OpenVPN кардарынын трафигин шлюзде кайдан көзөмөлдөө керек

Туташкан кардар кайсы даректерге жеткенин билгиңиз келет, ошондуктан VPN серверинде кабык ачып ss тересиз. Пайдалуу эч нерсе көрүнбөйт, жана туннель бузулду деген тыянак бир аз өтө эле оңой келет. Маршруттагы OpenVPN шлюзу кардардын пакеттерин өткөрөт; ал алардын TCP байланыштарын бүтпөйт жана алар үчүн сокетке ээ эмес. Далил башка жерде жашайт, жана кайсы жерде экени трафиктин туннелден чыккандан кийин кантип иштетилишине байланыштуу.

Кайсы жайгашууну карап жатканыңызды аныктаңыз

Эки кеңири тараган форма таптакыр башка далил берет. Маршруттоочу шлюз декапсуляция кылат, өткөрөт жана мүмкүн булактын NATын аткарат, ошондуктан кардардын байланышы жергиликтүү сокетсиз учтан учка чейин сакталат.

Прокси трафикти бүтөт: ал байланышты кабыл алат, анан өзүнүн жогорку байланышын ачат. Ошол жайгашууда бир суроо үчүн эки байланыш бар, жана алардын ортосундагы байланыш проксинин өз жазууларында гана болот. Ушул экөөнүн кайсынысын жайгаштырганыңызды билүү ядронун агым абалын окуу керекпи же колдонмо журналдарын окуу керекпи экенин аныктайт.

Абалжыгандыктын көбү божомолдон келет. Куралды тандоодон мурун форманы ырастаңыз. Адегенде сервер конфигурациясынан прокси көрсөтмөсүн издеп окуңуз, анткени анын болушу кийинки ар бир кадамды өзгөртөт. Ансыз пакеттердин жолу маршруттоо болуп саналат жана ядронун агым абалы сиздин далилиңиз.

Адегенде даректи сессияга байлаңыз

Сервердин сессия абалынан баштап, кардардын учурдагы ички дарегин аныктаңыз. Пул даректери кайра колдонулат, ошондуктан дарек өзү жалдоо, адам эмес.

Убакытты жана ырасталган инсандыкты чогуу жазып, ошол кардардын артында бүтүндөй жергиликтүү тармак жашырылып жатканын белгилеңиз. Эгер алыскы тарап ички тармакчаны маршруттаса, сиз көргөн ички даректер баштапкы хосттор же которулган болушу мүмкүн.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Бул жуп бир эле учурда эки суроого жооп берет: туннель интерфейси кайсы префикске кызмат кылат жана сизди кызыктырган аралыкта кайсы сессия активдүү болгон. Ар кандай агым жазуусун чечмелөөдөн мурун ушундай кылыңыз, анткени туура эмес сессияга байланган ишенимдүү tuple эч кандай далилден жаман.

Маршруттоочу шлюзде агымдар таблицасын окуңуз

Дарек жана аралык аныкталгандан кийин, көзөмөлдөнгөн байланыштардын окуу үчүн гана тизмеси шлюздун анын үчүн эмнени өткөрүп жатканын көрсөтөт. Бүт таблицаны окубоо үчүн баштапкы булак боюнча чыпкалаңыз.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Ар бир жазуу эки tuple кармайт, баштапкы жана жооп, булар бир агымдын эки багыты, эки колдонмо эмес. Булактын NAT жолунда баштапкы tuple туннелдин дарегин сактайт, ал эми жооп тарабы которулган шлюз дарегин көрсөтөт, жана дал ушул чыгарылышты биринчи көз карашта туура эмес көрүнүшүнө алып келет.

Тизмени тарых эмес, тирүү абал катары кабыл алыңыз. Кыска агымдар мурун эле бүтүп калган болушу мүмкүн, көзөмөлдөнбөгөн трафик эч качан көрүнбөйт, жана башка тармактык аттар мейкиндиги башка таблицаны көрсөтөт. conntrack боюнча маалымдама чыпкаларды жана эки багыттуу чыгарылышты сүрөттөйт.

Окууну ырастоо үчүн бир чектелген жазуу

Эгер туннель интерфейси сиз караган жерде көрүнсө, бир чектелген жазуу сиз аныктаган пакеттер зымдагыларбы же жокпу чечет. Чыпканы тар, пакет чегин кичине кармаңыз.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Убакыт белгилерин, протоколду жана портторду агым жазуусу менен жана сыноо катары жасаган сурооңуз менен салыштырыңыз. NATтан кийин алынган жазуу шлюздун гана коомдук дарегин көрсөтөт, ал эми туннел тарабы дагы эле кардардыкын көрсөтүшү мүмкүн, жана бул айырмачылык маалымат, каршылык эмес.

Эгер интерфейс эч нерсе көрбөсө, кардар бош деп тыянак чыгарганга чейин маалымат жолун текшериңиз: кардардан кардарга трафик жана кээ бир жүктү түшүрүү жолдору сиз көзөмөлдөп жаткан чекиттен эч качан өтпөйт.

Прокси журналдары жана көргөнүңүздүн чектери

Прокси жолдо турганда анын жогорку сокеттери сокет таблицасында көрүнөт, бирок алар VPN кардарларына бир-бирден туура келбейт, өзгөчө бириктирүү же мультиплекстөө учурунда. Кардардын инсандыгын, дарегин, убакыт белгисин жана ал жаза турган ар кандай суроо идентификаторун байланыштыруу үчүн проксинин конфигурацияланган транзакция журналын колдонуңуз.

Ар бир суроо демейки боюнча журналдалат деп божомолдоонун ордуна жайгаштырылган версиянын журналдоо конфигурациясын текшериңиз.

Акырында, көлөм жөнүндө так болуңуз. Дарек жана порт метаберилиштер, URL да эмес, барактын мазмуну да эмес, анткени ички HTTPS сессиясы туннелге карабастан өз коргоосун сактайт. Эмнени байкаганыңызды, кайсы байкоо чекитинен жана кайсы убакта экенин билдириңиз.