Kur vērot OpenVPN klienta datu plūsmu pie vārtejas

Jūs vēlaties zināt, kādus galamērķus sasniedz pievienotais klients, tāpēc VPN serverī atverat čaulu un ierakstāt ss. Nekas noderīgs neparādās, un secinājums, ka tunelis ir salauzts, nāk mazliet pārāk viegli. Maršrutējoša OpenVPN vārteja pārsūta klienta paketes; tā neizbeidz to TCP savienojumus un nepārvalda tām ligzdas. Pierādījumi dzīvo citur, un tas, kur tieši, ir atkarīgs no tā, kā datu plūsma tiek apstrādāta pēc tuneļa atstāšanas.

Izlemiet, kādu izkārtojumu jūs skatāt

Divi izplatīti veidi dod pilnīgi atšķirīgus pierādījumus. Maršrutējoša vārteja atkapsulē, pārsūta un varbūt veic avota NAT, tāpēc klienta savienojums turpinās pastāvēt no gala līdz galam bez vietējas ligzdas.

Starpniekserveris izbeidz datu plūsmu: tas pieņem savienojumu un pēc tam atver savu augšupējo savienojumu. Šajā izkārtojumā vienam pieprasījumam ir divi savienojumi, un saikne starp tiem pastāv tikai paša starpniekservera ierakstos. Zināšana, kuru no šiem diviem jūs ieviesāt, nosaka, vai jums jālasa kodola plūsmas stāvoklis vai lietojumprogrammas žurnāli.

Lielākā daļa apjukuma nāk no minējumiem. Apstipriniet formu pirms rīka izvēles. Vispirms izlasiet servera konfigurācijā starpniekservera direktīvu, jo tās klātbūtne maina katru nākamo soli. Bez tās pakešu ceļš ir maršrutēšana, un kodola plūsmas stāvoklis ir jūsu pierādījums.

Vispirms saistiet adresi ar sesiju

Sāciet ar servera sesiju stāvokli un nosakiet klienta pašreizējo iekšējo adresi. Kopas adreses tiek atkārtoti izmantotas, tāpēc adrese pati par sevi ir noma, nevis persona.

Pierakstiet laiku un apstiprināto identitāti kopā un ņemiet vērā, vai aiz šī klienta slēpjas visa vietējā tīkls. Ja tālais gals maršrutē apakštīklu, redzamās iekšējās adreses var būt sākotnējie resursdatori vai tulkotās.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Šis pāris atbild uz diviem jautājumiem vienlaikus: kuru prefiksu apkalpo tuneļa saskarne un kura sesija bija aktīva jums svarīgajā intervālā. Dariet to pirms jebkura plūsmas ieraksta interpretācijas, jo pārliecinošs kortežs, kas piesaistīts nepareizajai sesijai, ir sliktāk nekā nekādu pierādījumu.

Lasiet plūsmu tabulu maršrutējošā vārtejā

Kad adrese un intervāls ir noteikti, tikai lasāms izsekoto savienojumu saraksts parāda, ko vārteja tam pārsūta. Filtrējiet pēc sākotnējā avota, lai nelasītu visu tabulu.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Katrs ieraksts satur divus kortežus, sākotnējo un atbildes, kas ir divi vienas plūsmas virzieni, nevis divas lietojumprogrammas. Avota NAT ceļā sākotnējais kortežs saglabā tuneļa adresi, kamēr atbildes puse rāda tulkoto vārtejas adresi, un tieši tas liek izvadei no pirmā acu uzmetiena izskatīties nepareizai.

Uztveriet sarakstu kā dzīvu stāvokli, nevis vēsturi. Īsas plūsmas var būt jau beigušās, neizsekota datu plūsma nekad neparādās, un cita tīkla nosaukumu telpa rāda citu tabulu. conntrack uzziņa dokumentē filtrus un divvirzienu izvadi.

Viens ierobežots ieraksts lasījuma apstiprināšanai

Ja tuneļa saskarne ir redzama tur, kur jūs skatāties, viens ierobežots ieraksts izšķir, vai jūsu identificētās paketes ir tās, kas atrodas uz vada. Turiet filtru šauru un pakešu ierobežojumu mazu.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Salīdziniet laika zīmogus, protokolu un portus ar plūsmas ierakstu un ar pieprasījumu, ko veicāt kā testu. Pēc NAT veikts ieraksts rāda tikai vārtejas publisko adresi, kamēr tuneļa puse var vēl rādīt klienta adresi, un šī atšķirība ir informācija, nevis nekonsekvence.

Ja saskarne neko neredz, pārbaudiet datu ceļu pirms secinājuma, ka klients ir dīkstāvē: datu plūsma starp klientiem un daži izkraušanas ceļi nekad nešķērso jūsu novēroto punktu.

Starpniekservera žurnāli un redzētā robežas

Kad ceļā ir starpniekserveris, tā augšupējās ligzdas ir redzamas ligzdu tabulā, bet tās nesakrīt viens pret vienu ar VPN klientiem, jo īpaši ar apvienošanu vai multipleksēšanu. Izmantojiet starpniekservera konfigurēto darījumu žurnālu, lai korelētu klienta identitāti, galamērķi, laika zīmogu un jebkuru reģistrēto pieprasījuma identifikatoru.

Pārbaudiet izvietotās versijas reģistrēšanas konfigurāciju, nevis pieņemiet, ka katrs pieprasījums tiek reģistrēts pēc noklusējuma.

Visbeidzot, esiet precīzs attiecībā uz tvērumu. Galamērķa adrese un ports ir metadati, nevis URL un nevis lapas saturs, jo iekšējā HTTPS sesija saglabā savu aizsardzību neatkarīgi no tuneļa. Ziņojiet, ko novērojāt, no kura novērojumu punkta un kurā laikā.