Non behatu OpenVPN bezero baten trafikoa atebidean

Konektatutako bezero bat zein helmugatara iristen den jakin nahi duzu, beraz shell bat irekitzen duzu VPN zerbitzarian eta ss idazten duzu. Ez da ezer erabilgarririk agertzen, eta tunela hautsi egin dela dioen ondorioa errazegi iristen da. Bideratutako OpenVPN atebide bate bezeroaren paketeak birbidaltzen ditu; ez ditu haien TCP konexioak amaitzen eta ez du haiendako socketik. Froga beste leku batean bizi da, eta leku hori tunelatik irten ondoren trafikoa nola tratatzen den araberakoa da.

Erabaki zein antolamendu ari zaren begiratzen

Bi forma ohikoek erabat desberdinak diren frogak ematen dituzte. Bideratze atebide bate deskapsulatu, birbidali eta agian iturburu NAT egiten du, beraz bezeroaren konexioak muturretik muturrera jarraitzen du socket lokalik gabe.

Proxy batek trafikoa amaitzen du: konexioa onartzen du eta gero bere goiko konexioa irekitzen du. Antolamendu horretan bi konexio daude eskaera bakar baterako, eta haien arteko lotura proxyaren beraren erregistroetan soilik dago. Bi horietako zein zabaldu duzun jakiteak erabakiko du kernelaren fluxu egoera edo aplikazioaren erregistroak irakurri behar dituzun.

Nahastearen zatirik handiena asmatzetik dator. Egiaztatu forma tresna aukeratu aurretik. Irakurri lehenengo zerbitzariaren konfigurazioan proxy zuzentarau bat dagoen, haren presentziak ondorengo urrats guztiak aldatzen baititu. Hura gabe, paketeen bidea bideratzea da eta kernelaren fluxu egoera da zure froga.

Lotu helbidea saio batera lehenik

Hasi zerbitzariaren saio egoeratik eta identifikatu bezeroaren oraingo barne helbidea. Multzoko helbideak birziklatu egiten dira, beraz helbide bat bere horretan alokairua da, ez pertsona.

Idatzi ordua eta egiaztatutako identitatea elkarrekin, eta ohartu bezero horren atzean LAN oso bat ezkutatzen ote den. Urruneko muturrak azpisare bat bideratzen badu, ikusten dituzun barne helbideak jatorrizko ostalariak edo itzuliak izan daitezke.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Bikote horrek bi galderari erantzuten die batera: tunelaren interfazeak zein aurrizki zerbitzatzen duen eta zure intereseko tartean zein saio egon zen aktibo. Egin hori fluxu sarrera oro interpretatu aurretik, saio oker bati lotutako tupla sinesgarri bat inolako frogarik ez izatea baino okerragoa baita.

Irakurri fluxu taula bideratze atebide batean

Helbidea eta tartea finkatuta, jarraitutako konexioen irakurketa soilik duen zerrenda batek erakusten du atebideak haren alde birbidaltzen duena. Iragazi jatorrizko iturburuaren arabera, taula osoa ez irakurtzeko.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Sarrera bakoitzak bi tupla ditu, jatorrizkoa eta erantzuna, fluxu bakar baten bi norabideak, ez bi aplikazio. Iturburu NAT bide batean jatorrizko tuplak tunelaren helbidea gordetzen du, eta erantzun aldeak itzulitako atebidearen helbidea erakusten du, eta horixe da irteera lehen begiratuan okerragoa ematen duena.

Hartu zerrenda bizirik dagoen egoera gisa, ez historiaren gisa. Fluxu laburrak agian iraungi dira, jarraitu gabeko trafikoa ez da inoiz agertzen, eta sare izen-espazio desberdin batek beste taula bat erakusten du. conntrack erreferentzia dokumentatzen ditu iragazkiak eta bi norabideko irteera.

Harrapaketa mugatu bat irakurketa egiaztatzeko

Tunelaren interfazea begiratzen duzun tokian ikusgai badago, harrapaketa mugatu bakar bat erabakiko du identifikatu dituzun paketeak kablean daudenak diren. Eutsi iragazkia estu eta pakete muga txiki.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Konparatu denbora zigiluak, protokoloa eta portuak fluxu sarrerarekin eta proba gisa egin duzun eskaerarekin. NAT ondoren hartutako harrapaketa batek atebidearen helbide publikoa soilik erakusten du, eta tunel aldeak agian bezeroarena erakusten du oraindik, eta desberdintasun hori informazioa da, ez desadostasuna.

Interfazeak ezer ikusten ez badu, egiaztatu datu bidea bezeroa geldirik dagoela ondorioztatu aurretik: bezero-bezero trafikoak eta deskarga bide batzuek ez dute inoiz zeuk behatzen duzun puntua zeharkatzen.

Proxy erregistroak eta ikusi duzunaren mugak

Proxy bat bidean dagoenean, haren goiko socketak socket tau lan agertzen dira baina ez dira bat-batean VPN bezeroekin parekatzen, batez ere multzokatzearekin edo multiplexatzearekin. Erabili proxyaren konfiguratutako transakzio erregistroa bezeroaren identitatea, helmuga, denbora zigilua eta erregistratzen duen eskaera identifikatzaile oro korrelazionatzeko.

Egiaztatu zabaldu den bertsioaren erregistratze konfigurazioa, eskaera oro berez erregistratzen den suposatu beharrean.

Azkenik, izan zehatz irismenari dagokionez. Helmuga helbidea eta portua metadatuak dira, ez URL bat eta ez orri edukia, barneko HTTPS saioak bere babesa gordetzen baitu tunela edozein dela ere. Eman ikusi duzuna, zein behaketa puntutatik eta zer ordutan.