VPN tunneli nima va himoya qayerda tugaydi
Tunnel ayrim paketlar atrofiga siz allaqachon ega bo'lgan aloqa ustidan ikkinchi konvert qo'yadi. Bitta so'rovni kuzatib, sayt aslida qaysi manzilni qayd etishini ko'ring.
Mijoz ulanganligini bildiradi, qulf yopiq, lekin sayt hali ham kvartirangiz manzilini qayd etmoqda. Hech narsa muvaffaqiyatsiz bo'lmadi. Tunnel Wi-Fi yoki mobil aloqangizni almashtirmaydi; u ayrim paketlar atrofiga ikkinchi konvert qo'yadi va o'sha konvertni siz allaqachon ega bo'lgan tarmoq orqali yuboradi. Bu hiylani tushunish asosan bitta so'rovni kuzatish va konvert qayerda ochilishini payqashdir, chunki uy manzilining oqib chiqishidan katta yuklab olishning to'xtab qolishigacha deyarli har bir chalkashtiruvchi belgi o'sha chegaradan keladi.
Ikki konvert, bitta jismoniy aloqa
Noutbukingiz router bilan odatdagi aloqasini saqlaydi, router esa provayder bilan odatdagi aloqasini saqlaydi. Tunnel ko'tarilganda bu yo'lda hech narsa o'zgarmaydi. O'zgaradigan narsa tanlangan paketlar virtual interfeysga berilishi, VPN hamkoriga manzillangan yangi paket ichiga o'ralishi va jismoniy aloqa orqali oddiy trafik sifatida yuborilishi.
Qabul qiluvchi tomon konvertni ochib, asl paketni manziliga qarab uzatuvchi qurilma. Ikki uch o'rtasida kuzatuvchi tashqi sarlavhani ko'radi, ichki qism haqida hech narsa ko'rmaydi, agar protokol uni shifrlamasa, ko'pchilik iste'molchi protokollari buni qiladi va umumiy texnika buni talab qilmaydi.
Shuning uchun virtual interfeys ham haqiqiy, ham chalg'ituvchi. U manzil va eng katta uzatish birligiga ega yadro obyekti sifatida mavjud, operatsion tizim esa trafikni boshqa har qanday interfeys kabi unga yo'naltiradi. Bu kabel emas va uning mavjudligi faqat komponent o'rnatilganini isbotlaydi. Brauzeringiz undan foydalanadimi, buni marshrutlar hal qiladi, interfeysning ochiqligi emas.
Bitta so'rovning sayohatini kuzating
Manzilni tanlang va yadrodan qaysi interfeysdan foydalanishini so'rang. Bu bitta buyruq tunnelning biror ish qilishi haqidagi bahslarning ko'pini hal qiladi:
ip route get 203.0.113.7
ip -brief addr show
ip -4 addr show dev wg0Agar marshrut chiqishi tunnel interfeysini aytsa, paket o'raladi. Agar jismoniy interfeysni aytsa, o'ralmaydi va mijozni necha marta qayta ishga tushirsangiz ham bu o'zgarmaydi. Ikkinchi buyruq ikkala interfeysni yonma-yon ko'rsatadi, manzilsiz yoki noto'g'ri oiladan manzil bilan ko'tarilgan tunnelni shu tarzda payqaysiz.
Keyin konvert ichidan birinchi sakrashni ko'ring va uni tashqaridagi birinchi sakrash bilan solishtiring:
traceroute -n -m 3 203.0.113.7
sudo tcpdump -ni wg0 -c 5Tunnel ichida birinchi sakrash hamkorning ichki manzili, sizning routeringiz emas. Tunnel interfeysidagi yozib olish ichki paketlarni ko'rsatadi, bu ilova yuboryapti deb hisoblagan trafik. Shu vaqtda jismoniy interfeysda yozib olish tashqi paketlarni ko'rsatadi, ikkisi birga tunnelning aslida nima qilishining eng aniq namoyishi.
