Kus jälgida OpenVPN-i kliendi liiklust lüüsil

Soovite teada, millistele sihtkohtadele ühendatud klient jõuab, seega avate VPN-i serveris kesta ja sisestate ss. Midagi kasulikku ei ilmu, ja järeldus, et tunnel on katki, tuleb pisut liiga kergelt. Marsruutiv OpenVPN-i lüüs edastab kliendi pakette; see ei lõpeta nende TCP-ühendusi ega oma nende jaoks sokette. Tõend elab mujal, ja see mujal sõltub sellest, kuidas liiklust käsitletakse pärast tunnelist lahkumist.

Otsustage, millist paigutust vaatate

Kaks tavalist kuju annavad täiesti erinevaid tõendeid. Marsruutiv lüüs dekapsuleerib, edastab ja teeb võib-olla lähteaadressi tõlke, nii et kliendi ühendus jätkub otsast otsani ilma kohaliku soketita.

Puhverserver lõpetab liikluse: see võtab ühenduse vastu ja avab seejärel oma ülemvooluühenduse. Selles paigutuses on ühe päringu jaoks kaks ühendust ja nendevaheline seos on ainult puhverserveri enda kirjetes. Teadmine, millise neist te kasutasite, otsustab, kas peaksite lugema kerneli voo olekut või rakenduse logisid.

Enamik segadust tuleb oletamisest. Kinnitage kuju enne tööriista valimist. Lugege kõigepealt serveri konfiguratsioonist puhverserveri direktiivi, sest selle olemasolu muudab iga järgnevat sammu. Ilma selleta on pakettide tee marsruutimine ja kerneli voo olek on teie tõend.

Siduge aadress kõigepealt seansiga

Alustage serveri seansiolekust ja tuvastage kliendi praegune sisemine aadress. Kogumi aadresse taaskasutatakse, nii et aadress iseenesest on rendileping, mitte inimene.

Kirjutage aeg ja autenditud identiteet koos üles ning märkige, kas selle kliendi taga peitub terve kohtvõrk. Kui kaugem ots marsruudib alavõrku, võivad sisemised aadressid, mida näete, olla algupärased hostid või tõlgitud.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

See paar vastab kahele küsimusele korraga: millist prefiksit tunneliliides teenindab ja milline seanss oli teid huvitava ajavahemiku jooksul aktiivne. Tehke seda enne mis tahes voo kirje tõlgendamist, sest valele seansile kinnitatud veenev korteež on hullem kui üldse mitte mingi tõend.

Lugege voo tabelit marsruutival lüüsil

Kui aadress ja ajavahemik on kindlaks tehtud, näitab jälgitud ühenduste kirjutuskaitstud loend, mida lüüs selle jaoks edastab. Filtreerige algse lähtekoha järgi, et te ei loeks tervet tabelit.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Iga kirje hoiab kahte korteeži, algset ja vastust, mis on ühe voo kaks suunda, mitte kaks rakendust. Lähteaadressi tõlke teel hoiab algne korteež tunneli aadressi, samas kui vastusepool näitab tõlgitud lüüsi aadressi, ja just see paneb väljundi esmapilgul vale paistma.

Käsitlege loendit elava olekuna, mitte ajaloona. Lühikesed vood võivad olla juba aegunud, jälitamata liiklus ei ilmu kunagi ja teine võrgu nimeruum näitab teist tabelit. conntracki viide dokumenteerib filtrid ja kahesuunalise väljundi.

Üks piiratud salvestus lugemise kinnitamiseks

Kui tunneliliides on nähtav seal, kuhu vaatate, otsustab üks piiratud salvestus, kas tuvastatud paketid on need, mis juhtmel on. Hoidke filter kitsas ja paketipiirang väike.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Võrrelge ajatempleid, protokolli ja porte voo kirjega ning päringuga, mille tegite testina. Pärast tõlget tehtud salvestus näitab ainult lüüsi avalikku aadressi, samas kui tunneli pool võib endiselt näidata kliendi oma, ja see erinevus on informatsioon, mitte vastuolu.

Kui liides ei näe midagi, kontrollige andmeteed enne, kui järeldate, et klient on jõude: kliendist kliendini liiklus ja mõned mahalaadimisteed ei läbi kunagi punkti, mida jälgite.

Puhverserveri logid ja nähtu piirid

Kui puhverserver on teel, on selle ülemvoolu soketid soketitabelis nähtavad, kuid need ei vasta üks-ühele VPN-i klientidele, eriti koondamise või multipleksimise korral. Kasutage puhverserveri konfigureeritud tehingulogi, et korreleerida kliendi identiteet, sihtkoht, ajatempel ja iga salvestatud päringu identifikaator.

Kontrollige juurutatud versiooni logimiskonfiguratsiooni, selle asemel et eeldada, et iga päring logitakse vaikimisi.

Lõpuks olge ulatuse suhtes täpne. Sihtkoha aadress ja port on metaandmed, mitte URL ja mitte lehe sisu, sest sisemine HTTPS-seanss hoiab oma kaitset sõltumata tunnelist. Raporteerige, mida jälgisite, millisest vaatluspunktist ja mis ajal.