Kje na prehodu spremljati promet odjemalca OpenVPN

Želite izvedeti, do katerih ciljev pride povezan odjemalec, zato odprete lupino na strežniku VPN in vtipkate ss. Nič koristnega se ne pojavi in sklep, da je tunel pokvarjen, pride nekoliko prelahko. Usmerjevalni prehod OpenVPN posreduje pakete odjemalca; ne zaključi njihovih povezav TCP in zanje ne poseduje vtičnic. Dokaz živi drugje in kje, je odvisno od tega, kako se promet obravnava po izstopu iz tunela.

Ugotovite, na katero razporeditev gledate

Dve običajni obliki dajeta povsem različne dokaze. Usmerjevalni prehod dekapsulira, posreduje in morda izvede NAT vira, zato povezava odjemalca še naprej obstaja od konca do konca brez lokalne vtičnice.

Posrednik zaključi promet: sprejme povezavo in nato odpre svojo lastno povezavo navzgor. V taki razporeditvi sta za eno zahtevo dve povezavi, povezava med njima pa obstaja le v posrednikovih lastnih zapisih. Vedeti, katero od teh dveh ste uvedli, odloči, ali brati stanje tokov v jedru ali dnevnike aplikacije.

Večina zmede izhaja iz ugibanja. Potrdite obliko, preden izberete orodje. Najprej preberite konfiguracijo strežnika glede direktive posrednika, ker njegova prisotnost spremeni vsak naslednji korak. Brez nje je pot paketov usmerjanje, stanje tokov v jedru pa je vaš dokaz.

Najprej povežite naslov s sejo

Začnite s stanjem sej na strežniku in določite trenutni notranji naslov odjemalca. Naslovi iz zbirke se reciklirajo, zato je naslov sam po sebi najem, ne oseba.

Zapišite čas in potrjeno identiteto skupaj ter opazite, ali se za tem odjemalcem skriva celotno lokalno omrežje. Če oddaljeni konec usmerja podomrežje, so notranji naslovi, ki jih vidite, lahko izvorni gostitelji ali prevedeni.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Ta par odgovori na dve vprašanji hkrati: kateri predponi služi vmesnik tunela in katera seja je bila dejavna v intervalu, ki vas zanima. To storite, preden razlagate kateri koli vnos toka, ker je prepričljiva četverica, pritrjena na napačno sejo, slabša od nikakršnega dokaza.

Preberite tabelo tokov na usmerjevalnem prehodu

Ko sta naslov in interval določena, seznam sledenih povezav samo za branje pokaže, kaj prehod posreduje zanjo. Filtrirajte po izvornem viru, da ne berete celotne tabele.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Vsak vnos vsebuje dve četverici, izvorno in odgovorno, ki sta dve smeri enega toka in ne dve aplikaciji. Na poti s prevedbo vira izvorna četverica ohrani naslov tunela, medtem ko stran odgovora prikazuje prevedeni naslov prehoda, in prav to povzroči, da je rezultat na prvi pogled videti napačen.

Obravnavajte seznam kot živo stanje in ne kot zgodovino. Kratki tokovi so morda že potekli, nesledeni promet se nikoli ne pojavi, drug imenski prostor omrežja pa prikazuje drugo tabelo. Referenca za conntrack opisuje filtre in dvosmerni izhod.

En omejen zajem za potrditev branja

Če je vmesnik tunela viden tam, kamor gledate, en omejen zajem razreši, ali so paketi, ki ste jih prepoznali, tisti na žici. Naj bo filter ozek in omejitev paketov majhna.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Primerjajte časovne žige, protokol in vrata z vnosom toka ter z zahtevo, ki ste jo poslali kot test. Zajem po NAT prikaže le javni naslov prehoda, medtem ko lahko stran tunela še vedno prikazuje naslov odjemalca, in ta razlika je informacija, ne neskladnost.

Če vmesnik ne vidi ničesar, preverite podatkovno pot, preden sklepate, da odjemalec miruje: promet med odjemalci in nekatere poti razbremenitve nikoli ne gredo skozi točko, ki jo opazujete.

Dnevniki posrednika in meje tega, kar ste videli

Ko je na poti posrednik, so njegove vtičnice navzgor vidne v tabeli vtičnic, vendar se ne preslikajo ena na ena na odjemalce VPN, zlasti pri združevanju v zbirko ali multipleksiranju. Uporabite konfiguriran dnevnik transakcij posrednika za korelacijo identitete odjemalca, cilja, časovnega žiga in vsakega zabeleženega identifikatorja zahteve.

Preverite konfiguracijo beleženja nameščene različice, namesto da bi domnevali, da se vsaka zahteva zabeleži privzeto.

Na koncu bodite natančni glede obsega. Ciljni naslov in vrata so metapodatki, ne URL in ne vsebina strani, ker notranja seja HTTPS ohrani svojo zaščito ne glede na tunel. Poročajte, kaj ste opazovali, s katere opazovalne točke in ob katerem času.