Fejn tosserva t-traffiku ta' klijent OpenVPN fuq il-gateway

Trid tkun taf liema destinazzjonijiet jilħaq klijent konness, allura tiftaħ shell fuq is-server tal-VPN u tittajpja ss. Ma jidher xejn utli, u l-konklużjoni li l-mina hija miksura tiġi ftit wisq faċilment. Gateway tal-OpenVPN mogħti bir-routing jgħaddi l-pakketti tal-klijent; ma jtemmx il-konnessjonijiet TCP tagħhom u m'għandux sockets għalihom. Il-prova tgħix band'oħra, u fejn jiddependi minn kif it-traffiku jiġi trattat wara li joħroġ mill-mina.

Iddeċiedi liema arranġament qed tħares lejh

Żewġ forom komuni jagħtu provi kompletament differenti. Gateway li jagħmel routing jiddekapsula, jgħaddi u forsi jagħmel NAT tas-sors, allura l-konnessjoni tal-klijent tibqa' teżisti minn tarf għal tarf mingħajr socket lokali.

Proxy jtemm it-traffiku: jaċċetta l-konnessjoni, imbagħad jiftaħ il-konnessjoni tiegħu stess lejn fuq. F'dak l-arranġament hemm żewġ konnessjonijiet għal talba waħda, u l-assoċjazzjoni bejniethom teżisti biss fir-rekords tal-proxy stess. Li tkun taf liema minn dawn żewġ ħloqt jiddeċiedi jekk għandekx taqra l-istat tal-flussi tal-kernel jew il-logs tal-applikazzjoni.

Il-biċċa l-kbira tal-konfużjoni tiġi mill-istimar. Ikkonferma l-forma qabel tagħżel l-għodda. Aqra l-konfigurazzjoni tas-server għal direttiva tal-proxy l-ewwel, għax il-preżenza tagħha tbiddel kull pass ta' wara. Mingħajrha t-triq tal-pakketti hija routing u l-istat tal-flussi tal-kernel hija l-prova tiegħek.

L-ewwel rabat l-indirizz ma' sessjoni

Ibda mill-istat tas-sessjonijiet tas-server u identifika l-indirizz intern attwali tal-klijent. L-indirizzi tal-pool jiġu riċiklati, allura indirizz waħdu huwa kera, mhux persuna.

Irreġistra l-ħin u l-identità awtentikata flimkien, u nota jekk LAN sħiħa hijiex moħbija wara dak il-klijent. Jekk it-tarf imbiegħed jagħmel routing ta' subnetwork, l-indirizzi interni li tara jistgħu jkunu hosts oriġinali jew tradotti.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Dak il-par iwieġeb żewġ mistoqsijiet f'daqqa: liema prefiss iservi l-interface tal-mina, u liema sessjoni kienet attiva fl-intervall li jimpurtak minnu. Agħmel dan qabel tinterpreta kwalunkwe entrata tal-fluss, għax tuple konvinċenti mwaħħla mas-sessjoni ħażina hija agħar minn ebda prova.

Aqra t-tabella tal-flussi fuq gateway li jagħmel routing

Wara li jkunu stabbiliti l-indirizz u l-intervall, lista biss-qari tal-konnessjonijiet ikkontrollati turi x'qed jgħaddi l-gateway għaliha. Iffiltra fuq is-sors oriġinali biex ma taqrax it-tabella kollha.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Kull entrata żżomm żewġ tuples, oriġinali u tweġiba, li huma ż-żewġ direzzjonijiet ta' fluss wieħed u mhux żewġ applikazzjonijiet. Fuq triq tal-NAT tas-sors, it-tuple oriġinali jżomm l-indirizz tal-mina filwaqt li n-naħa tat-tweġiba turi l-indirizz tradott tal-gateway, u dan huwa proprju dak li jagħmel l-output jidher ħażin fl-ewwel daqqa t'għajn.

Ittratta l-lista bħala stat ħaj u mhux bħala storja. Flussi qosra jistgħu jkunu skadew diġà, traffiku mhux ikkontrollat qatt ma jidher, u spazju tal-isem tan-netwerk differenti juri tabella differenti. Ir-referenza tal-conntrack tiddokumenta l-filtri u l-output f'żewġ direzzjonijiet.

Qabda limitata waħda biex tikkonferma l-qari

Jekk l-interface tal-mina tidher fejn qed tħares, qabda limitata waħda tissolva jekk il-pakketti li identifikajt hux dawk fuq il-wajer. Żomm il-filter dejjaq u l-limitu tal-pakketti żgħir.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Qabbel timestamps, protokoll u ports mal-entrata tal-fluss u mat-talba li għamilt bħala test. Qabda meħuda wara n-NAT turi biss l-indirizz pubbliku tal-gateway, filwaqt li n-naħa tal-mina tista' għadha turi dak tal-klijent, u din id-differenza hija informazzjoni u mhux inkonsistenza.

Jekk l-interface ma tara xejn, iċċekkja t-triq tad-data qabel tikkonkludi li l-klijent huwa inattiv: traffiku minn klijent għal klijent u xi toroq tal-offload qatt ma jgħaddu mill-punt li qed tosserva.

Log tal-proxy, u l-limiti ta' dak li rajt

Meta proxy jkun fit-triq, is-sockets tiegħu lejn fuq jidhru fit-tabella tas-sockets imma ma jimmappjawx wieħed għal wieħed fuq il-klijenti tal-VPN, speċjalment b'pooling jew multiplexing. Uża l-log tat-transazzjonijiet konfigurat tal-proxy biex tikkorrelata l-identità tal-klijent, id-destinazzjoni, it-timestamp u kwalunkwe identifikatur tat-talba li jirreġistra.

Iċċekkja l-konfigurazzjoni tal-logging tal-verżjoni installata minflok ma tassumi li kull talba tiġi rreġistrata b'mod awtomatiku.

Fl-aħħar, kun preċiż dwar l-ambitu. Indirizz tad-destinazzjoni u port huma metadejta, mhux URL u mhux kontenut tal-paġna, għax is-sessjoni HTTPS interna żżomm il-protezzjoni tagħha stess irrispettivament mill-mina. Irrapporta dak li osservajt, minn liema punt ta' osservazzjoni, u f'liema ħin.