Ibi tí a ti wo ìrìnàjò ẹrù OpenVPN kan ní ẹnubodè

O fẹ́ mọ àwọn ibi tí alábàáṣiṣẹ́pọ̀ kan ń dé, nítorí náà o ṣí shell kan lórí sáfà VPN, kí o sì tẹ ss. Kò sí ohun mànìí wú tí ó farahàn, ìparí èrò náà pé ojú-ọ̀nà ti bàjẹ́ sì ń bọ̀ ní ìrọ̀rùn jù. Ẹnubodè OpenVPN tí ó ń tọ́nà ń gbé àwọn àpò alábàáṣiṣẹ́pọ̀ jáde; kò fòpin sí àwọn ìsopọ̀ TCP wọn, kò sì ní sokẹ́tì kankan fún wọn. Ẹ̀rí ń gbé ní ibòmíì, ibi tí ó sì jẹ́ dá lórí bí wọ́n ṣe ń tọ́jú ìrìnàjò náà lẹ́yìn tí ó bá kúrò ní ojú-ọ̀nà.

Pinnu irú ètò tí o ń wò

Irú ẹ̀dá méjì tí ó wọ́pọ̀ ń fún ni ní ẹ̀rí tí ó yàtọ̀ pátápátá. Ẹnubodè tí ń tọ́nà ń tú ìkópamọ́, ó ń gbé jáde, ó sì lè ṣe NAT orísun, nítorí náà ìsopọ̀ alábàáṣiṣẹ́pọ̀ ń tẹ̀síwájú láti ìpẹ̀kun dé ìpẹ̀kun láì ní sokẹ́tì àdúgbò.

Proxy ń fòpin sí ìrìnàjò: ó gba ìsopọ̀, lẹ́yìn náà ó ṣí ìsopọ̀ òkè rẹ̀ fúnra rẹ̀. Nínú ètò yẹn, ìsopọ̀ méjì wà fún ìbéèrè kan, ìsopọ̀ tí ó wà láàrin wọn sì wà nínú àkọsílẹ̀ proxy fúnra rẹ̀ nìkan. Mímọ èyí tí o fi sílẹ̀ nínú àwọn méjì yìí yóò pinnu bóyá o yẹ kó ka ipò ìṣàn kérnélì tàbí àkọsílẹ̀ ètò.

Ọ̀pọ̀ ìdàrúdàpọ̀ ń wá láti inú àfikún. Jẹ́rìí sí ẹ̀dá náà kí o tó yan irinṣẹ́. Kọ́kọ́ ka ìṣètò sáfà fún ìtọ́nisọ́nà proxy, nítorí wíwà rẹ̀ ń yí gbogbo ìgbésẹ̀ tó ń bọ̀ padà. Láìsí rẹ̀, ipa àwọn àpò jẹ́ ìtọ́nà, ipò ìṣàn kérnélì sì ni ẹ̀rí rẹ.

Kọ́kọ́ so àdírẹ́sì mọ́ ìpàdé kan

Bẹ̀rẹ̀ láti ipò àwọn ìpàdé sáfà, kí o sì dárúkọ àdírẹ́sì inú tí ó wà lọ́wọ́lọ́wọ́ ti alábàáṣiṣẹ́pọ̀. Àwọn àdírẹ́sì inú àkójọ ni wọ́n ń tún lò, nítorí náà àdírẹ́sì nìkan jẹ́ ìyásọ́tọ̀, kì í ṣe ènìyàn.

Kọ àkókò àti ìdánimọ̀ tí a ti fọwọ́sí papọ̀, kí o sì ṣàkíyèsí bóyá gbogbo LAN kan ń fi ara pamọ́ sẹ́yìn alábàáṣiṣẹ́pọ̀ yẹn. Tí ìpẹ̀kun jíjìn bá ń tọ́nà àwọn ìsopọ̀ kékeré, àwọn àdírẹ́sì inú tí o rí lè jẹ́ àwọn olùgbàlejò ìpilẹ̀ tàbí àwọn tí a ti túmọ̀.

ip -4 addr show dev tun0
journalctl -u [email protected] --since '-10 min' | tail -n 40

Bọ́ọ̀lù méjì yẹn ń dáhùn ìbéèrè méjì lẹ́ẹ̀kan náà: èwo ni ìpilẹ̀ tí ojú-ọ̀nà ń sìn, àti èwo ni ìpàdé tí ó ń ṣiṣẹ́ nínú àárín tí ó kan ọ́. Ṣe èyí kí o tó túmọ̀ àkọsílẹ̀ ìṣàn kankan, nítorí tuple tí ó dánilójú tí a so mọ́ ìpàdé tí kò tọ́ burú ju kíkùnà láti ní ẹ̀rí.

