инкапсулација ствара два погледа

Тунел узима пакет који је апликација произвела и ставља га унутар новог чије је одредиште VPN сервер. Унутрашњи облик појављује се на tun0, wg0 или на било ком уређају који је клијент створио. Спољашњи облик појављује се на адаптеру који га носи у мрежу. Оба облика су легитимна; одговарају на различита питања. Прикупите сваки засебно, јер два имају различита заглавља и различите читаоце.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Псеудоинтерфејс any лош је избор за ово поређење. Прослеђени пакети могу бити забележени двапут, а локално генерисан пакет појављује се у оба облика, што надувава бројеве. Ако неки број изгледа немогућ, проверите интерфејс пре него што окривите тунел.

Унутар тунела пакет је обичан

На уређају тунела, оно што видите је оно што је апликација замолила језгро да пошаље. Одредишне адресе, портови, DNS имена, имена TLS сервера, величине и време све су ту. TLS корисни терет остаје шифрован сесијом саме апликације, па снимање не открива садржај странице. DNS упит у чистом тексту видљив је овде иако је његов носач шифрован, јер никада није био заштићен.

Шифровани DNS уклања то једно видљиво поље. Он не скрива одредишну адресу, број бајтова ни ритам, који су својства тока, а не упита.

Споља само коверат и његов облик

Физички адаптер приказује вашу адресу, адресу сервера, порт, величине пакета и време. Одредишта ношена унутра изостају, иако њихов облик још може да подржи закључивање. Величине и ритам могу да сугеришу видео ток, велики пренос или разговор, а да ниједно не именују. Обљижњи посматрач види приближно исту слику, што објашњава како тунел може да сакрије сајтове док оглашава сопствено присуство.

Та тврдња зависи од рутирања. Ужа рута, подразумевана IPv6 рута која не улази у тунел, или процес везан за физички интерфејс ставиће саобраћај изван коверта. Прочитајте стварну руту пре него што изведете закључке из снимања.

Адреса партнера и хигијена снимања

OpenVPN у TCP режиму држи успостављени сокет, па табела сокета може да наведе партнера. OpenVPN у UDP режиму често оставља сокет неповезаним, а ss може да прикаже само локалну страну. Прочитајте уместо тога remote профила, детаљан дневник клијента или руту до крајње тачке. WireGuard директно пријављује своју крајњу тачку и последње руковање.

wg show
ss -tunp | grep 51820

Датотека снимања надживи сесију која ју је произвела. Може се копирати и може бити читљива свакоме са локалним приступом. Чувајте само оно што истрага захтева, ограничите дозволе и избришите је када посао буде готов.

Снимање које може да се дели треба да каже који га је интерфејс произвео и када. Без те напомене следећи читалац мора да нагађа на који слој гледа.