Cá háit le trácht cliaint OpenVPN a breathnú ar an geata

Ba mhaith leat a fháil amach cén cinn scríbe a shroicheann cliant nasctha, mar sin osclaíonn tú blaosc ar an bhfreastalaí VPN agus clóscríobhann tú ss. Ní thagann aon rud úsáideach chun solais, agus tagann an chonclúid go bhfuil an tollán briste beagáinín ró-éasca. Seolann geata OpenVPN ródaithe pacáistí an chliaint ar aghaidh; ní chríochnaíonn sé a nasc TCP agus níl soicéid aige dóibh. Maireann an fhianaise in áit eile, agus braitheann an áit sin ar an gcaoi a láimhseáiltear an trácht nuair a fhágann sé an tollán.

Cinntigh cén socrú atá á fheiceáil agat

Táirgeann dhá chruth choitianta fianaise atá go hiomlán difriúil. Déanann geata ródaithe díchapsú, seoladh ar aghaidh agus b'fhéidir NAT foinse, mar sin leanann nasc an chliaint de bheith ann ó cheann go ceann gan soicéad áitiúil.

Críochnaíonn seachfhreastalaí an trácht: glacann sé leis an nasc agus ansin osclaíonn sé a nasc uas-sreafa féin. Sa socrú sin tá dhá nasc ann d'iarraidh amháin, agus níl an nasc eatarthu ann ach i dtaifid féin an tseachfhreastalaí. Má tá a fhios agat cé acu den dá rud a d'úsáid tú, cinneann sé ar cheart duit staid sreafa na heithne nó logaí na feidhmchláir a léamh.

Tagann an chuid is mó den mhearbhall ó bhuille faoi thuairim. Deimhnigh an cruth sula roghnaíonn tú an uirlis. Léigh cumraíocht an fhreastalaí le haghaidh treoir seachfhreastalaí ar dtús, mar athraíonn a láithreacht gach céim ina dhiaidh sin. Gan ceann, is ródú é cosán na bpacáistí agus is í staid sreafa na heithne d'fhianaise.

Ceangail an seoladh le seisiún ar dtús

Tosaigh ó staid seisiún an fhreastalaí agus aithin seoladh inmheánach reatha an chliaint. Athchúrsáiltear seoltaí an linn, mar sin is léas seoladh ann féin, ní duine.

Taifead an t-am agus an fhéiniúlacht fhíordheimhnithe le chéile, agus tabhair faoi deara an bhfuil LAN iomlán i bhfolach taobh thiar den chliant sin. Má ródaíonn an taobh cianda foirlíon, d'fhéadfadh na seoltaí inmheánacha a fheiceann tú a bheith ina n-óstach bunaidh nó ina seoltaí aistrithe.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Freagraíonn an péire sin dhá cheist ag an am céanna: cén réimír a fhreastalaíonn comhéadan an tolláin, agus cén seisiún a bhí gníomhach le linn na tréimhse a bhfuil suim agat inti. Déan é seo sula ndéanann tú aon iontráil sreafa a léirmhíniú, mar tá teaglaim chreidiúnach atá ceangailte leis an seisiún mícheart níos measa ná aon fhianaise ar chor ar bith.

Léigh an tábla sreafa ar gheata ródaithe

Nuair a bhíonn an seoladh agus an tréimhse bunaithe, taispeánann liosta inléite amháin de na naisc rianaithe cad a sheolann an geata ar aghaidh di. Scag ar an mbunfhoinse ionas nach léann tú an tábla ar fad.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Coinníonn gach iontráil dhá theaglaim, bunaidh agus freagra, arb iad an dá threo de shreabhadh amháin iad seachas dhá fheidhmchlár. Ar chosán NAT foinse coinníonn an teaglaim bhunaidh seoladh an tolláin agus taispeánann taobh an fhreagra seoladh aistrithe an gheata, agus sin go díreach a chuireann ar an aschur breathnú mícheart ar an gcéad amharc.

Caith leis an liosta mar staid bheo agus ní mar stair. B'fhéidir go bhfuil sreafaí gearra imithe in éag cheana, ní thagann trácht neamhrianaithe chun solais riamh, agus taispeánann spás ainmneacha líonra eile tábla eile. Déanann tagairt conntrack doiciméadú ar na scagairí agus ar an aschur dhá threo.

Gabháil theoranta amháin chun an léamh a dheimhniú

Má tá comhéadan an tolláin le feiceáil san áit a bhfuil tú ag breathnú, socraíonn gabháil theoranta amháin an iad na pacáistí a d'aithin tú na cinn atá ar an sreang. Coinnigh an scagaire cúng agus an teorainn pacáistí beag.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Cuir stampaí ama, prótacal agus portanna i gcomparáid leis an iontráil sreafa agus leis an iarraidh a rinne tú mar thástáil. Ní thaispeánann gabháil a tógann tar éis NAT ach seoladh poiblí an gheata, agus d'fhéadfadh taobh an tolláin seoladh an chliaint a thaispeáint fós, agus is faisnéis é an difríocht sin seachas neamhréir.

Mura bhfeiceann an comhéadan aon rud, seiceáil cosán na sonraí sula gconclúidíonn tú go bhfuil an cliant díomhaoin: ní théann trácht cliant-go-cliant agus roinnt cosán íosluchtaithe tríd an bpointe a bhfuil tú ag faire air riamh.

Logaí seachfhreastalaí, agus teorainneacha an méid a chonaic tú

Nuair a bhíonn seachfhreastalaí sa chosán, tá a shocéid uas-sreafa le feiceáil sa tábla soicéad ach ní dhéanann siad mapáil aon-le-haon ar chliaint VPN, go háirithe le linntiú nó ilphléacsú. Úsáid loga idirbheart cumraithe an tseachfhreastalaí chun féiniúlacht an chliaint, an ceann scríbe, an stampa ama agus aon aitheantóir iarrata a thaifeadann sé a chomhghaolú.

Seiceáil cumraíocht logála na leagan imlonnaithe seachas glacadh leis go ndéantar gach iarraidh a logáil de réir réamhshocraithe.

Ar deireadh, bí beacht faoin raon feidhme. Is meiteashonraí iad seoladh cinn scríbe agus port, ní URL agus ní ábhar leathanaigh, mar choinníonn an seisiún HTTPS inmheánach a chosaint féin beag beann ar an tollán. Tuairiscigh an méid a bhreathnaigh tú, ó cén pointe breathnóireachta, agus ag cén t-am.