Ka tábìlì ìṣàn lórí ẹnubodè tí ń tọ́nà

Lẹ́yìn tí a bá ti fi àdírẹ́sì àti àárín múlẹ̀, àkójọ kíkà-nìkan ti àwọn ìsopọ̀ tí a ń tẹ̀lé yóò fi hàn ohun tí ẹnubodè ń gbé jáde fún un. Ṣe àlẹ̀mọ́ lórí orísun ìpilẹ̀ kí o má baà ka gbogbo tábìlì.

sudo conntrack -L -p tcp -f ipv4 --orig-src 10.8.0.37

Àkọsílẹ̀ kọ̀ọ̀kan ní tuple méjì, ìpilẹ̀ àti ìdáhùn, tí wọ́n jẹ́ ọ̀nà méjì ti ìṣàn kan, kì í ṣe ètò méjì. Lórí ipa NAT orísun, tuple ìpilẹ̀ ń pa àdírẹ́sì ojú-ọ̀nà mọ́, nígbà tí ẹ̀gbẹ́ ìdáhùn fi àdírẹ́sì ẹnubodè tí a túmọ̀ hàn, ìyẹn sì ni ohun tí ó mú kí àbájáde dàbí èyí tí kò tọ́ ní ìwò àkọ́kọ́.

Ka àkójọ náà gẹ́gẹ́ bí ipò alààyè, kì í ṣe ìtàn. Àwọn ìṣàn kúkúrú lè ti parí, ìrìnàjò tí a kò tẹ̀lé kì í farahàn, àti ààyè orúkọ nẹ́tíwọ́kì mìíràn ń fi tábìlì mìíràn hàn. Ìtọ́kasí conntrack ṣàlàyé àwọn àlẹ̀mọ́ àti àbájáde ọ̀nà méjì.

Gbígbà ìtòpinpin kan tí ó ní ààlà láti jẹ́rìí kíkà náà

Tí ojú-ọ̀nà bá hàn ní ibi tí o ń wò, gbígbà ìtòpinpin kan tí ó ní ààlà yóò pinnu bóyá àwọn àpò tí o dárúkọ ni wọ́n wà lórí wáyà. Jẹ́ kí àlẹ̀mọ́ jẹ́ tóóró, kí ààlà àpò sì kéré.

sudo tcpdump -ni tun0 -nn -c 50 'host 10.8.0.37 and tcp'

Fi àwọn àmì àkókò, ìlànà àti ibùdó wé àkọsílẹ̀ ìṣàn àti ìbéèrè tí o ṣe gẹ́gẹ́ bí ìdánwò. Gbígbà ìtòpinpin tí a gbà lẹ́yìn NAT ń fi àdírẹ́sì gbangba ẹnubodè nìkan hàn, nígbà tí ẹ̀gbẹ́ ojú-ọ̀nà ṣì lè fi ti alábàáṣiṣẹ́pọ̀ hàn, ìyàtọ̀ yẹn sì jẹ́ ìsọfúnni, kì í ṣe àìbámu.

Tí ojú-ọ̀nà kò bá rí nkankan, ṣàyẹ̀wò ipa dátà kí o tó pinnu pé alábàáṣiṣẹ́pọ̀ kò ṣe nkankan: ìrìnàjò alábàáṣiṣẹ́pọ̀-sí-alábàáṣiṣẹ́pọ̀ àti àwọn ipa ìdásílẹ̀ kan kì í gba ibi tí o ń wò kọjá rárá.

Àkọsílẹ̀ proxy, àti àwọn ààlà ohun tí o rí

Nígbà tí proxy bá wà lórí ipa, àwọn sokẹ́tì òkè rẹ̀ ń farahàn nínú tábìlì sokẹ́tì ṣùgbọ́n wọn kì í bára wọn mu ọ̀kọ̀ọ̀kan pẹ̀lú àwọn alábàáṣiṣẹ́pọ̀ VPN, pàápàá pẹ̀lú àkójọ tàbí ìlọ́po. Lo àkọsílẹ̀ ìṣòwò proxy tí a ti ṣètò láti so ìdánimọ̀ alábàáṣiṣẹ́pọ̀, ibi tí ó ń lọ, àmì àkókò àti ìdánimọ̀ ìbéèrè èyíkéyìí tí ó kọ.

Ṣàyẹ̀wò ìṣètò kíkọ àkọsílẹ̀ ẹ̀yà tí a fi sílẹ̀ dípò kí o rò pé a ń kọ gbogbo ìbéèrè nípasẹ̀ àfidípò.

Níkẹyìn, jẹ́ kíkún nípa ìwọ̀n. Àdírẹ́sì ibi tí ó ń lọ àti ibùdó jẹ́ metadata, kì í ṣe URL, kì í sì í ṣe àkóónú ojú-ìwé, nítorí pé ìpàdé HTTPS inú ń pa ààbò rẹ̀ mọ́ láìka ojú-ọ̀nà. Sọ ohun tí o ṣàkíyèsí, láti ibi àkíyèsí wo, àti ní àkókò wo.