VPN ushlash: tun0 da ichki paketlar, eth0 da konvert

VPN xostida ushlash birgina narsani yozib olmaydi. Yadro paketni ikki marta ko'rsatadi: jismoniy adapterda o'ralgan, tunnel qurilmasida esa ochilgan holda. Interfeysni tanlash bu hikoyalardan qaysi birini o'qishingizni tanlashdir. Uslash nimani isbotlaydi degan bahslarning ko'pi aslida qaysi hikoya to'plangani haqidagi bahsdir.

Inkapsulyatsiya ikki ko'rinish yaratadi

Tunnel ilova yaratgan paketni olib, manzili VPN serveri bo'lgan yangi paketning ichiga joylaydi. Ichki shakl tun0, wg0 yoki mijoz yaratgan har qanday qurilmada ko'rinadi. Tashqi shakl uni tarmoqqa olib boradigan adapterda ko'rinadi. Ikkala shakl ham qonuniy; ular turli savollarga javob beradi. Har birini alohida to'plang, chunki ikkalasining sarlavhalari va o'quvchilari boshqacha.

sudo tcpdump -i tun0 -n -s 0
sudo tcpdump -i eth0 -n host 198.51.100.20 and udp port 51820

Bu taqqoslash uchun any psevdo-interfeysi yomon tanlov. Yo'naltirilgan paketlar ikki marta yozilishi mumkin, va mahalliy yaratilgan paket ikkala shaklda ham ko'rinadi, bu hisoblarni shishiradi. Agar raqam imkonsiz ko'rinsa, tunnelni ayblashdan oldin interfeysni tekshiring.

Tunnel ichida paket oddiy

Tunnel qurilmasida ko'rayotganingiz ilova yadrodan yuborishni so'ragan narsadir. Manzil manzillari, portlar, DNS nomlari, TLS server nomlari, o'lchamlar va vaqt hammasi shu yerda. TLS yuki ilovaning o'z sessiyasi bilan shifrlangan holda qoladi, shuning uchun ushlash sahifa mazmunini oshkor qilmaydi. Ochiq matndagi DNS so'rovi bu yerda ko'rinadi, garchi tashuvchisi shifrlangan bo'lsa ham, chunki u hech qachon himoyalanmagan.

Shifrlangan DNS o'sha bitta ko'rinadigan maydonni olib tashlaydi. U manzilni, bayt sonini yoki ritmni yashirmaydi; bular so'rovning emas, oqimning xususiyatlari.

Tashqarida faqat konvert va uning shakli

Jismoniy adapter sizning manzilingizni, server manzilini, portni, paket o'lchamlarini va vaqtni ko'rsatadi. Ichkarida olib o'tiladigan manzillar yo'q, garchi ularning shakli hali ham xulosa chiqarishga yordam berishi mumkin. O'lchamlar va ritm hech birini nomlamasdan video oqim, katta uzatish yoki chat sessiyasini ko'rsatishi mumkin. Yaqin kuzatuvchi taxminan shu manzarani ko'radi, bu tunnel o'z mavjudligini reklama qilib, saytlarni qanday yashirishi mumkinligini tushuntiradi.

Bu da'vo marshrutlashga bog'liq. Torroq marshrut, tunnelga kirmaydigan IPv6 standarti yoki jismoniy interfeysga bog'langan jarayon trafikni konvertdan tashqariga chiqaradi. Uslashdan xulosa chiqarishdan oldin haqiqiy marshrutni o'qing.

Hamkor manzili va ushlash gigienasi

TCP rejimidagi OpenVPN o'rnatilgan soketni saqlaydi, shuning uchun soket jadvali hamkorni nomlashi mumkin. UDP rejimidagi OpenVPN soketni ko'pincha ulanmagan holda qoldiradi, va ss faqat mahalliy tomonni ko'rsatishi mumkin. Buning o'rniga profilning remote maydonini, batafsil mijoz jurnalini yoki oxirgi nuqtaga marshrutni o'qing. WireGuard o'z oxirgi nuqtasi va oxirgi qo'l berib ko'rishishini to'g'ridan-to'g'ri xabar qiladi.

wg show
ss -tunp | grep 51820

Ushlash fayli uni yaratgan sessiyadan uzoqroq yashaydi. Uni nusxalash mumkin va mahalliy kirish huquqiga ega har kim o'qishi mumkin. Faqat tergovga kerakli narsani saqlang, ruxsatlarni cheklang va ish tugagach uni o'chiring.

Ulashish mumkin bo'lgan ushlash qaysi interfeys uni yaratganini va qachon yaratganini aytishi kerak. Bu eslatmasiz keyingi o'quvchi qaysi qatlamga qarayotganini taxmin qilishi kerak.