Uch manzil, sayt esa faqat bittasini ko'radi
Odamlar bularni doim chalkashtiradi, chalkashlik esa yolg'on oqib chiqish hisobotlarini keltiradi. Bular turli sarlavhalardagi turli maydonlar, umri ham turlicha.
| Address | Where it appears | Who can see it |
|---|---|---|
| Endpoint address | Outer header, the peer you connect to | Your access network and the path to it |
| Inner tunnel address | Inside the envelope, on the virtual interface | The peer, and anything the peer routes to |
| Exit address | Source of the packet that reaches the website | The website and its upstream |
Virtual adapter yonidagi raqam ikkinchi qator. Bu sayt qayd etadigan manzil emas, uni ommaviy IPingiz deb keltirish shunchaki xato. Sayt ko'radigan manzilni chiqish beradi, xususiy tarmoq tunnelida esa umuman ommaviy chiqish bo'lmasligi mumkin, chunki manzil internetda emas, tashkilot ichida.
Saytlar orasidagi tunnel boshqa oxirgi nuqtalarga ega o'sha mexanizm. Ikki router tarmoqlar orasidagi trafikni o'raydi va hech bir alohida qurilmada mijoz o'rnatilmagan. Konvert aslida bir xil, ma'muriy chegara esa emas.
Konvert qayerda ochiladi va undan nima omon qoladi
Tunnel o'z hamkorida tugaydi. Agar ilovaning o'z shifrlashi uzoqroqqa yetsa, u bu chegaradan omon qoladi, bu HTTPS uchun odatiy hol: brauzer seansi saytda tugaydi, shuning uchun chiqish o'zi o'qiy olmaydigan shifr matnni uzatadi.
Boshqa hech narsa sukut bo'yicha omon qolmaydi. Shifrlanmagan so'rov chiqishda xuddi kafedagi Wi-Fi da o'qilganidek o'qiladi va tunnel ilovada hech qachon bo'lmagan himoyani qo'shmaydi. Xuddi shunday, chiqishning xavfsizlik devori qoidalari va uzatish siyosati keyin nima bo'lishini hal qiladi; muvaffaqiyatli qo'l siqish hamkor bilan aloqa haqidagi fakt, sayohatning qolgan qismi haqida emas.
Qo'shimcha yuk boshqa ko'rinadigan oqibat. Har bir paket qo'shimcha sarlavha olib yuradi, tashqi transport o'zinikini qo'shishi mumkin, shuning uchun har bir paketga foydali yuk kamayadi. Eng katta uzatish birligi qat'iy bo'lgan yo'lda tunnel pingni o'tkazib, katta yuklashni to'xtata olishining sababi ham shu.
Ilova aslida bosib o'tgan yo'lni tekshiring
Oxirgi qadam umumiy mashinani emas, aniq ilovani tasdiqlash. Manzilni hal qiling, o'sha manzil uchun marshrutni ko'ring, so'ngra aloqa ochiq turganda uni kuzating:
getent hosts example.com
ip route get "$(getent hosts example.com | awk '{print $1; exit}')"
ss -tnp state established '( dport = :443 )'Agar marshrut tunnelni aytsa, lekin soketlar ro'yxati jismoniy interfeysdan manba manziliga ega aloqani ko'rsatsa, ilova aniq bir narsaga bog'langan yoki ikkinchi tunnel standart marshrut uchun kurashmoqda. Bu marshrutlash savoli va unga mijozning holat ekranidan emas, shu uchta chiqishdan javob berish mumkin.
RFC 4301 xavfsizlik arxitekturasi IPsec uchun bu o'rashning IP qatlami versiyasini tavsiflaydi va xuddi shu qatlam mantiqi WireGuard va OpenVPN uchun ham amal qiladi. Ichki paket va tashqi paketni alohida obyektlar sifatida ko'rsata olganingizdan so'ng, tunnel xulqining ko'p qismi sir bo'lishdan to'xtaydi va o'qishingiz mumkin bo'lgan marshrutlash jadvaliga aylanadi.