OpenVPN клиентийн урсгалыг гарц дээр хаана ажиглах вэ

Холбогдсон клиент ямар чиглэлд хүрч байгааг мэдэхийг хүсч байгаа тул VPN сервер дээр бүрхүүл онгойлгож ss гэж бичнэ. Ямар ч хэрэгтэй зүйл харагдахгүй бөгөөд туннель эвдэрсэн гэсэн дүгнэлт бага зэрэг хэт амархан гарч ирдэг. Маршрутлаг OpenVPN гарц клиентийн пакетийг дамжуулдаг; энэ нь тэдний TCP холболтыг дуусгахгүй бөгөөд тэдэнд сокет эзэмшдэггүй. Нотолгоо өөр газар амьдардаг бөгөөд аль газар гэдэг нь урсгал туннелээс гарсны дараа хэрхэн боловсруулагдахаас хамаарна.

Та ямар зохион байгуулалтыг харж байгаагаа шийдээрэй

Хоёр нийтлэг хэлбэр огт өөр нотолгоо өгдөг. Маршрутлагч гарц капсулыг задлаж, дамжуулж, магадгүй эх үүсвэрийн NAT хийдэг тул клиентийн холболт локал сокетгүйгээр зах хүртэл үргэлжилдэг.

Прокси урсгалыг дуусгадаг: холболтыг хүлээн авч, дараа нь өөрийн дээд холболтыг онгойлгодог. Тэр зохион байгуулалтад нэг хүсэлтэд хоёр холболт байх бөгөөд тэдгээрийн хоорондын холбоо зөвхөн проксийн өөрийн бичлэгт оршдог. Эдгээрийн алийг нь байрлуулснаа мэдэх нь цөмийн урсгалын төлөвийг унших уу эсвэл програмын лог унших уу гэдгийг тодорхойлдог.

Ихэнх будлиан таамаглалаас үүдэлтэй. Хэрэгслийг сонгохын өмнө хэлбэрийг баталгаажуулаарай. Эхлээд серверийн тохиргооноос прокси заавар байгаа эсэхийг уншаарай, учир нь түүний оршихуй дараагийн алхам бүрийг өөрчилдөг. Үүнгүйгээр пакетийн зам нь маршрутлал бөгөөд цөмийн урсгалын төлөв нь таны нотолгоо юм.

Эхлээд хаягийг сесстэй холбоорой

Серверийн сессийн төлвөөс эхэлж, клиентийн одоогийн дотоод хаягийг тодорхойлоорой. Пүүлийн хаягууд дахин ашиглагддаг тул хаяг дангаараа түрээс бөгөөд хүн биш.

Цаг болон баталгаажсан хэн болохоо хамт тэмдэглэж, тэр клиентийн ард бүхэл локал сүлжээ нуугдаж байгаа эсэхийг ажиглаарай. Хэрэв алслагдсан тал дэд сүлжээг маршрутладаг бол таны харж буй дотоод хаягууд нь анхны хост эсвэл хөрвүүлсэн байж болно.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Тэр хос нэгэн зэрэг хоёр асуултад хариулдаг: туннелийн интерфейс ямар префикст үйлчилдэг, мөн таны сонирхож буй завсарт ямар сесс идэвхтэй байсан. Аливаа урсгалын бичлэгийг тайлбарлахаас өмнө үүнийг хийгээрэй, учир нь буруу сесст холбогдсон итгэл төрүүлэх tuple нь огт нотолгоогүйгээс дор.

Маршрутлагч гарц дээр урсгалын хүснэгтийг уншаарай

Хаяг болон завсар тогтоогдсоны дараа хянагдсан холболтын зөвхөн унших жагсаалт гарц түүний төлөө юу дамжуулж байгааг харуулна. Бүх хүснэгтийг уншихгүйн тулд анхны эх сурвалжаар шүүнэ үү.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Бичлэг бүр хоёр tuple агуулна, анхны ба хариу, эдгээр нь нэг урсгалын хоёр чиглэл бөгөөд хоёр програм биш. Эх үүсвэрийн NAT замд анхны tuple нь туннелийн хаягийг хадгалж, хариу тал нь хөрвүүлсэн гарцын хаягийг харуулдаг бөгөөд яг үүнээс болж гаралт анх харахад буруу харагддаг.

Жагсаалтыг түүх биш, амьд төлөв гэж үзээрэй. Богино урсгалууд аль хэдийн дууссан байж болно, хянагдаагүй урсгал хэзээ ч харагдахгүй, өөр сүлжээний нэрийн огторгуй өөр хүснэгт харуулна. conntrack-ийн лавлагаа шүүлтүүр болон хоёр чиглэлийн гаралтыг тайлбарладаг.

Уншилтыг баталгаажуулах нэг хязгаарлагдмал бичлэг

Хэрэв туннелийн интерфейс таны харж буй газарт харагдвал нэг хязгаарлагдмал бичлэг таны тодорхойлсон пакетууд утсан дээрх нь мөн эсэхийг шийднэ. Шүүлтүүрийг нарийн, пакетийн хязгаарыг бага байлгаарай.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Цагийн тэмдэг, протокол, портыг урсгалын бичлэг болон туршилт болгон хийсэн хүсэлттэй харьцуулаарай. NAT-ын дараа авсан бичлэг зөвхөн гарцын нийтийн хаягийг харуулдаг бол туннелийн тал клиентийн хаягийг хараахан харуулж болно, энэ ялгаа нь мэдээлэл бөгөөд зөрчил биш.

Хэрэв интерфейс юу ч харж чадахгүй бол клиент идэвхгүй гэж дүгнэхээс өмнө өгөгдлийн замыг шалгаарай: клиент хоорондын урсгал болон зарим ачаа буулгах зам таны ажиглаж буй цэгээр хэзээ ч өнгөрдөггүй.

Прокси лог болон харсан зүйлийн хязгаар

Прокси замд байх үед түүний дээд сокетууд сокетын хүснэгтэд харагддаг боловч VPN клиентүүдтэй нэг нэгээр тохирохгүй, ялангуяа нэгтгэх эсвэл мультиплекслах үед. Клиентийн хэн болох, очих газар, цагийн тэмдэг, түүнчлэн бичигдэх аливаа хүсэлтийн танигчийг харилцуулахын тулд проксийн тохируулсан гүйлгээний логийг ашиглаарай.

Хүсэлт бүр анхдагчаар логлогддог гэж таамаглахын оронд байрлуулсан хувилбарын лог тохиргоог шалгаарай.

Эцэст нь хамрах хүрээний талаар нарийвчлалтай байгаарай. Очих хаяг болон порт нь мета өгөгдөл бөгөөд URL ч биш, хуудасны агуулга ч биш, учир нь дотоод HTTPS сесс туннелээс үл хамааран өөрийн хамгаалалтыг хадгалдаг. Юу ажигласнаа, ямар ажиглалтын цэгээс, ямар цагт болсныг мэдээлээрэй.