---
# System prepended metadata

title: CSB-3 - №5
tags: [HackerU-CIT]

---

###### tags: `HackerU-CIT`
# CSB-3 - №5
CSB-3._12.07.2021_Cyber Infrastructure Threats
[Оглавление курса](https://hackmd.io/Yp9g_F6sTE-0ED_uwyM2tw#CSB-3_12072021_Cyber-Infrastructure-Threats)
*  [Занятие 5. OVPN L2, VLANs на PfSense, bridge-utils, netdiscover](https://hackmd.io/Wk2cWwvQTWGx7SnkR_7DZA?both)
Среда, 21 июля 2021 г., с 19:00 до 22:00 (МСК)
Схема сети VLANs
![Схема сети](https://i.imgur.com/84Y3Bld.png)
** пример команд**
Switch>ena
Switch#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Switch(config)#interface e0/0
Switch(config-if)#des PfSense
Switch(config-if)#swi mode trunk 
Command rejected: An interface whose trunk encapsulation is "Auto" can not be configured to "trunk" mode.
Switch(config-if)#swi tru enca dot1q 
Switch(config-if)#swi mode trunk
*Jul 30 13:26:10.919: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to down
*Jul 30 13:26:13.927: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to up
Switch(config-if)#do sho run
Привели свитч к виду схемы:
description "To Pfsense"
 switchport trunk encapsulation dot1q
 switchport mode trunk
!
interface Ethernet0/1
 description "To Win7"
 switchport access vlan 10
 switchport mode access
!
interface Ethernet0/2
 description "To Linux"
 switchport trunk encapsulation dot1q
 switchport mode trunk
!
interface Ethernet0/3
 description "To Win10"
 switchport access vlan 20
 switchport mode access
!
interface Ethernet1/0
 description "To KALI-LAN"
 switchport mode access 
**VLANs  на PfSense:**
Заходим в браузере https://192.168.100.254
admin
eve@123(или pfsense)
Interface > Assignements > VLANs
add:
Parent interface: vtnet1-lan
VLAN tag: 10
Description: VLAN-10
save
add:
Parent interface: vtnet1-lan
VLAN tag: 20
Description: VLAN-20
save
![](https://i.imgur.com/Q1uHYCB.png)
Interface > Assignements > Interface Assignements
add
add
save
![](https://i.imgur.com/e5errkh.png)
Добавим подсети на вланы:
Interface > OPT1
![](https://i.imgur.com/ZPgxfVy.png
Description: VLAN_10
IPv4: static IPv4
IPv4 Address 192.168.10.254/24
save
Apply Changes
**Enable: +(Важен именно такой порядок)** 
save
Apply Changes
Повторить для VLAN_20
Status > Dashboard
![](https://i.imgur.com/OcB17uK.png)
Открыть доступ до PfSense с Vlan 10/20
Firewall > Riles > LAN
Copy
![](https://i.imgur.com/TtDJI3n.png)
Меняем параметры, сохраняем
Interface:VLAN_10
Source: VLAN_10 net
save
Apply Changes
![](https://i.imgur.com/gZ2aN5m.png)
Повторить для VLAN_20
#### Настройка Trunks for OVPN-CLIENT Inside
OVPN-CLIENT
127.0.0.1 OVPN-CLIENT
`nano /etc/hostname` > OVPN-CLIENT
`reboot`
`nano /etc/network/interfaces` > :
auto ens3.10
iface ens3.10 inet static
    address 192.168.10.20/24
auto ens3.20
iface ens3.20 inet static
    address 192.168.20.20/24
`service networking restart`
##### Добавить интерфейс в свич CISCO EVE-NG
![](https://i.imgur.com/z1sERDH.png)

