د OpenVPN کلاینټ ترافیک په ګیټوې کې چېرته وګورو

تاسو غواړئ پوه شئ چې یو نښلول شوی کلاینټ کومو منزلونو ته رسېږي، نو په VPN سرور کې یوه شیل پرانیزئ او ss ټایپ کوئ۔ هېڅ ګټور شی نه ښکاري، او دا پایله چې ټنل مات شوی دی لږ ډېر په اسانۍ راځي۔ د لارښوونې OpenVPN ګیټوې د کلاینټ پاکټونه مخې ته وړي؛ دا د هغوی TCP نښلونې نه پای ته رسوي او د هغوی لپاره ساکټونه نه لري۔ شاهد بل چېرته اوسیږي، او دا چې چېرته، په دې پورې اړه لري چې له ټنل څخه د وتلو وروسته ترافیک څنګه اداره کېږي۔

پریکړه وکړئ چې کوم ترتیب ګورئ

دوه عام شکلونه په بشپړ ډول مختلف شواهد ورکوي۔ د لارښوونې ګیټوې د کپسول لرې کول کوي، مخې ته وړي او شاید د سرچینې NAT ترسره کوي، نو د کلاینټ نښلونه له سره تر سره پرته له سیمه ییز ساکټ دوام کوي۔

پراکسي ترافیک پای ته رسوي: نښلونه مني، بیا خپله پورتنۍ نښلونه پرانیزي۔ په دې ترتیب کې د یوې غوښتنې لپاره دوه نښلونې شته، او د دوی ترمنځ تړاو یوازې د پراکسي په خپلو ثبتونو کې شته۔ پوهېدل چې دا دوه کوم یو مو ځای پرځای کړی، دا ټاکي چې ایا د کرنل د بهیر حالت لولئ که د اپلیکیشن ثبتونه۔

ډېری ګډوډي له اټکل څخه راځي۔ د وسایلې ټاکلو دمخه شکل تایید کړئ۔ لومړی د سرور ترتیبونه د پراکسي لارښوونې لپاره ولولئ، ځکه چې د هغې شتون هر بل ګام بدلوي۔ پرته له هغې د پاکټونو لار لارښوونه ده او د کرنل د بهیر حالت ستاسو شاهد دی۔

لومړی پته له یوې ناستې سره وتړئ

د سرور د ناستو حالت څخه پیل کړئ او د کلاینټ اوسنۍ داخلي پته وپېژنئ۔ د حوض پتې بیا کارول کېږي، نو پته یوازې یو کرایه ده، نه یو کس۔

وخت او تصدیق شوې هویت یو ځای ثبت کړئ، او وګورئ چې ایا د هغه کلاینټ شاته ټوله سیمه ییزه شبکه پټه ده۔ که لرې پای یوه فرعي شبکه لارښوونه کوي، هغه داخلي پتې چې ګورئ کېدای شي اصلي کوربه یا ژباړل شوې وي۔

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

هغه جوړه په یو وخت د دوو پوښتنو ځواب ورکوي: د ټنل انټرفېس کوم پری فکس خدمت کوي، او ستاسو د علاقې په موده کې کومه ناسته فعاله وه۔ دا د هر بهیر ثبت د تشریح کولو دمخه وکړئ، ځکه چې غلطې ناستې ته نښلول شوې باوري ټپل له هېڅ شاهد څخه بدتره ده۔

د لارښوونې ګیټوې په بهیرونو جدول ولولئ

کله چې پته او موده وټاکل شوه، د تعقیب شوو نښلونو یوازې-لوستلو لیست ښیي چې ګیټوې د هغې لپاره څه مخې ته وړي۔ په اصلي سرچینه فلټر وکړئ ترڅو ټول جدول نه لولئ۔

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

هره ننوتنه دوه ټپلونه لري، اصلي او ځواب، چې د یو بهیر دوه لوري دي نه دوه اپلیکیشنونه۔ د سرچینې NAT په لار کې اصلي ټپل د ټنل پته ساتي، پداسې حال کې چې د ځواب اړخ ژباړل شوې ګیټوې پته ښیي، او همدا لامل دی چې وتنه په لومړي نظر غلطه ښکاري۔

لیست د تاریخ نه، بلکې د ژوندي حالت په توګه وګورئ۔ لنډ بهیرونه کېدای شي مخکې پای ته رسېدلي وي، نه تعقیب شوی ترافیک هېڅکله نه ښکاري، او بل شبکه یي نوم تشه بل جدول ښیي۔ د conntrack حواله فلټرونه او دوه لوري وتنه مستند کوي۔

یو محدود نیول د لوستلو د تایید لپاره

که د ټنل انټرفېس هغه ځای کې ښکاري چې تاسو ګورئ، یو محدود نیول فیصله کوي چې ایا هغه پاکټونه چې تاسو وپېژندل په تار کې همدغه دي۔ فلټر تنګ او د پاکټونو حد کوچنی وساتئ۔

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

د وخت ټاپې، پروتوکول او پورټونه له بهیر ثبت او له هغې غوښتنې سره پرتله کړئ چې د ازموینې په توګه مو کړې۔ له NAT وروسته اخیستل شوی نیول یوازې د ګیټوې عامه پته ښیي، پداسې حال کې چې د ټنل اړخ ممکن لا هم د کلاینټ پته ښیي، او دا توپیر معلومات دی نه ناسمونکی۔

که انټرفېس هېڅ نه ویني، د دې دمخه چې پایله وکړئ کلاینټ بیکاره دی، د معلوماتو لار وګورئ: د کلاینټ تر کلاینټ ترافیک او ځینې د بار ایستلو لارې هېڅکله هغه ټکي نه تېریږي چې تاسو یې ګورئ۔

د پراکسي ثبتونه، او د هغه څه حدود چې ولیدل

کله چې پراکسي په لار کې وي، د هغې پورتني ساکټونه د ساکټونو په جدول کې ښکاري خو د VPN کلاینټونو سره یو پر یو نه سمون خوري، په ځانګړي ډول د حوض یا څو اړخیز کولو سره۔ د پراکسي ترتیب شوي معاملې ثبت وکاروئ ترڅو د کلاینټ هویت، منزل، د وخت ټاپه او هر هغه غوښتنې پېژندونکی چې ثبتوي سره وتړئ۔

هره غوښتنه په ډیفالټ ډول ثبت کېږي دا فرض کولو پرځای د ځای پرځای شوې نسخې د ثبت ترتیبونه وګورئ۔

په پای کې، د حد په اړه دقیق اوسئ۔ د منزل پته او پورټ میټاډاټا دي، نه URL او نه د پاڼې منځپانګه، ځکه چې داخلي HTTPS ناسته له ټنل څخه پرته خپله خوندیتوب ساتي۔ راپور ورکړئ چې څه ولیدل، له کومې کتنې نقطې، او په کوم وخت۔