Wou een den Trafic vun engem OpenVPN-Client um Gateway observéiert

Dir wëllt wësse wéi eng Destinatioune en ugeschlossene Client erreecht, also maacht Dir eng Shell um VPN-Server op a tippt ss. Et erschéngt näischt Nëtzleches, an d'Schlussfolgerung datt den Tunnel futti ass kënnt e bësse ze liicht. En geroutete OpenVPN-Gateway leet d'Pakete vum Client weider; hien mécht hir TCP-Verbindungen net fäerdeg an huet keng Sockets dofir. De Beweis wunnt soss anzwousch, a wou hänkt dovun of wéi den Trafic behandelt gëtt nodeems en den Tunnel verlooss huet.

Entscheet wéi eng Opstellung Dir kuckt

Zwou gewéinlech Formen liwwere komplett ënnerschiddlech Beweiser. En routende Gateway dekapsuléiert, leet weider a mécht eventuell Quell-NAT, sou datt d'Verbindung vum Client vum Enn bis zum Enn weider existéiert ouni lokale Socket.

E Proxy mécht den Trafic fäerdeg: hien hëlt d'Verbindung un an mécht dann seng eegen Verbindung no uewen op. An där Opstellung gëtt et zwou Verbindungen fir eng Ufro, an den Zesummenhang tëscht hinnen existéiert nëmmen an den eegene Opzeechnunge vum Proxy. Ze wësse wéi eng vun deenen zwee Dir agesat hutt entscheet, ob Dir de Flux-Zoustand vum Kernel oder d'Logge vun der Applikatioun liese sollt.

De gréissten Deel vun der Duercherneen kënnt vum Rotsen. Bestätegt d'Form ier Dir den Instrument wielt. Liest als éischt d'Serverkonfiguratioun no enger Proxy-Direktiv, well hir Präsenz all weidere Schrëtt ännert. Ouni eng ass de Paketswee Routing an de Flux-Zoustand vum Kernel ass Äre Beweis.

Verbindt d'Adress als éischt mat enger Sessioun

Fänkt beim Sessiounszoustand vum Server un an identifizéiert déi aktuell bannenzeg Adress vum Client. Pool-Adresse ginn nei benotzt, dofir ass eng Adress eleng eng Locatioun, keng Persoun.

Schreift d'Zäit an d'authentifizéiert Identitéit zesummen op a bemerkt ob e ganzt LAN hannert deem Client verstoppt ass. Wann de wäiten Enn en Ënnersichnet routet, kënnen déi bannenzeg Adressen déi Dir gesitt originär Hosts oder iwwersate sinn.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Dee Paar beäntwert zwou Froen zur selwechter Zäit: wéi ee Prefix d'Tunnelschnittstell bedéngt, a wéi eng Sessioun an dem Intervall aktiv war deen Iech intresséiert. Maacht dat ier Dir eng Fluxentrée interpretéiert, well en iwwerzeegend Tupel dat un déi falsch Sessioun gehänkt ass schlechter ass wéi guer kee Beweis.

Liest d'Fluxtabelle op engem routende Gateway

Wann Adress an Intervall feststinn, weist eng Lëscht nëmme fir ze liesen vun den iwwerwaachten Verbindungen wat de Gateway dofir weiderleet. Filtert op déi originär Quell sou datt Dir net déi ganz Tabell liest.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

All Entrée hält zwou Tupelen, originär an Äntwert, déi déi zwou Richtunge vun engem Flux sinn an net zwou Applikatiounen. Op engem Quell-NAT-Wee behält dat originärt Tupel d'Tunneladress, wärend d'Äntwertsäit déi iwwersat Gatewayadress weist, an dat ass genee wat den Output op den éischte Bléck falsch ausgesäit.

Behandelt d'Lëscht als liewege Zoustand an net als Historie. Kuerz Flëss kënnen schonn ofgelaf sinn, net iwwerwaachten Trafic erschéngt ni, an en aneren Netzwierk-Nummensraum weist eng aner Tabell. D'conntrack-Referenz dokumentéiert d'Filteren an den zweedirektionalen Output.

Eng begrenzt Opnam fir d'Liesung ze bestätegen

Wann d'Tunnelschnittstell do sichtbar ass wou Dir kuckt, entscheet eng eenzeg begrenzt Opnam ob d'Paketen déi Dir identifizéiert hutt déi um Kabel sinn. Halt de Filter enk an d'Paketlimit kleng.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Vergläicht Zäitstempel, Protokoll a Porte mat der Fluxentrée an mat der Ufro déi Dir als Test gemaach hutt. Eng Opnam déi no NAT geholl gëtt weist nëmmen d'ëffentlech Adress vum Gateway, wärend d'Tunnelsäit nach ëmmer déi vum Client ka weisen, an deen Ënnerscheed ass Informatioun an net en Widdersproch.

Wann d'Schnittstell näischt gesäit, kontrolléiert de Datenwee ier Dir schléisst de Client wier onaktiv: Trafic tëscht Cliente an e puer Offload-Weeër passéieren ni de Punkt deen Dir observéiert.

Proxy-Loggen an d'Grenze vun deem wat Dir gesinn hutt

Wann e Proxy am Wee sëtzt, sinn seng Upstream-Sockets an der Socket-Tabell sichtbar awer si mappen net eent-zu-eent op VPN-Cliente, besonnesch mat Pooling oder Multiplexing. Benotzt de konfiguréierte Transaktiounslog vum Proxy fir Clientidentitéit, Destinatioun, Zäitstempel an all Ufroidentifikator deen en opzeechent ze korreléieren.

Kontrolléiert d'Loggingkonfiguratioun vun der agesater Versioun amplaz unzehuelen all Ufro gëtt standardméisseg geloggt.

Schlussendlech, sidd präzis wat den Ëmfang ugeet. Eng Destinatiounsadress an e Port si Metadaten, net eng URL an net Säiteninhalt, well d'bannenzeg HTTPS-Sessioun hire eigenen Schutz behält onofhängeg vum Tunnel. Rapportert wat Dir observéiert hutt, vu wéi engem Observatiounspunkt, a wéini.