Ble i wylio traffig cleient OpenVPN ar y giât

Rydych am wybod pa gyrchfannau mae cleient cysylltiedig yn eu cyrraedd, felly byddwch yn agor plisgyn ar y gweinydd VPN ac yn teipio ss. Nid oes dim defnyddiol yn ymddangos, ac mae'r casgliad bod y twnnel wedi torri yn dod ychydig yn rhy hawdd. Mae giât OpenVPN sy'n llwybro yn anfon pecynnau'r cleient ymlaen; nid yw'n terfynu eu cysylltiadau TCP ac nid yw'n berchen ar socedi ar eu cyfer. Mae'r dystiolaeth yn byw yn rhywle arall, ac mae pa rywle yn dibynnu ar sut y caiff y traffig ei drin ar ôl iddo adael y twnnel.

Penderfynwch pa drefniant rydych yn edrych arno

Mae dau siâp cyffredin yn cynhyrchu tystiolaeth hollol wahanol. Mae giât sy'n llwybro yn dadgapsiwleiddio, yn anfon ymlaen ac o bosibl yn gwneud NAT ffynhonnell, felly mae cysylltiad y cleient yn parhau i fodoli o ben bwy gilydd heb soced lleol.

Mae dirprwy yn terfynu traffig: mae'n derbyn y cysylltiad, yna'n agor ei gysylltiad uwch-lif ei hun. Yn y trefniant hwnnw mae dau gysylltiad ar gyfer un cais, ac mae'r cysylltiad rhyngddynt yn bodoli yn unig yng nghofnodion y dirprwy ei hun. Mae gwybod pa un o'r rhain a ddefnyddiwyd gennych yn penderfynu a ddylech fod yn darllen cyflwr llif y cnewyllyn neu logiau'r cymhwysiad.

Daw'r rhan fwyaf o'r dryswch o ddyfalu. Cadarnhewch y siâp cyn dewis yr offeryn. Darllenwch gyfluniad y gweinydd am gyfarwyddeb dirprwy yn gyntaf, oherwydd mae ei phresenoldeb yn newid pob cam diweddarach. Heb un, llwybro yw llwybr y pecynnau a chyflwr llif y cnewyllyn yw eich tystiolaeth.

Cysylltwch y cyfeiriad â sesiwn yn gyntaf

Dechreuwch o gyflwr sesiynau'r gweinydd a nodwch gyfeiriad mewnol cyfredol y cleient. Mae cyfeiriadau'r pwll yn cael eu hailgylchu, felly mae cyfeiriad ar ei ben ei hun yn les, nid yn berson.

Cofnodwch yr amser a'r hunaniaeth ddilysedig gyda'i gilydd, a nodwch a oes LAN gyfan yn cuddio y tu ôl i'r cleient hwnnw. Os yw'r pen pell yn llwybro isrwyd, efallai mai gwesteiwyr gwreiddiol neu rai wedi'u cyfieithu yw'r cyfeiriadau mewnol a welwch.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Mae'r pâr hwnnw'n ateb dau gwestiwn ar unwaith: pa ragddodiad mae rhyngwyneb y twnnel yn ei wasanaethu, a pha sesiwn oedd yn weithredol yn ystod y cyfnod sy'n bwysig i chi. Gwnewch hyn cyn dehongli unrhyw gofnod llif, oherwydd mae twpl credadwy wedi'i atodi wrth y sesiwn anghywir yn waeth na dim tystiolaeth o gwbl.

Darllenwch y tabl llif ar giât sy'n llwybro

Ar ôl sefydlu'r cyfeiriad a'r cyfnod, mae rhestr ddarllen-yn-unig o gysylltiadau a olrheinir yn dangos beth mae'r giât yn ei anfon ymlaen ar ei gyfer. Hidlwch ar y ffynhonnell wreiddiol fel na fyddwch yn darllen y tabl cyfan.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Mae pob cofnod yn dal dau dwpl, gwreiddiol ac atebol, sef dau gyfeiriad un llif yn hytrach na dau gymhwysiad. Ar lwybr NAT ffynhonnell mae'r twpl gwreiddiol yn cadw cyfeiriad y twnnel tra bod yr ochr atebol yn dangos cyfeiriad cyfieithiedig y giât, a dyna'n union sy'n gwneud i'r allbwn edrych yn anghywir ar yr olwg gyntaf.

Triniwch y rhestr fel cyflwr byw ac nid fel hanes. Efallai bod llifau byr eisoes wedi dod i ben, nid yw traffig heb ei olrhain byth yn ymddangos, ac mae gofod enw rhwydwaith gwahanol yn dangos tabl gwahanol. Mae cyfeirlyfr conntrack yn dogfennu'r hidlyddion a'r allbwn dau-gyfeiriad.

Un cipiad cyfyngedig i gadarnhau'r darllen

Os yw rhyngwyneb y twnnel yn weladwy lle rydych yn edrych, mae un cipiad cyfyngedig yn setlo a yw'r pecynnau a nodwyd gennych yw'r rhai sydd ar y wifren. Cadwch yr hidlydd yn gul a'r terfyn pecynnau yn fach.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Cymharwch stampiau amser, protocol a phorthladdoedd â chofnod y llif ac â'r cais a wnaethoch fel prawf. Mae cipiad a gymerwyd ar ôl NAT yn dangos cyfeiriad cyhoeddus y giât yn unig, tra gall ochr y twnnel ddangos un y cleient o hyd, ac mae'r gwahaniaeth hwnnw yn wybodaeth ac nid yn anghysondeb.

Os nad yw'r rhyngwyneb yn gweld dim, gwiriwch lwybr y data cyn casglu bod y cleient yn segur: nid yw traffig cleient-i-gleient a rhai llwybrau dadlwytho caledwedd byth yn croesi'r pwynt rydych yn ei wylio.

Logiau dirprwy, a therfynau'r hyn a welsoch

Pan fo dirprwy yn y llwybr, mae ei socedi uwch-lif yn weladwy yn y tabl socedi ond nid ydynt yn mapio un-i-un i gleientiaid VPN, yn enwedig gyda phwlio neu amlblecsio. Defnyddiwch log trafodion cyfluniedig y dirprwy i gydberthyn hunaniaeth y cleient, cyrchfan, stamp amser ac unrhyw ddangosydd cais y mae'n ei gofnodi.

Gwiriwch gyfluniad logio'r fersiwn a ddefnyddiwyd yn hytrach na chymryd yn ganiataol bod pob cais yn cael ei gofnodi yn ddiofyn.

Yn olaf, byddwch yn fanwl am y cwmpas. Mae cyfeiriad cyrchfan a phorthladd yn fetadata, nid yn URL ac nid yn gynnwys tudalen, oherwydd mae'r sesiwn HTTPS fewnol yn cadw ei diogelwch ei hun waeth beth fo'r twnnel. Adroddwch yr hyn a sylwoch, o ba bwynt arsylwi, ac ar ba amser.