Tunnel ya VPN ni nini, na ulinzi unaishia wapi

Mteja anasema ameunganishwa, kufuli imefungwa, na tovuti bado inarekodi anwani ya nyumba yako. Hakuna kilichoshindikana. Tunnel haibadilishi Wi-Fi yako au muunganisho wako wa simu; inaweka bahasha ya pili kuzunguka pakiti fulani na kutuma bahasha hiyo kupitia mtandao ambao tayari ulikuwa nao. Kuelewa hila hii hasa ni kufuata ombi moja na kutambua mahali bahasha inafunguliwa, kwa sababu karibu kila dalili inayochanganya, kutoka anwani ya nyumbani inayovuja hadi upakuaji mkubwa uliokwama, inatoka kwenye mpaka huo.

Bahasha mbili, kiungo kimoja cha kimwili

Laptop yako inaendelea na muunganisho wake wa kawaida kwa router, na router inaendelea na muunganisho wake wa kawaida kwa mtoa huduma. Hakuna kinachobadilika kwenye njia hiyo tunnel inapoinuka. Kinachobadilika ni kwamba pakiti zilizochaguliwa zinapewa kiolesura pepe, zinafungwa ndani ya pakiti mpya inayoelekezwa kwa mwenza wa VPN, na kutumwa kama trafiki ya kawaida kupitia kiungo cha kimwili.

Mwisho wa kupokea ni kifaa kinachofungua bahasha na kusambaza pakiti ya awali kuelekea mwisho wake. Kati ya miisho hiyo miwili, mwangalizi huona kichwa cha nje na hakuna kitu kuhusu cha ndani, isipokuwa itifaki inaisimba, jambo ambalo itifaki nyingi za watumiaji hufanya na mbinu ya jumla haihitaji.

Ndiyo sababu kiolesura pepe ni halisi na cha kudanganya kwa wakati mmoja. Kipo kama kitu cha kernel kilicho na anwani na kipimo cha juu cha uhamishaji, na mfumo wa uendeshaji unaelekeza trafiki ndani yake kama kwenye kiolesura kingine chochote. Si kebo, na kuwepo kwake kunathibitisha tu kwamba sehemu fulani imesakinishwa. Ikiwa kivinjari chako kinatumia hicho huamuliwa na njia, si kwa kiolesura kuwa juu.

Tazama ombi moja likifanya safari

Chagua mwisho na uulize kernel kiolesura gani kitatumia. Amri hii moja hutatua mabishano mengi kuhusu ikiwa tunnel inafanya kitu chochote:

ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0

Ikiwa matokeo ya njia yanataja kiolesura cha tunnel, pakiti itafungwa. Ikiwa yanataja kiolesura cha kimwili, haitafungwa, na kuanzisha upya mteja hakubadilishi hilo. Amri ya pili inaonyesha violesura vyote viwili kando kando, na hivyo ndivyo unatambua tunnel iliyoinuka bila anwani au na anwani kutoka familia isiyo sahihi.

Kisha tazama kuruka kwa kwanza kutoka ndani ya bahasha, na kulinganishe na kuruka kwa kwanza kwa nje:

traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5

Ndani ya tunnel kuruka kwa kwanza ni anwani ya ndani ya mwenza, si router yako. Unasaji kwenye kiolesura cha tunnel unaonyesha pakiti za ndani, hiyo ni trafiki ambayo programu inadhani inatuma. Unasaji kwa wakati mmoja kwenye kiolesura cha kimwili unaonyesha pakiti za nje, na vyote viwili pamoja ni onyesho lililo wazi zaidi la kile tunnel inachofanya kweli.

Anwani tatu, na tovuti inaona moja tu

Watu huchanganya hizi kila mara, na machafuko hayo huzalisha ripoti za uongo za uvujaji. Hizi ni sehemu tofauti katika vichwa tofauti zenye maisha tofauti.

Nambari iliyo kando ya adapta pepe ni mstari wa pili. Si anwani ambayo tovuti inarekodi, na kuitaja kama IP yako ya umma ni kosa tu. Anwani ambayo tovuti inaona inatolewa na toka, na kwenye tunnel ya mtandao wa kibinafsi kunaweza kuwa hakuna toka la umma kabisa, kwa sababu mwisho uko ndani ya shirika na si kwenye intaneti.

Tunnel kati ya maeneo ni mbinu hiyo hiyo yenye miisho tofauti. Router mbili hufunga trafiki kati ya mitandao, na hakuna kifaa kimoja kilicho na mteja aliyesakinishwa. Bahasha ni sawa kwa kanuni, mpaka wa kiutawala si sawa.

Mahali bahasha inafunguliwa, na kile kinachonusurika

Tunnel inaishia kwa mwenza wake. Ikiwa usimbaji fiche wa programu yenyewe unafika mbali zaidi, unanusurika mpaka huo, ambayo ndiyo hali ya kawaida kwa HTTPS: kipindi cha kivinjari huishia kwenye tovuti, kwa hivyo toka husambaza maandishi yaliyosimbwa ambayo haiwezi kuyasoma.

Hakuna kingine kinachonusurika kwa chaguo-msingi. Ombi lisilosimbwa linaweza kusomwa kwenye toka kama lilivyoweza kusomwa kwenye Wi-Fi ya mkahawa, na tunnel haiongezi ulinzi ambao programu haikuwa nao kamwe. Vivyo hivyo, kanuni za ngome ya moto na sera ya usambazaji ya toka huamua kinachofuata; makubaliano ya mkono yaliyofanikiwa ni ukweli kuhusu muunganisho na mwenza, si kuhusu safari iliyobaki.

Gharama ya ziada ni tokeo lingine linaloonekana. Kila pakiti hubeba kichwa cha ziada, na usafirishaji wa nje unaweza kuongeza chake, kwa hivyo mzigo unaofaa kwa pakiti hupungua. Kwenye njia yenye kipimo kisichobadilika cha juu cha uhamishaji, ndiyo sababu hasa tunnel inaweza kupitisha ping na kuzuia upakiaji mkubwa.

Angalia njia ambayo programu ilichukua kweli

Hatua ya mwisho ni kuthibitisha programu mahususi, si mashine kwa ujumla. Tatua mwisho, angalia njia ya anwani hiyo, kisha uangalie muunganisho ukiwa wazi:

getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'

Ikiwa njia inataja tunnel lakini orodha ya soketi inaonyesha muunganisho wenye anwani chanzo kutoka kiolesura cha kimwili, programu imefungwa kwa kitu mahususi, au tunnel ya pili inashindana kwa njia ya chaguo-msingi. Hili ni swali la uelekezaji, na linaweza kujibiwa kutoka matokeo haya matatu badala ya skrini ya hali ya mteja.

Usanifu wa usalama wa RFC 4301 unaeleza toleo la tabaka la IP la ufungaji huu kwa IPsec, na mantiki hiyo hiyo ya tabaka inatumika kwa WireGuard na OpenVPN. Mara tu unapoweza kuonyesha pakiti ya ndani na pakiti ya nje kama vitu tofauti, tabia nyingi za tunnel huacha kuwa fumbo na huwa jedwali la uelekezaji ambalo unaweza kulisoma.