Network Security

实验三

启动虚拟机

VM:
sudo docker start HostU HostU2 HostV
sudo docker exec -it HostU /bin/bash
sudo docker exec -it HostU2 /bin/bash
sudo docker exec -it HostV /bin/bash

给 HostU 和 HostU2 添加 hosts

HostU, HostU2:
echo "10.0.2.8 ycg.com" >> /etc/hosts

生成证书

cd myvpn/cert_server
cp /usr/lib/ssl/openssl.cnf ./
mkdir demoCA
cd demoCA
mkdir certs crl newcerts
touch index.txt serial
echo 1000 > serial 
# 设置证书的初始序列号

openssl req -new -x509 -keyout ca-ycg-key.pem -out ca-ycg-crt.pem -config openssl.cnf
# 生成 CA 的私钥（ca-ycg-key.pem）和自签名根证书（ca-ycg-crt.pem）
openssl genrsa -des3 -out server-ycg-key.pem 2048
# 生成服务器的 RSA 私钥
openssl req -new -key server-ycg-key.pem -out server-ycg-csr.pem -config openssl.cnf
# 生成证书签名请求 (CSR)
openssl ca -in server-ycg-csr.pem -out server-ycg-crt.pem -cert ca-ycg-crt.pem -keyfile ca-ycg-key.pem -config openssl.cnf
# 使用第一部分创建的 CA 私钥对服务器的 CSR 进行签名，生成服务器证书 server-ycg-crt.pem

![[Pasted image 20251223213550.png]]

运行 vpn

VM:
sudo ./myser # input 123456

HostU:
./mycli ycg.com 4433 seed dees 2

HostU2:
./mycli ycg.com 4433 seed dees 5

# 4433 TCP port
# seed user name
# dees user password
# 5 do "sudo ifconfig tun0 192.168.53.5/24 up"

认证 VPN 服务器

证书主题包含个人信息

VM:
sudo ./myser

HostU:
./mycli ycg.com 4433 seed dees 2

![[Pasted image 20251223211657.png]]

VPN 客户端提示证书过期

使用命令 faketime 伪造时间为 '2035-09-09 00:00:00'，提示证书已经过期

VM:
sudo ./myser

HostU:
faketime '2035-09-09 00:00:00' ./mycli ycg.com 4433 seed dees 2

![[Pasted image 20251223212538.png]]

认证 VPN 客户端

提示错误无法登录

VM:
sudo ./myser

HostU:
./mycli ycg.com 4433 seed dees1 2

![[Pasted image 20251223213045.png]]

能正确登录

见 认证 VPN 服务器 - 证书主题包含个人信息

加密隧道通信

wireshark 监听 docker1 端口
修改 wireshark 配置：
Preferences - Protocols - HTTP
![[Pasted image 20251223214152.png]]

能通信

vpn 连接后，在 HostU 上输入 ping 192.168.60.101，可以 ping 通
![[Pasted image 20251223214418.png]]

经隧道封装 & 隧道为 TLS

观察刚才 ping 192.168.60.101 时 wireshark 抓包的内容
![[Pasted image 20251223214507.png]]

支持多客户端

各自正常登录通信

VM:
sudo ./myser # input 123456

HostU:
./mycli ycg.com 4433 seed dees 2
telnet 192.168.60.101

HostU2:
./mycli ycg.com 4433 seed dees 5
telnet 192.168.60.101

先都连接 VPN
![[Pasted image 20251223214936.png]]

然后执行 telnet 命令
需要现在 HostV 上启用 telnet 服务：

HostV:
sudo /usr/sbin/inetd

![[Pasted image 20251223215816.png]]

隧道保持，通信不受影响

端口 HostU2 的 telnet，然后断开 HostU2 的客户端连接；在 HostU 上执行命令 whoami，仍能得到正确响应
![[Pasted image 20251223220019.png]]

易用性和稳定性

相关代码
mycli.c: Line 159 - 163

// redirect and routing
char cmd[100];
sprintf(cmd, "sudo ifconfig tun0 192.168.53.%s/24 up && sudo route add -net 192.168.60.0/24 tun0",
        argv[5]);
system(cmd);

VPN 客户端虚拟 IP 获取

手动分配：获取分配的2和5 则ip是192.168.53.2和192.168.53.5
mycli.c: Line 162, argc[5]

VPN 客户端虚拟 IP 配置

自动添加：自动配置的192.168.53.2和192.168.53.5
mycli.c: Line 161, sudo ifconfig tun0 192.168.53.%s/24 up

VPN 客户端内网路由配置

自动添加
mycli.c: Line 161, sudo route add -net 192.168.60.0/24 tun0

正常使用时的稳定性

王婆卖瓜