Kie observi la trafikon de OpenVPN-kliento ĉe la pordego

Vi volas scii, kiujn celojn atingas konektita kliento, do vi malfermas ŝelon sur la VPN-servilo kaj tajpas ss. Nenio utila aperas, kaj la konkludo, ke la tunelo estas rompita, sekvas iom tro facile. Enkursaviga OpenVPN-pordego plusendas la pakaĵojn de la kliento; ĝi ne finas iliajn TCP-konektojn kaj ne posedas ingojn por ili. La pruvo loĝas aliloke, kaj kie ĝuste dependas de tio, kiel la trafiko estas traktata post kiam ĝi forlasas la tunelon.

Decidu, kiun aranĝon vi rigardas

Du oftaj formoj produktas tute malsamajn pruvojn. Enkursaviga pordego malenkapsuligas, plusendas kaj eble faras fontan NAT, do la konekto de la kliento daŭre ekzistas de fino al fino sen loka ingo.

Prokuro finas trafikon: ĝi akceptas la konekton, poste malfermas sian propran supran konekton. En tiu aranĝo ekzistas du konektoj por unu peto, kaj la ligo inter ili ekzistas nur en la propraj registroj de la prokuro. Scii, kiun el ili vi dissendis, decidas ĉu vi legu la fluan staton de la kerno aŭ la protokolojn de la aplikaĵo.

Plej multa konfuzo venas de konjektado. Konfirmu la formon antaŭ ol elekti la ilon. Unue legu la servilan agordon por prokura direktivo, ĉar ĝia ĉeesto ŝanĝas ĉiun postan paŝon. Sen ĝi la vojo de la pakaĵoj estas enkursavigo, kaj la flua stato de la kerno estas via pruvo.

Unue ligu la adreson al seanco

Komencu de la seanca stato de la servilo kaj identigu la nunan internan adreson de la kliento. Adresoj el la provizo estas reuzataj, do adreso sola estas luo, ne persono.

Notu la tempon kaj la aŭtentigitan identecon kune, kaj rimarku, ĉu tuta loka reto kaŝiĝas malantaŭ tiu kliento. Se la malproksima fino enkursavigas subreton, la internaj adresoj, kiujn vi vidas, povas esti originaj gastigantoj aŭ tradukitaj.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Tiu paro respondas du demandojn samtempe: kiun prefikson servas la tunela interfaco, kaj kiu seanco estis aktiva dum la intervalo, kiu interesas vin. Faru tion antaŭ ol interpreti ajnan fluan rikordon, ĉar konvinka opo ligita al la malĝusta seanco estas pli malbona ol neniu pruvo entute.

Legu la fluan tabelon sur enkursaviga pordego

Kiam la adreso kaj la intervalo estas fiksitaj, lega listo de spuritaj konektoj montras, kion la pordego plusendas por ĝi. Filtru laŭ la origina fonto, por ke vi ne legu la tutan tabelon.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Ĉiu rikordo tenas du opojn, originalan kaj respondon, kiuj estas la du direktoj de unu fluo kaj ne du aplikaĵoj. Sur fonta NAT-vojo la origina opo konservas la adreson de la tunelo, dum la responda flanko montras la tradukitan adreson de la pordego, kaj ĝuste tio igas la eligon aspekti malĝusta je la unua rigardo.

Traktu la liston kiel vivantan staton kaj ne kiel historion. Mallongaj fluoj eble jam eksvalidiĝis, nespurita trafiko neniam aperas, kaj alia reta nomspaco montras alian tabelon. La conntrack-referenco dokumentas la filtrilojn kaj la dudirektan eligon.

Unu limigita kaptaĵo por konfirmi la legadon

Se la tunela interfaco videblas tie, kie vi rigardas, unu limigita kaptaĵo decidas, ĉu la pakaĵoj, kiujn vi identigis, estas tiuj sur la drato. Tenu la filtrilon mallarĝa kaj la pakaĵan limon malgranda.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Komparu tempomarkojn, protokolon kaj portojn kun la flua rikordo kaj kun la peto, kiun vi faris kiel teston. Kaptaĵo prenita post NAT montras nur la publikan adreson de la pordego, dum la tunela flanko eble ankoraŭ montras tiun de la kliento, kaj tiu diferenco estas informo, ne malkonsekvenco.

Se la interfaco vidas nenion, kontrolu la datuman vojon antaŭ ol konkludi, ke la kliento senokupas: trafiko de kliento al kliento kaj iuj malŝarĝaj vojoj neniam trapasas la punkton, kiun vi observas.

Prokuraj protokoloj kaj la limoj de tio, kion vi vidis

Kiam prokuro staras en la vojo, ĝiaj supraj ingoj videblas en la inga tabelo, sed ili ne mapiĝas unu-al-unu al VPN-klientoj, precipe kun provizado aŭ multipleksado. Uzu la agorditan transakcian protokolon de la prokuro por kunligi klientan identecon, celon, tempomarkon kaj ajnan petan identigilon, kiun ĝi registras.

Kontrolu la registran agordon de la disdonita versio anstataŭ supozi, ke ĉiu peto registriĝas defaŭlte.

Fine, estu preciza pri la amplekso. Cela adreso kaj porto estas metadatumoj, ne URL kaj ne paĝa enhavo, ĉar la interna HTTPS-seanco konservas sian propran protekton sendepende de la tunelo. Raportu, kion vi observis, de kiu observa punkto kaj je kiu tempo.