TLS/SSL VPN原理细节

这节的重点是信道应用程序如何从系统中得到IP数据包

虚拟网络接口

Linux和许多操作系统都支持两种网络接口：物理网络接口和虚拟网络接口。
物理网络接口通过硬件网卡把计算机连到网络。
虚拟网络接口对应一个用软件实现的虚拟网卡。

虚拟网络接口例子

loopback接口，任何发送到该接口的流量都会返回给内核，实现数据包来自网络的效果。
TUN/TAP接口。

TUN接口作用在网络协议栈的IP层或者OSI的第三层（网络层），把数据包发送到TUN接口会使得数据包（包括IP头部）被传递到用户空间的程序。
TAP接口作用在OSI的第二层（数据链路层），它的作用就像一个物理网络适配器。被广泛用于创建网桥。

物理网络接口与虚拟网络接口的区别如下：

建立TUN接口

TUN就是在内核和用户程序之间的代理

#include <fcntl.h>
#include <stdio.h>
#include <unistd.h>
#include <string.h>
#include <arpa/inet.h>
#include <linux/if.h>
#include <linux/if_tun.h>
#include <sys/ioctl.h>

int createTunDevice()
{
   int tunfd;
   struct ifreq ifr;
   memset(&ifr, 0, sizeof(ifr));

   ifr.ifr_flags = IFF_TUN | IFF_NO_PI; 
   tunfd = open("/dev/net/tun", O_RDWR);
   ioctl(tunfd, TUNSETIFF, &ifr);      

   return tunfd;
}

int main () {
   int tunfd = createTunDevice();
   printf("TUN file descriptor: %d \n", tunfd);

   // We can interact with the device using this file descriptor.
   // In our experiement, we will do the interaction from a shell.
   // Therefore, we launch the bash shell here.
   char *argv[2];
   argv[0] = "/bin/bash"; argv[1] = NULL;
   execve("/bin/bash", argv, NULL);

   return 0;
}

程序解读：
为了使用TUN/TAP，程序需要打开/dev/net/tun设备，并且调用对应的ioctl()函数在内核中注册一个网络设备。
这个网络设备会以tunNN（NN代表一个数字），或tapNN的形式呈现，取决于所选的标志是什么

Note

要创建一个网络设备，一个进程需要有root或者CAP_NET_ADMIN权限

创建tun ifconfig -a可以用来查看TUN设备是否创建成功。不加-a只会列举已被激活的接口