VPN-avlyssning: inre paket på tun0, kuvert på eth0

Avlyssning på en VPN-värd registrerar inte en enda sak. Kärnan exponerar paketet två gånger: inpackat, på den fysiska adaptern, och uppackat, på tunnelenheten. Att välja gränssnitt är att välja vilken av dessa berättelser du läser. De flesta diskussioner om vad en avlyssning bevisar är egentligen diskussioner om vilken berättelse som samlades in.

Inkapsling skapar två vyer

Tunneln tar paketet som ett program har producerat och lägger det inuti ett nytt vars destination är VPN-servern. Den inre formen visas på tun0, wg0 eller vilken enhet klienten än har skapat. Den yttre formen visas på adaptern som bär det ut till nätverket. Båda formerna är legitima; de svarar på olika frågor. Samla var och en för sig, eftersom de två har olika rubriker och olika läsare.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Pseudo-gränssnittet any är ett dåligt val för den här jämförelsen. Vidarebefordrade paket kan registreras två gånger, och ett lokalt genererat paket visas i båda formerna, vilket blåser upp antalet. Om en siffra verkar omöjlig, kontrollera gränssnittet innan du skyller på tunneln.

Inne i tunneln är paketet vanligt

På tunnelenheten är det du ser det som programmet bad kärnan skicka. Destinationsadresser, portar, DNS-namn, TLS-servernamn, storlekar och tidsstämpling finns alla där. TLS-nyttolasten förblir krypterad av programmets egen session, så avlyssningen avslöjar inte sidinnehåll. En DNS-fråga i klartext syns här även om dess bärare är krypterad, eftersom den aldrig skyddades.

Krypterad DNS tar bort det enda synliga fältet. Det döljer inte destinationsadressen, byteantalet eller rytmen, som är egenskaper hos flödet och inte hos frågan.

Utanför bara kuvertet och dess form

Den fysiska adaptern visar din adress, serverns adress, porten, paketstorlekar och tidsstämpling. Destinationer som bärs inuti saknas, även om deras form fortfarande kan stödja slutsatser. Storlekar och kadens kan antyda en videoström, en stor överföring eller en chattession utan att namnge någon av dem. En observatör i närheten ser ungefär samma vy, vilket förklarar hur en tunnel kan dölja webbplatser samtidigt som den annonserar sin egen närvaro.

Det påståendet beror på routning. En smalare rutt, en IPv6-standard som inte går in i tunneln, eller en process bunden till det fysiska gränssnittet kommer att lägga trafiken utanför kuvertet. Läs den faktiska rutten innan du drar slutsatser av avlyssningen.

Peer-adress och avlyssningshygien

OpenVPN i TCP-läge håller en etablerad socket, så sockettabellen kan namnge peeren. OpenVPN i UDP-läge lämnar ofta socketen utan anslutning, och ss kanske bara visar den lokala sidan. Läs i stället remote i profilen, en detaljerad klientlogg eller rutten till slutpunkten. WireGuard rapporterar sin slutpunkt och sitt senaste handskakning direkt.

wg show
ss -tunp | grep 51820

En avlyssningsfil överlever sessionen som producerade den. Den kan kopieras, och den kan vara läsbar för alla med lokal åtkomst. Behåll bara det utredningen behöver, begränsa behörigheterna och radera den när arbetet är klart.

En delbar avlyssning bör ange vilket gränssnitt som producerade den och när. Utan den anteckningen måste nästa läsare gissa vilket lager de tittar på.