VPN yakalama: tun0'da iç paketler, eth0'da zarf

Bir VPN ana bilgisayarında yakalama tek bir şey kaydetmez. Çekirdek paketi iki kez sunar: fiziksel bağdaştırıcıda sarılmış, tünel aygıtında ise açılmış olarak. Arayüzü seçmek, bu hikâyelerden hangisini okuduğunuzu seçmektir. Bir yakalamanın ne kanıtladığına dair tartışmaların çoğu aslında hangi hikâyenin toplandığına dair tartışmalardır.

Kapsülleme iki görünüm yaratır

Tünel, bir uygulamanın ürettiği paketi alır ve hedefi VPN sunucusu olan yeni bir paketin içine koyar. İç biçim tun0, wg0 veya istemcinin oluşturduğu herhangi bir aygıtta görünür. Dış biçim, onu ağa taşıyan bağdaştırıcıda görünür. İki biçim de meşrudur; farklı sorulara yanıt verirler. Her birini ayrı ayrı toplayın, çünkü ikisinin başlıkları ve okuyucuları farklıdır.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Bu karşılaştırma için any sözde arayüzü kötü bir seçimdir. İletilen paketler iki kez kaydedilebilir ve yerel olarak üretilen bir paket her iki biçimde de görünür, bu da sayıları şişirir. Bir sayı imkânsız görünüyorsa, tüneli suçlamadan önce arayüzü denetleyin.

Tünelin içinde paket sıradandır

Tünel aygıtında gördüğünüz şey, uygulamanın çekirdekten göndermesini istediği şeydir. Hedef adresler, bağlantı noktaları, DNS adları, TLS sunucu adları, boyutlar ve zamanlama hepsi oradadır. TLS yükü uygulamanın kendi oturumu tarafından şifrelenmiş kalır, bu yüzden yakalama sayfa içeriğini açığa çıkarmaz. Düz metin bir DNS sorgusu, taşıyıcısı şifrelenmiş olsa da burada görünür, çünkü hiçbir zaman korunmamıştır.

Şifrelenmiş DNS o tek görünür alanı kaldırır. Hedef adresi, bayt sayısını veya ritmi gizlemez; bunlar sorgunun değil akışın özellikleridir.

Dışarıda yalnızca zarf ve biçimi

Fiziksel bağdaştırıcı sizin adresinizi, sunucunun adresini, bağlantı noktasını, paket boyutlarını ve zamanlamayı gösterir. İçeride taşınan hedefler yoktur, ancak biçimleri hâlâ çıkarımı destekleyebilir. Boyutlar ve ritim, hiçbirini adlandırmadan bir video akışına, büyük bir aktarıma veya sohbet oturumuna işaret edebilir. Yakındaki bir gözlemci yaklaşık olarak aynı görünümü görür, bu da bir tünelin kendi varlığını duyururken siteleri nasıl gizleyebildiğini açıklar.

Bu iddia yönlendirmeye bağlıdır. Daha dar bir yol, tünele girmeyen bir IPv6 varsayılanı veya fiziksel arayüze bağlanmış bir süreç trafiği zarfın dışına koyacaktır. Yakalamadan sonuç çıkarmadan önce gerçek yolu okuyun.

Eş adresi ve yakalama hijyeni

TCP modundaki OpenVPN kurulmuş bir soket tutar, böylece soket tablosu eşi adlandırabilir. UDP modundaki OpenVPN soketi çoğu zaman bağlantısız bırakır ve ss yalnızca yerel tarafı gösterebilir. Bunun yerine profilin remote alanını, ayrıntılı bir istemci günlüğünü veya uç noktaya giden yolu okuyun. WireGuard uç noktasını ve son el sıkışmasını doğrudan bildirir.

wg show
ss -tunp | grep 51820

Bir yakalama dosyası onu üreten oturumdan daha uzun yaşar. Kopyalanabilir ve yerel erişimi olan herkes tarafından okunabilir. Yalnızca soruşturmanın ihtiyaç duyduğunu saklayın, izinleri kısıtlayın ve iş bittiğinde silin.

Paylaşılabilir bir yakalama, hangi arayüzün onu ürettiğini ve ne zaman ürettiğini söylemelidir. Bu not olmadan, sonraki okuyucu hangi katmana baktığını tahmin etmek zorundadır.