[VPN] Protégé sur un LAN ?

[ArchiTux]

Hello

Je vais souscrire prochainement à un VPN communautaire : freedom-ip (https://freedom-ip.com/).

je me pose une question : Si j'utilise ce VPN, est-ce que je serai protégé des attaques Man In The Middle sur mon LAN ?

En gros est-ce que le traffic entre mon PC et ma passerelle sera chiffré ?


Merci à vous

[benjarobin]

Oui, je ne vois pas comment le flux ne pourrait pas être chiffré, c'est le travail du PC.

[ArchiTux]

D'accord, car sur IRC il y avait des avis divergent.

Donc à partir du moment où mon VPN est actif, tout le trafic entre mon PC et ma passerelle est chiffrré, et il n'y a aucun moyen de récupérer les données qui transitent ?

[Moviuro]

Donc à partir du moment où mon VPN est actif, tout le trafic entre mon PC et ma passerelle est chiffrré, et il n'y a aucun moyen de récupérer les données qui transitent ?

Si la configuration dit de chiffrer alors oui, ce sera chiffré. Et personne ne sera capable de voir ce qui se passe dans ce tuyau entre toi et ton serveur.
Ensuite, il faut s'assurer que les tables de routage sont correctes et disent bien que le traffic par défaut doit passer par le tunnel (ip ro). En gros, si tu dis (analogie routière) : je construit un tuyau inviolable entre moi (à Paris, par exemple) et le serveur (à Lyon) mais qu'aucun panneau ne dit "empruntez tous le tuyau pour vous en aller !", bah y'a pas de magie et pour aller de Paris à Lille, rien ne passera par Lyon (et ton tunnel).

[ArchiTux]

Alors avec le VPN actif, la commande ip ro renvoie :

Code : Tout sélectionner

default via 10.16.0.5 dev tun0  proto static  metric 50 
default via 192.168.0.254 dev enp0s20u2  proto static  metric 600 
10.16.0.1 via 10.16.0.5 dev tun0  proto static  metric 50 
10.16.0.5 dev tun0  proto kernel  scope link  src 10.16.0.6 
10.16.0.5 dev tun0  proto static  scope link  metric 950 
10.16.0.6 dev tun0  proto kernel  scope link  src 10.16.0.6  metric 50 
192.95.43.4 via 192.168.0.254 dev enp0s20u2  proto static  metric 600 
192.168.0.0/24 dev enp0s20u2  proto kernel  scope link  src 192.168.0.18  metric 600 

et ip a

Code : Tout sélectionner

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default 
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: enp3s0f1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel state DOWN group default qlen 1000
    link/ether 80:fa:5b:10:14:0a brd ff:ff:ff:ff:ff:ff
3: wlp2s0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq state DOWN group default qlen 1000
    link/ether 80:19:34:be:a7:49 brd ff:ff:ff:ff:ff:ff
4: enp0s20u2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1280 qdisc mq state UP group default qlen 1000
    link/ether e8:de:27:0b:bf:b7 brd ff:ff:ff:ff:ff:ff
    inet 192.168.0.18/24 brd 192.168.0.255 scope global dynamic enp0s20u2
       valid_lft 859767sec preferred_lft 859767sec
    inet6 fe80::eade:27ff:fe0b:bfb7/64 scope link 
       valid_lft forever preferred_lft forever
5: tun0@NONE: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 100
    link/none 
    inet 10.16.0.6 peer 10.16.0.5/32 brd 10.16.0.6 scope global tun0
       valid_lft forever preferred_lft forever

[Moviuro]

Perso, les routes sont étranges. Si c'est du openvpn, ça a été traffiqué parce que normalement, ce sont les routes 0/1 et 128/1 qu'il crée, pas default, mais c'est un détail.

Tout est bon, on dirait :v)

[ArchiTux]

Merci Moviuro.

Donc la, tout le traffic qui transite entre mon routeur et ma passrelle sur mon LAN est chiffré ?
Que ce soit du http ou n'importe quel autre protocole ?

[Moviuro]

Donc la, tout le traffic qui transite entre mon routeur et ma passrelle sur mon LAN est chiffré ?

Je vais réécrire ce que je te dis sur IRC : le chiffrement est indépendant de la notion de VPN. Si dans la configuration de openvpn il y a une ligne qui dit "chiffre le tunnel", alors oui. Sinon, non. Et ça, on peut pas le deviner puisqu'on n'a pas accès à la configuration.

[benjarobin]

Tout pas nécessairement, ce qui est exclut :
* Les requêtes ARP / le broadcast / discovery
* Toutes requêtes / trafic vers une IP du réseau locale
* Les requêtes DNS si le serveur DNS est sur le réseau locale (souvent le routeur)

[ArchiTux]

Bah va falloir que je me fasse un ptit MITM pour voir ce qu'il en est ...

[Moviuro]

Il nous faut le contenu du /etc/resolv.conf

[ArchiTux]

Code : Tout sélectionner

# Generated by resolvconf
nameserver 8.8.8.8
nameserver 8.8.4.4
nameserver 212.27.40.241
nameserver 212.27.40.240

freedom utilise les dns de google par défaut

[Moviuro]

Et donc là, en toute logique, tu déduis...?