Halka laga daawado taraafikada macmiil OpenVPN ee gateway-ga

Waxaad rabtaa inaad ogaato meelaha uu macmiil ku xiran gaaro, sidaas darteed waxaad furtaa shell ku yaal server-ka VPN oo aad qorto ss. Wax faa'iido leh ma soo baxaan, go'aanka ah in tunnel-ku jaban yahayna si fudud ayaa u yimaada. Gateway OpenVPN oo dariiqaysan ayaa baakadaha macmiilka u gudbiya; ma joojiso xidhiidhka TCP ee ay leeyihiin mana laha sockets iyaga. Caddayntu meel kale ayay ku nooshahay, halka ay tahayna waxay ku xiran tahay sida taraafikada loo maareeyo ka dib marka ay tunnel-ka ka baxdo.

Go'aanso qaabka aad eegayso

Laba qaab oo caadi ah ayaa bixiya caddayn gebi ahaan kala duwan. Gateway dariiqaysan ayaa kala baxa, gudbiya oo laga yaabo inuu sameeyo NAT isha, sidaas darteed xidhiidhka macmiilku wuxuu sii socdaa min dhammaad ilaa dhammaad isagoo aan lahayn socket maxalli ah.

Proxy-ga ayaa taraafikada joojiya: wuxuu aqbalaa xidhiidhka, ka dibna wuxuu furaa xidhiidhkiisa kor u kaca. Qaabkaas waxaa jira laba xidhiidh oo hal codsi ah, xidhiidhka ka dhexeeyana wuxuu ku jiraa oo kaliya diiwaannada proxy-ga laftiisa. Ogaanshaha midka aad ku shaqaalisay ayaa go'aamiya inaad akhrido xaaladda qulqulka kernel-ka ama diiwaannada barnaamijka.

Isku-dhaca badidiisa waxay ka timaaddaa qiyaas. Xaqiiji qaabka ka hor inta aadan dooran qalabka. Marka hore akhri habaynta server-ka ee tilmaanta proxy, maxaa yeelay jiritaankeedu wuxuu beddelaa tallaabo kasta oo xigta. Iyada la'aanteed dariiqa baakaduhu waa dariiqayn, xaaladda qulqulka kernel-kana waa caddayntaada.

Marka hore ku xidh ciwaanka fadhi

Ka bilow xaaladda fadhiyada server-ka oo aqoonso ciwaanka gudaha ee hadda ee macmiilka. Ciwaannada barkadda waa dib loo isticmaalaa, sidaas darteed ciwaan keligiis waa kiro, ma aha qof.

Wada qor waqtiga iyo aqoonsiga la xaqiijiyay, oo ogsoonow in shabakad maxalli ah oo dhan ay ka dabooshan tahay macmiilkaas. Haddii dhinaca fog uu dariiqaysto shabakad hoose, ciwaannada gudaha ee aad aragto waxay noqon karaan martigeliyayaal asal ah ama kuwo la turjumay.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Lammaanahaas waxay hal mar ka jawaabaan laba su'aalood: waa kee prefix-ka interface-ka tunnel-ku u adeego, iyo waa kee fadhiga firfircoonaa intii lagu jiray muddada aad danaynayso. Tan samee ka hor inta aadan fasirin wax diiwaan qulqul ah, maxaa yeelay tuple qancin leh oo ku xiran fadhiga khaldan ayaa ka xun caddayn la'aan gebi ahaan.

Akhri shaxda qulqulka gateway dariiqaysan

Marka ciwaanka iyo muddada la go'aamiyo, liis akhri-kaliya oo xidhiidhada la dabagalay ayaa muujinaya waxa gateway-gu u gudbiyo. Ku shaandhee isha asalka ah si aadan u akhrin shaxda oo dhan.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Diiwaan kastaa waxa uu hayaa laba tuple, asal iyo jawaab, kuwaas oo ah labada jiho ee hal qulqul, ma aha laba barnaamij. Jidka NAT isha tuple-ka asalka ahi wuxuu hayaa ciwaanka tunnel-ka halka dhinaca jawaabtu uu muujinayo ciwaanka gateway-ga la turjumay, taasina waa sababta wax soo saarku ugu muuqdo khalad aragtida kowaad.

U qaado liiska sida xaalad nool ee ma aha taariikh. Qulqullo gaagaaban ayaa laga yaabaa inay hore u dhaceen, taraafikada aan la dabagalin waligeed ma soo muuqato, iyo meel magac shabakadeed kale ayaa muujisa shax kale. Tixraaca conntrack waxa uu diiwaangeliyaa shaandhaynta iyo soo-saarka labada jiho.

Hal duubis xaddidan oo lagu xaqiijinayo akhrinta

Haddii interface-ka tunnel-ku muuqdo halka aad eegayso, hal duubis xaddidan ayaa go'aamiya in baakadaha aad aqoonsatay ay yihiin kuwa siligga ku jira. Shaandhada cufan oo xadka baakaduhu yaraado.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Isbarbardhig timestamps, borotokoolka iyo dekedaha diiwaanka qulqulka iyo codsiga aad sameysay si tijaabo ah. Duubis la qaaday ka dib NAT waxay muujinaysaa oo kaliya ciwaanka guud ee gateway-ga, halka dhinaca tunnel-ku uu weli muujin karo kan macmiilka, farqigaasuna waa macluumaad ma aha is-khilaaf.

Haddii interface-ku waxba arkin, hubi dariiqa xogta ka hor inta aadan go'aansan in macmiilku shaqo la'aan yahay: taraafikada macmiil-ka-macmiilka iyo qaar dariiqooyinka dejsan waligood kama gudbaan barta aad daawanayso.

Diiwaannada proxy-ga, iyo xadka waxa aad aragtay

Marka proxy-gu jidka ku jiro, sockets-kiisa kor u kaca ayaa ka muuqda shaxda sockets laakiin si hal-ilaa-hal looma xidhiidhiyaan macmiilada VPN, gaar ahaan isku-ururinta ama isku-dhufashada. Isticmaal diiwaanka macaamilka proxy-ga ee habaysan si aad isugu xidho aqoonsiga macmiilka, meesha, timestamp-ka iyo aqoonsiga codsi kasta oo uu diiwaangeliyo.

Hubi habaynta diiwaangelinta nooca la rakibay halkii aad ka fikiri lahayd in codsi kastaa si caadi ah loo diiwaangeliyo.

Ugu dambayntii, ku saxanow xadka. Ciwaanka meesha iyo dekeddu waa metadata, ma aha URL iyo ma aha nuxurka bogga, maxaa yeelay fadhiga HTTPS ee gudaha ayaa hayaa difaaciisa iyadoo aan tunnel-ka tixgalin. Soo sheeg waxa aad aragtay, meesha kormeerka aad ka sameysay, iyo waqtiga.