It-traffiku tassew għaddej mill-VPN? Kif tivverifikah

Żewġ fallimenti jidhru l-istess mill-ikona fit-tray: traffiku li jidħol fil-mina u traffiku li jdawwarha bil-kwiet. Il-klijent juri Connected f'kull każ, għax Connected ifisser biss li l-interface tal-mina teżisti u li l-klijent installa r-rotot li ried. Jekk pakkett wieħed ta' applikazzjoni waħda użax dawk ir-rotot hija mistoqsija oħra, li tiġi mwieġba f'post ieħor fil-munzell. Erba' kejl jissolvew il-biċċa l-kbira tiegħu — it-tfittxija tar-rotta, l-ewwel qabża, qabda fuq l-adapter fiżiku u osservazzjoni minn barra — u l-veduta tas-sessjoni fuq is-server tkopri l-bqija.

Ibda bir-rotta li se tieħu l-pakkett

It-tabella tar-routing hija d-deċiżjoni, mela staqsiha dwar destinazzjoni waħda minflok taqra kollha u taħseb. Fuq Linux, ip route get isemmi l-interface u l-indirizz tas-sors li għażel il-qalba:

ip route get 203.0.113.10
ip route get 10.20.5.7

Fuq Windows, Find-NetRoute -RemoteIPAddress 203.0.113.10 huwa iktar utli minn route print -4 għall-istess raġuni: jirrapporta r-rotta li rebħet, mhux kull rotta li teżisti. Xorta waħda aqra t-tabella darba għall-ringiela 0.0.0.0 tagħha. Par /1 hemm ifisser li klijent ta' mina sħiħa kiteb mill-ġdid ir-rotta default: l-għażla redirect-gateway def1 ta' OpenVPN tinstalla 0.0.0.0/1 u 128.0.0.0/1 mill-mina, li tegħleb lill-0.0.0.0/0 eżistenti bl-itwal qbil ta' prefiss mingħajr ma tħassar ir-rotta default fiżika. Għalhekk żewġ rotot default jistgħu jikkoeżistu waqt li kollox xorta jidħol fil-mina.

Żewġ dettalji jagħmlu t-tabella giddieba. L-ewwel, ħares lejn il-prefiss li qabel u mhux lejn l-għadd ta' rotot default, għax metrika tal-interface jew par /1 jiddeċiedu r-rebbieħ. It-tieni, konnessjoni li diġà teżisti żżomm il-passaġġ li bih ġiet stabbilita; wara li tinżel il-mina, sessjoni miftuħa tista' tibqa' tuża r-rotta l-qadima sakemm tiġi restitwita, u għalhekk jerġa' jidher li l-konnessjoni mill-ġdid issewwi problema tar-routing. Klijent li qed jaħdem — ps ax | grep openvpn — jipprova biss li l-proċess beda.

Segwi isem intern wieħed u isem pubbliku wieħed

It-tfittxija tar-rotta turi l-intenzjoni; il-passaġġ juri l-kunsinna. Waqt li tkun konness, segwi isem li jrid ikun intern u isem li m'għandux ikun, u qabbel l-ewwel qabża:

traceroute intranet.corp.example
traceroute 1.1.1.1

L-istess l-ewwel qabża għaż-żewġ tifsiriet: l-isem intern qatt ma daħal fil-mina u l-ħsara tinsab fuqu, normalment isem li jiġi riżolt għal indirizz pubbliku jew rotta li qatt ma ġiet installata. Jekk it-traffiku intern joħroġ minn 10.8.0.1 filwaqt li dak pubbliku joħroġ minn 192.168.1.1, il-mina maqsuma qed tagħmel eżatt dak li għalih ġiet konfigurata. Traċċa li tilħaq il-gateway tal-VPN u mbagħad tirritorna biss skadenzi hija normalment problema ta' passaġġ tar-ritorn jew firewall tas-server, mhux rotta ta' trażmissjoni nieqsa.

ICMP iffiltrat jagħmel din il-verifika giddieba: stilel fuq iż-żewġ traċċi jidhru bħal mina mejta u normalment huwa firewall. Ipprova port TCP fejn tista' — traceroute -T -p 443 fuq Linux — u ftakar li t-traċċa ma tgħidx liema riżolutur wieġeb: isem jista' jiġi riżolt lokalment u xorta jkun jista' jintlaħaq mill-mina.

Aqbad fuq l-adapter fiżiku, mhux fuq il-mina

Ir-rabta fiżika hija l-uniku post li juri x'qed jara n-netwerk tassew. Bil-mina miftuħa, sessjoni lejn l-uffiċċju għandha tidher bħala tagħbija kriptata indirizzata lis-server VPN, mhux bħala konnessjoni lejn 10.20.5.7:

sudo tcpdump -ni eth0 udp port 53
sudo tcpdump -ni eth0 host 10.20.0.5

L-ewwel filtru jaqbad ir-riżoluzzjoni tal-ismijiet li toħroġ lokalment, li hija l-iktar tixrid komuni u l-iktar sieket — il-paġna xorta tgħabbi, ir-riżolutur ra biss il-mistoqsija. It-tieni jaqbad traffiku sempliċi lejn indirizz intern li għandu jeżisti biss ġewwa l-mina. Fuq Windows, pktmon jagħmel l-istess xogħol mingħajr driver: pktmon filter add -p 53, imbagħad pktmon start --capture --pkt-size 128, imbagħad pktmon stop u pktmon format pktmon.etl -o capture.txt. Dawn il-bnadar ivarjaw ftit bejn il-bini ta' Windows, għalhekk iċċekkja pktmon filter add /? qabel ma tafda s-sintassi.

