Wapi kufuatilia trafiki ya mteja wa OpenVPN kwenye lango

Unataka kujua ni maeneo gani mteja aliyeunganishwa anafikia, kwa hiyo unafungua shell kwenye seva ya VPN na kuandika ss. Hakuna kitu cha manufaa kinachoonekana, na hitimisho kwamba handaki limevunjika linakuja kwa urahisi mno. Lango la OpenVPN lenye uelekezaji husambaza pakiti za mteja; haliweki kikomo miunganisho yao ya TCP na halina soketi kwa ajili yao. Ushahidi unaishi mahali pengine, na wapi hutegemea jinsi trafiki inavyoshughulikiwa baada ya kuondoka kwenye handaki.

Amua ni mpangilio gani unaotazama

Maumbo mawili ya kawaida hutoa ushahidi tofauti kabisa. Lango la uelekezaji hufungua kifuniko, husambaza na huenda likafanya NAT ya chanzo, kwa hiyo muunganisho wa mteja unaendelea kuwepo kutoka mwanzo hadi mwisho bila soketi ya ndani.

Proksi humaliza trafiki: inakubali muunganisho, kisha hufungua muunganisho wake mwenyewe wa juu. Katika mpangilio huo kuna miunganisho miwili kwa ombi moja, na uhusiano kati yao upo tu katika kumbukumbu za proksi yenyewe. Kujua ni upi kati ya haya mawili uliyoweka huamua ikiwa unapaswa kusoma hali ya mtiririko ya kernel au kumbukumbu za programu.

Mkanganyiko mwingi hutokana na kukisia. Thibitisha umbo kabla ya kuchagua chombo. Kwanza soma usanidi wa seva kwa agizo la proksi, kwa sababu uwepo wake hubadilisha kila hatua inayofuata. Bila hilo, njia ya pakiti ni uelekezaji na hali ya mtiririko ya kernel ni ushahidi wako.

Kwanza unganisha anwani na kikao

Anza na hali ya vikao vya seva na tambua anwani ya ndani ya sasa ya mteja. Anwani za bwawa hutumika tena, kwa hiyo anwani peke yake ni ukodishaji, si mtu.

Rekodi muda na utambulisho uliothibitishwa pamoja, na angalia kama LAN nzima inajificha nyuma ya mteja huyo. Ikiwa upande wa mbali unaelekeza subnet, anwani za ndani unazoziona zinaweza kuwa wenyeji wa awali au zilizotafsiriwa.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Jozi hilo hujibu maswali mawili kwa wakati mmoja: ni kiambishi gani kiolesura cha handaki kinahudumia, na ni kikao gani kilikuwa hai katika kipindi unachojali. Fanya hivi kabla ya kufasiri ingizo lolote la mtiririko, kwa sababu tuple ya kushawishi iliyofungwa kwenye kikao kibaya ni mbaya kuliko ushahidi wowote.

Soma jedwali la mtiririko kwenye lango la uelekezaji

Baada ya anwani na kipindi kuthibitishwa, orodha ya kusoma tu ya miunganisho inayofuatiliwa inaonyesha kile lango linaposambaza kwa ajili yake. Chuja kwa chanzo cha awali ili usisome jedwali lote.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Kila ingizo lina tuple mbili, ya awali na ya jibu, ambazo ni mielekeo miwili ya mtiririko mmoja na si programu mbili. Kwenye njia ya NAT ya chanzo tuple ya awali huhifadhi anwani ya handaki wakati upande wa jibu unaonyesha anwani ya lango iliyotafsiriwa, na hiyo ndiyo sababu pato huonekana kama si sahihi kwa mtazamo wa kwanza.

Chukulia orodha kama hali hai na si kama historia. Mitiririko mifupi inaweza kuwa imeisha, trafiki isiyofuatiliwa haionekani kamwe, na nafasi ya jina la mtandao tofauti huonyesha jedwali tofauti. Rejea ya conntrack inaeleza vichujio na pato la mielekeo miwili.

Ukamataji mmoja mdogo wa kuthibitisha usomaji

Ikiwa kiolesura cha handaki kinaonekana mahali unapotazama, ukamataji mmoja mdogo huamua kama pakiti ulizozitambua ndizo zilizo kwenye waya. Weka kichujio chembamba na kikomo cha pakiti kidogo.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Linganisha mihuri ya muda, itifaki na bandari na ingizo la mtiririko na ombi ulilofanya kama jaribio. Ukamataji uliochukuliwa baada ya NAT unaonyesha anwani ya umma ya lango pekee, wakati upande wa handaki unaweza bado kuonyesha ya mteja, na tofauti hiyo ni taarifa na si kutokubaliana.

Ikiwa kiolesura hakioni kitu, angalia njia ya data kabla ya kuhitimisha kuwa mteja hayupo hai: trafiki ya mteja-kwa-mteja na baadhi ya njia za upakuaji kamwe hazipiti mahali unapotazama.

Kumbukumbu za proksi, na mipaka ya kile ulichokiona

Proksi inapokuwa njiani, soketi zake za juu zinaonekana kwenye jedwali la soketi lakini haziendani moja kwa moja na wateja wa VPN, hasa kwa kuweka kwenye bwawa au kuzidisha. Tumia kumbukumbu ya miamala iliyosanidiwa ya proksi kuoanisha utambulisho wa mteja, mahali, muhuri wa muda na kitambulisho chochote cha ombi kinachorekodi.

Angalia usanidi wa uwekaji kumbukumbu wa toleo lililowekwa badala ya kudhani kila ombi hurekodiwa kwa chaguo-msingi.

Hatimaye, kuwa sahihi kuhusu wigo. Anwani ya mahali na bandari ni metadata, si URL na si maudhui ya ukurasa, kwa sababu kikao cha ndani cha HTTPS huhifadhi ulinzi wake bila kujali handaki. Ripoti kile ulichoona, kutoka kituo kipi cha uchunguzi, na kwa muda gani.