OpenVPN monitor netwerk

[poNgz0r]

Ik heb een OpenVPN server draaien (weet niet of het uitmaakt maar het is tap met bridged ethernet) en daar kan ik met een PC verbinding naar maken. Zodra de verbinding gemaakt is hangt de pc die verbinding gemaakt heeft in het netwerk van de openvpn server en heeft die ook het publieke ip aangenomen.

So far so good. De computer die verbinding maakt staat op een andere locatie en hangt niet fysiek in hetzelfde netwerk als de openvpn server, vandaar ook de openvpn. In hoeverre valt er te monitoren wat er op de pc gebeurd die verbinding met de openvpn heeft?

Het netwerk waar de pc zelf in staat, ziet die überhaupt wat er over de lijn gaat of ziet alleen die alleen dat er data over een VPN poort gaat, maar hij weet niet welke data.

De VPN server kan die monitoren wat de pc die verbonden is aan het doen is?

[MAX3400]

Je vraag gaat ietwat richting "grijs gebied"? Anyhow, de client-PC praat "alles" over de VPN-connectie en als je maar voldoende permissies hebt op de client-PC, kan je (waarschijnlijk) alles uitlezen behalve je pincode.

Wat ik me meer afvraag; waarom gaat dit over OpenVPN? Elke "site to site" VPN heeft wel/geen policies over welke protocollen mogelijk zijn en over welke routes. Op basis hiervan moet je eigenlijk je VPN-verbinding zien als een "gewone" LAN-verbinding maar over het algemeen zonder "domain policies".

Ergo; zolang je niet op beide machines (client en server) volledige administrative permissies hebt, kan je in meer/mindere mate informatie opvragen.

[poNgz0r]

Hmm, mijn doel was een verbinding op te zetten, waarvan niet zichtbaar is wat er over de lijn gaat, tenzij iemand fysiek inlogt op die pc. Maar als ik het een beetje snap heb ik dat nu niet gecreëerd.

[Ora et Labora]

pongthamong schreef op donderdag 1 maart 2018 @ 10:38:
Hmm, mijn doel was een verbinding op te zetten, waarvan niet zichtbaar is wat er over de lijn gaat, tenzij iemand fysiek inlogt op die pc. Maar als ik het een beetje snap heb ik dat nu niet gecreëerd.

Je ziet niet het verkeer van je computer naar de Open VPN server, als het goed is, is dat encrypt.
Ik weet niet exact wat wel en niet zichtbaar is als je via de Open VPN het WWW op gaat, maar volgens mij is dat ook encrypt.

[FreshMaker]

Zoals @MAX3400 aangeeft, wat je op de client verstuurd NAAR de server is encrypted
De Server ontsleuteld het, en verwerkt het.
Vanaf dat moment is alles wat je verzonden hebt, terug te zien op de server.

Dat is de essentie van een VPN, het is niet meer dan een brug van A naar B, wat B er daarna mee doet, heeft niets meer met de VPN te maken

[Kanthana]

Je kunt instellen of de client nog lokaal gebruik mag maken van de eigen internetverbinding of dat al het internetverkeer via het VPN moet verlopen. Services die uitsluitend te benaderen zijn via de VPN zullen encrypt zijn.

[MAX3400]

Ora et Labora schreef op donderdag 1 maart 2018 @ 10:41:
[...]

Je ziet niet het verkeer van je computer naar de Open VPN server, als het goed is, is dat encrypt.

Dat is niet zo...

Genuanceerd gezegd: ik start op mijn client een programma op, bijvoorbeeld Windows Explorer, en daarmee wil ik een file-share benaderen die aan de andere kant staat (dus aan de andere kant van mijn VPN-verbinding).

Middels tooling kan ik op de client het volgende zien:
- welk protocol (SMB / CIFS / NFS / iSCSI / whatever) wil Explorer praten
- naar welk adres wil Explorer praten
- welke credentials, encryptie, etc zit er aan mijn inlogpoging
- welke antwoorden komen er terug naar Explorer
- etc

Pas zodra Windows "snapt" dat dit over de VPN-verbinding moet, zijn er 2 mogelijkheden: het wordt encrypted verstuurd zodra Explorer een verzoek doet aan mijn "virtual adapter" of het wordt non-encrypted verstuurd. Zeg maar "de inhoud" kan dus zowel leesbaar als onleesbaar zijn. Maar de verbinding tussen client en server is wel encrypted (gaan we vanuit want ook met OpenVPN en andere VPN-tunnels, kan je relatief unencrypted verbindingen maken).

@pongthamong heeeel simplistisch gedacht: een VPN-connectie is niets meer/minder dan het omhulsel, net zoals een tuinslang of rioolbuis. Dan mag je zelf bedenken of een tuinslang niet lekt (encrypted) of wel kan lekken (unencrypted). En "wat" je door die buis duwt, dat kan een plain-text papiertje zijn of code

[ Voor 4% gewijzigd door MAX3400 op 01-03-2018 11:32 ]