Pagkuha ng VPN: mga panloob na packet sa tun0, sobre sa eth0

Ang pagkuha sa isang VPN host ay hindi nagtatala ng isang bagay lamang. Inilalantad ng kernel ang packet nang dalawang beses: nakabalot, sa pisikal na adapter, at nakabukas, sa aparato ng tunnel. Ang pagpili ng interface ay pagpili kung alin sa mga kuwentong ito ang binabasa mo. Karamihan sa mga debate tungkol sa kung ano ang pinapatunayan ng isang pagkuha ay talagang mga debate tungkol sa kung aling kuwento ang nakolekta.

Lumilikha ang encapsulation ng dalawang pananaw

Kinukuha ng tunnel ang packet na ginawa ng isang application at inilalagay ito sa loob ng bago na ang destinasyon ay ang VPN server. Lumilitaw ang panloob na anyo sa tun0, wg0 o sa anumang aparatong ginawa ng kliyente. Lumilitaw ang panlabas na anyo sa adapter na nagdadala nito sa network. Pareho ang dalawang anyo ay lehitimo; sumasagot sila sa magkaibang tanong. Kolektahin ang bawat isa nang hiwalay, dahil may magkaibang header at mambabasa ang dalawa.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Ang pseudo-interface na any ay masamang pagpipilian para sa paghahambing na ito. Ang mga naipadalang packet ay maaaring maitala nang dalawang beses, at ang packet na ginawa sa lokal ay lumilitaw sa parehong anyo, na nagpapalaki sa mga bilang. Kung ang isang numero ay mukhang imposible, suriin ang interface bago sisihin ang tunnel.

Sa loob ng tunnel, ang packet ay karaniwan

Sa aparato ng tunnel, ang nakikita mo ay ang hiniling ng application sa kernel na ipadala. Ang mga destinasyong address, port, pangalan ng DNS, pangalan ng TLS server, laki at oras ay naroroon lahat. Ang TLS payload ay nananatiling naka-encrypt ng sariling session ng application, kaya hindi ibinubunyag ng pagkuha ang nilalaman ng pahina. Ang DNS query sa plaintext ay nakikita dito kahit naka-encrypt ang tagapagdala nito, dahil hindi ito kailanman pinrotektahan.

Inaalis ng naka-encrypt na DNS ang nag-iisang nakikitang field na iyon. Hindi nito itinatago ang destinasyong address, ang bilang ng byte o ang ritmo, na mga katangian ng daloy at hindi ng query.

Sa labas, tanging ang sobre at ang hugis nito

Ipinapakita ng pisikal na adapter ang iyong address, ang address ng server, ang port, ang mga laki ng packet at ang oras. Wala ang mga destinasyong dinadala sa loob, kahit na ang hugis nila ay maaari pa ring sumuporta sa hinuha. Ang mga laki at cadence ay maaaring magmungkahi ng video stream, malaking paglilipat o sesyon ng chat nang hindi pinangalanan ang alinman sa mga ito. Ang isang malapit na tagamasid ay nakakakita ng humigit-kumulang parehong tanawin, na nagpapaliwanag kung paano maitatago ng isang tunnel ang mga site habang inaanunsyo ang sariling presensya.

Ang pahayag na iyon ay nakasalalay sa routing. Ang isang mas makitid na ruta, isang IPv6 default na hindi pumapasok sa tunnel, o isang prosesong nakatali sa pisikal na interface ay maglalagay ng trapiko sa labas ng sobre. Basahin ang tunay na ruta bago gumawa ng mga konklusyon mula sa pagkuha.

Address ng peer at kalinisan ng pagkuha

Ang OpenVPN sa TCP mode ay nagpapanatili ng establisadong socket, kaya maaaring pangalanan ng socket table ang peer. Ang OpenVPN sa UDP mode ay madalas na iniiwan ang socket na hindi konektado, at ang ss ay maaaring magpakita lamang ng lokal na panig. Basahin sa halip ang remote ng profile, isang detalyadong client log o ang ruta patungo sa endpoint. Ang WireGuard ay direktang nag-uulat ng endpoint at huling handshake nito.

wg show
ss -tunp | grep 51820

Ang isang capture file ay nabubuhay nang mas matagal kaysa sa session na gumawa nito. Maaari itong kopyahin, at maaaring mabasa ito ng sinumang may lokal na access. Itago lamang ang kailangan ng pagsisiyasat, limitahan ang mga pahintulot at tanggalin ito kapag tapos na ang trabaho.

Ang isang maibabahaging pagkuha ay dapat sabihin kung aling interface ang gumawa nito at kailan. Kung wala ang tala na iyon, kailangang hulaan ng susunod na mambabasa kung aling layer ang tinitingnan.