Каде да го набљудувате сообраќајот на OpenVPN клиент на портата

Сакате да знаете кои одредишта ги достигнува поврзан клиент, па отворате школка на VPN серверот и пишувате ss. Ништо корисно не се појавува, а заклучокот дека тунелот е расипан доаѓа малку премногу лесно. Врутиран OpenVPN портал ги пренесува пакетите на клиентот; тој не ги завршува нивните TCP врски и не поседува сокети за нив. Доказот живее на друго место, а каде зависи од тоа како се обработува сообраќајот откако ќе го напушти тунелот.

Одлучете каков распоред гледате

Два вообичаени облика даваат сосема различни докази. Врутирачки портал декапсулира, пренесува и можеби прави изворен NAT, па врската на клиентот продолжува да постои од крај до крај без локален сокет.

Посредникот го завршува сообраќајот: ја прифаќа врската, потоа отвора своја сопствена нагорна врска. Во тој распоред има две врски за едно барање, а врската меѓу нив постои само во сопствените записи на посредникот. Знаењето кој од овие два го распоредивте одлучува дали треба да читате состојба на текови во јадрото или дневници на апликацијата.

Повеќето конфузија доаѓа од погодување. Потврдете го обликот пред да го изберете алатот. Прво прочитајте ја конфигурацијата на серверот за директива на посредник, бидејќи неговото присуство го менува секој следен чекор. Без неа патеката на пакетите е врутирање, а состојбата на тековите во јадрото е вашиот доказ.

Прво поврзете ја адресата со сесија

Започнете од состојбата на сесиите на серверот и идентификувајте ја тековната внатрешна адреса на клиентот. Адресите од базенот се рециклираат, па адресата сама по себе е закуп, не личност.

Запишете ги времето и потврдениот идентитет заедно и забележете дали цела локална мрежа се крие зад тој клиент. Ако далечниот крај врутира подмрежа, внатрешните адреси што ги гледате може да се оригинални домаќини или преведени.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Тој пар одговара на две прашања одеднаш: кој префикс го опслужува интерфејсот на тунелот и која сесија била активна во интервалот што ве интересира. Направете го ова пред да протолкувате кој било запис на тек, бидејќи уверлива торка прикачена на погрешна сесија е полоша од никаков доказ.

Читајте ја табелата на текови на врутирачки портал

Кога адресата и интервалот се утврдени, списокот само за читање на следените врски покажува што порталот пренесува за него. Филтрирајте по оригиналниот извор за да не ја читате целата табела.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Секој запис држи две торки, оригинална и одговор, кои се двата правци на еден тек, а не две апликации. На патека со изворен NAT оригиналната торка ја задржува адресата на тунелот, додека страната на одговорот ја покажува преведената адреса на порталот, и токму тоа прави излезот на прв поглед да изгледа погрешно.

Третирајте го списокот како жива состојба, а не како историја. Кратките текови можеби веќе истекле, неследениот сообраќај никогаш не се појавува, а друг мрежен именски простор покажува друга табела. Упатството за conntrack ги документира филтрите и двонасочниот излез.

Едно ограничено снимање за потврда на читањето

Ако интерфејсот на тунелот е видлив таму каде што гледате, едно ограничено снимање решава дали пакетите што ги идентификувавте се тие на жицата. Држете го филтерот тесен, а ограничувањето на пакети мало.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Споредете ги временските ознаки, протоколот и портите со записот на текот и со барањето што го направивте како тест. Снимање направено по NAT покажува само јавната адреса на порталот, додека страната на тунелот може сѐ уште да ја покажува адресата на клиентот, и таа разлика е информација, а не недоследност.

Ако интерфејсот не гледа ништо, проверете ја патеката на податоците пред да заклучите дека клиентот е неактивен: сообраќајот меѓу клиенти и некои патеки на растоварување никогаш не поминуваат низ точката што ја набљудувате.

Дневници на посредникот и границите на тоа што го видовте

Кога посредник стои на патеката, неговите нагорни сокети се видливи во табелата на сокети, но тие не се пресликуваат еден на еден на VPN клиентите, особено со групирање или мултиплексирање. Користете го конфигурираниот дневник на трансакции на посредникот за да ги поврзете идентитетот на клиентот, одредиштето, временската ознака и секој идентификатор на барање што го запишува.

Проверете ја конфигурацијата за евидентирање на распоредената верзија наместо да претпоставувате дека секое барање се евидентира стандардно.

На крајот, бидете прецизни за опсегот. Адресата на одредиштето и портата се метаподатоци, не URL и не содржина на страница, бидејќи внатрешната HTTPS сесија ја задржува сопствената заштита без оглед на тунелот. Известете што набљудувавте, од која точка на набљудување и во кое време.