VPN کیپچر: tun0 پر اندرونی پیکٹ، eth0 پر لفافہ

VPN ہوسٹ پر کیپچر کرنا ایک ہی چیز ریکارڈ نہیں کرتا۔ کرنل پیکٹ دو بار سامنے لاتا ہے: فزیکل اڈاپٹر پر لپٹا ہوا، اور ٹنل ڈیوائس پر کھلا ہوا۔ انٹرفیس چننا یہ چننا ہے کہ آپ ان کہانیوں میں سے کون سی پڑھتے ہیں۔ کیپچر کیا ثابت کرتا ہے، اس پر زیادہ تر بحثیں دراصل اس پر بحثیں ہیں کہ کون سی کہانی جمع کی گئی۔

انکیپسولیشن دو نظارے بناتا ہے

ٹنل وہ پیکٹ لیتا ہے جو کسی ایپلیکیشن نے بنایا اور اسے ایک نئے پیکٹ کے اندر رکھتا ہے جس کا منزل VPN سرور ہے۔ اندرونی شکل tun0، wg0 یا کلائنٹ کے بنائے گئے کسی بھی ڈیوائس پر ظاہر ہوتی ہے۔ بیرونی شکل اس اڈاپٹر پر ظاہر ہوتی ہے جو اسے نیٹ ورک تک لے جاتا ہے۔ دونوں شکلیں جائز ہیں؛ وہ مختلف سوالات کے جواب دیتی ہیں۔ ہر ایک کو الگ الگ جمع کریں، کیونکہ دونوں کے ہیڈر اور قارئین مختلف ہیں۔

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

اس موازنے کے لیے سوڈو انٹرفیس any خراب انتخاب ہے۔ آگے بھیجے گئے پیکٹ دو بار ریکارڈ ہو سکتے ہیں، اور مقامی طور پر بنایا گیا پیکٹ دونوں شکلوں میں ظاہر ہوتا ہے، جو گنتی کو بڑھا دیتا ہے۔ اگر کوئی عدد ناممکن لگے تو ٹنل کو الزام دینے سے پہلے انٹرفیس جانچیں۔

ٹنل کے اندر پیکٹ عام ہے

ٹنل ڈیوائس پر آپ جو دیکھتے ہیں وہی ہے جو ایپلیکیشن نے کرنل سے بھیجنے کو کہا تھا۔ منزل کے پتے، پورٹس، DNS نام، TLS سرور نام، سائز اور وقت سب وہاں ہیں۔ TLS پے لوڈ ایپلیکیشن کے اپنے سیشن سے خفیہ رہتا ہے، اس لیے کیپچر صفحے کا مواد ظاہر نہیں کرتا۔ سادہ متن میں DNS استفسار یہاں نظر آتا ہے، اگرچہ اس کا حامل خفیہ ہے، کیونکہ یہ کبھی محفوظ نہیں تھا۔

خفیہ کردہ DNS اس ایک نظر آنے والے میدان کو ہٹا دیتا ہے۔ یہ منزل کا پتہ، بائٹ کی گنتی یا تال نہیں چھپاتا، جو بہاؤ کی خصوصیات ہیں، استفسار کی نہیں۔

باہر صرف لفافہ اور اس کی شکل

فزیکل اڈاپٹر آپ کا پتہ، سرور کا پتہ، پورٹ، پیکٹ کے سائز اور وقت دکھاتا ہے۔ اندر لے جانے والی منزلیں غائب ہیں، تاہم ان کی شکل اب بھی اندازے کی تائید کر سکتی ہے۔ سائز اور رفتار کسی کا نام لیے بغیر ویڈیو اسٹریم، بڑی منتقلی یا چیٹ سیشن کی نشاندہی کر سکتے ہیں۔ قریبی مبصر تقریباً یہی منظر دیکھتا ہے، جو بتاتا ہے کہ ٹنل اپنی موجودگی کا اعلان کرتے ہوئے سائٹس کیسے چھپا سکتا ہے۔

یہ دعویٰ روٹنگ پر منحصر ہے۔ تنگ راستہ، ٹنل میں نہ داخل ہونے والا IPv6 ڈیفالٹ، یا فزیکل انٹرفیس سے بندھا عمل ٹریفک کو لفافے سے باہر رکھے گا۔ کیپچر سے نتائج نکالنے سے پہلے اصل راستہ پڑھیں۔

پیر کا پتہ اور کیپچر کی صفائی

TCP موڈ میں OpenVPN قائم شدہ ساکٹ رکھتا ہے، اس لیے ساکٹ ٹیبل پیر کا نام لے سکتی ہے۔ UDP موڈ میں OpenVPN اکثر ساکٹ کو جڑا ہوا نہیں چھوڑتا، اور ss صرف مقامی طرف دکھا سکتا ہے۔ اس کے بجائے پروفائل کا remote، تفصیلی کلائنٹ لاگ یا اینڈ پوائنٹ تک کا راستہ پڑھیں۔ WireGuard براہ راست اپنا اینڈ پوائنٹ اور آخری مصافحہ بتاتا ہے۔

wg show
ss -tunp | grep 51820

کیپچر فائل اس سیشن سے زیادہ دیر زندہ رہتی ہے جس نے اسے بنایا۔ اس کی نقل کی جا سکتی ہے، اور مقامی رسائی رکھنے والا کوئی بھی اسے پڑھ سکتا ہے۔ صرف وہی رکھیں جو تفتیش کو درکار ہے، اجازتیں محدود کریں اور کام مکمل ہونے پر اسے حذف کر دیں۔

قابل اشتراک کیپچر کو بتانا چاہیے کہ کس انٹرفیس نے اسے بنایا اور کب۔ اس نوٹ کے بغیر، اگلے قاری کو اندازہ لگانا پڑے گا کہ وہ کون سی تہہ دیکھ رہا ہے۔