Aqbad l-interface fiżika biex issib it-tixrid; qabda fuq il-mina tinkludi l-pakketti li diġà temmen li hemm hemm, u fuq server tinkludi pakketti esterni li ma jinqrawx li s-sors tagħhom huwa l-gateway. Il-kontaturi tal-bytes fuq kwalunkwe interface jiddeskrivu pakketti, mhux programmi; biex jingħata traffiku lil proċess jinħtieġ monitor li jgħaqqad is-sockets mal-proċessi.

Staqsi servizz estern, imbagħad staqsi mill-ġdid għal kull applikazzjoni

L-unika verifika li tipprova l-ħruġ hija tweġiba minn barra: servizz li jirritorna l-indirizz tas-sors li ra. Mexxih minn qoxra, fejn tista' tagħżel l-interface, u mexxih darbtejn:

sudo curl --interface tun0 https://example.net/ip
sudo curl --interface eth0 https://example.net/ip

Tweġibiet differenti jagħtuk prova taż-żewġ passaġġi u mod kif tittestja applikazzjoni partikolari: orbtiha, jew mexxiha fi spazju tal-isem tan-netwerk b'rotta waħda, u ara liema indirizz jirreġistra t-tarf imbiegħed. Tweġibiet identiċi huma l-falliment interessanti: jew l-irbit ma ħademx, jew xi ħaġa bejn il-host u t-tarf imbiegħed terġa' tikteb l-indirizz tas-sors qabel ma jasal. Fuq Windows, curl --interface irid l-indirizz tal-adapter u mhux ismu.

Browser li jirrapporta l-indirizz tal-VPN jipprova lill-browser. Klijent tal-posta, maniġer tal-pakketti, aġent ta' backup jew it-tieni profil tal-browser jistgħu kull wieħed jieħu passaġġ differenti, speċjalment meta settinq tal-proxy jew rotta tal-mina maqsuma tkopri wieħed minnhom. Bidla fl-indirizz mhijiex prova ta' tixrid waħedha: il-bilanċatur jista' jwieġeb b'mod differenti skont il-ħruġ li ra, għalhekk qabbel l-indirizz tas-sors irreġistrat, mhux il-paġna.

Uża l-veduta tas-server biex tikkonferma l-pari

Is-server iwieġeb mistoqsija oħra: jekk pari huwiex konness, kemm ġarr u jekk is-sessjoni bdietx mill-ġdid. Pari li huwa attiv fuq is-server filwaqt li l-kontaturi tal-klijent kważi ma jiċċaqilqux ifisser li t-traffiku tal-applikazzjoni mhux dieħel fil-mina, x'ikun qal it-tabella tal-klijent. Pari li jċaqlaq ħafna data għal utent li jgħid li xejn mhux jaħdem hija investigazzjoni oħra.

Hawnhekk hemm żewġ nases. Mina masked tagħmel kull fluss jidher bħallikieku ġej mill-gateway, għalhekk il-logs u l-kontabilità għal kull klijent jaqgħu fuq indirizz wieħed. U l-klijent jiġi trattat bħala host lokali, għalhekk il-mistoqsija dwar jekk xi ħadd huwiex qed jikkopja fajls mill-VPN tiġi mwieġba mit-traffiku tal-kondiviżjoni tal-fajls fuq is-server jew mill-awditjar tal-host fuq is-server — li tara l-mina tagħtik punti tat-tarf u volum, mhux ismijiet tal-fajls.

Iddistingwi deċiżjoni tad-disinn minn tixrid

Mhux kollox barra mill-mina huwa tixrid. It-traffiku link-local u tax-xandir jibqa' lokali skont id-disinn, printer misjub permezz ta' multicast jibqa' jħabbar fuq il-LAN, u DHCP irid joħroġ lokalment. Applikazzjoni marbuta ma' interface partikolari taqbeż it-tabella tar-routing apposta, u dan jinbidel biss minn regola tal-firewall, spazju tal-isem jew rotta tal-politika.

IPv6 jistħoqqlu linja tiegħu fil-lista tal-verifika. Mina li ġġorr biss IPv4 tħalli host b'żewġ munzelli b'tieni passaġġ użabbli, u destinazzjoni b'żewġ munzelli tippreferih — inkluż DNS, jekk ir-riżolutur jintlaħaq permezz ta' IPv6. Itfi IPv6 fuq l-adapter jew ikkonferma li l-mina ġġorrha qabel ma tqis riżultat IPv4 bħala komplet.

Meta l-verifiki ma jaqblux, in-nuqqas ta' qbil normalment isemmi l-ħsara:

Ordni li jaħdem: issalva t-tabella tar-routing qabel u wara l-konnessjoni, segwi isem intern wieħed u ieħor pubbliku, aqbad DNS fuq l-adapter fiżiku, irrifletti l-indirizz tal-ħruġ mill-qoxra għall-applikazzjoni partikolari, imbagħad aqra s-server għall-volum. Jekk l-ewwel erbgħa jaqblu, il-mina ġġorr dak li taħseb u l-problema li tibqa' tinsab fuqha. Jekk tnejn minnhom ma jaqblux, il-par li ma jaqbilx huwa l-ħsara, mhux l-ikona.