##### Параметры включения openvpn сервера
`nano /etc/default/openvpn`
Разкоментировать AUTOSTART="all"
Перемещаем конфигурационные файлы для автостарта в каталог по умолчанию:
`pwd` > /root
`ls -l`
insider.conf
`mv insider.conf /etc/openvpn/`
reboot (в EVE-NG каждый раз при изменении процессов)
`проверяем состояние openvpn`
systemctl status openvpn
`ip -c a`
tun0 поднят!
#### Конфигурирование VPN для L2
openvpn server:
`nano /etc/openvpn/server.conf`
меняем #dev tun на dev tap на сервере
`service openvpn restart`
еняем #dev tun на dev tap на клиентах 
`service openvpn restart`
reboot (в EVE-NG каждый раз при изменении процессов)
`tail -f /var/log/syslog` (можно по смотреть старт процесса моментально)
ТУнель Л2 построен
![](https://i.imgur.com/iE0inSA.png)
Видим ARP пакеты/трафик
![](https://i.imgur.com/2djI8qb.png)
#### Устанавливаем bridge-utils на OVPN Client 
На OVPN Client устанавливаем приложение для создания моста между ens3 и tap0
`apt install bridge-utils`
`nano /etc/network/interfaces`
Коментируем ранее настроеные интерфейсы
`#auto ens3.10`
`#iface ens3.10 inet static`
`#    address 192.168.10.20/24`
    
`#auto ens3.20`
`#iface ens3.20 inet static`
`#    address 192.168.20.20/24` 
настраиваем новые + бридж
`auto ens3`
`iface ens3 inet manual`

`auto tap0`
`iface tap0 inet manual`

`auto br0`
`iface br0 inet dhcp`
`        bridge_ports ens3 tap0`
![](https://i.imgur.com/R7TGOtd.png)
service networking restart
`ip -c a`
![](https://i.imgur.com/sfsPjWM.png)
Добавим адрес для tap0
`ip address add 192.168.100.55/24 dev tap0`
`ip -c a`
Пинг до шлюза PfSense 192.168.100.254 не доходит 
![](https://i.imgur.com/ZEd6uj7.png)
Проверим маршруты и удалим лишний
`ip route`
`ip route del 192.168.100.0/24`
![](https://i.imgur.com/j9qcVMA.png)
Пинг проходит имеем доступ до внутренней сети
![](https://i.imgur.com/Bgh37IN.png)
#### Настройка сети EVE-NG для жоступа в интернет 
`nano /etc/network/interfaces` добавляем адрес
![](https://i.imgur.com/30n93Cz.png)
/etc/init.d/networking restart
`ip -c a|less`
![](https://i.imgur.com/W7j64Oj.png)
**Проверяем forwording**
`nano /etc/sysctl.conf` > net.ipv4.ip_forward=1
`sysctl -p`
**перенаправляем трафик **:
`iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE`
`iptables -t nat -nvL`
![](https://i.imgur.com/QZ53bYV.png)
пинг в интернет из EVE-NG 
Проверяем /etc/resolv.conf
В EVE-NG добавляем сеть с номером настроейнной сети
добавляем адрес руками на хост подключенный к сети (или поднимаем DHCP в данной сети)
#### Настрйока Кали для сканирования сети
`nano /etc/network/interfaces`
auto ens0
iface eth0 inet dhcp

auto tap0
iface tap0 inet dhcp

auto tap0.10
iface tap0.10 inet manual

auto tap0.20
iface tap0.20 inet manual
![](https://i.imgur.com/7AvBOPc.png)
`Service networking restart`
`ip -c a`
**`netdiscover -i tap0.10`**
не нашёл, добавим адрес в подсети и повторим поиск
![](https://i.imgur.com/cyRcIpx.png)
ip addr add 192.168.10.53/24 dev tap0.10
Перезагрузим  Openvpn inside так как нам мешают сабинтерфейсы tap0.10 и tap0.20
##### Настрйока openvpn-client inside для сканирования сети
- [x] Что бы правильно заработал мост, необходимо что бы стартавала сеть, запустился opnenvpn и рестартанула сеть для добавления tap0 в мост, нужен скрипт или руками:

service networking restart
ip -c a
Необходимо так же подать транковый порт на openvpn-client inside
Настройка свича:
![](https://i.imgur.com/m7DMvs8.png)
`enable`
`conf t`
`switchport trunk encapsulation` `dot1q`
`switchport mode trunk`
связь поднята схема построена:
![](https://i.imgur.com/v63k0wH.png)

##### [Как запустить скрипт после успешного подключения OpenVPN?](https://qastack.ru/ubuntu/28733/how-do-i-run-a-script-after-openvpn-has-connected-successfully)
два способа:
* [рестарт сети](https://qastack.ru/ubuntu/28733/how-do-i-run-a-script-after-openvpn-has-connected-successfully) 
* [brctl](http://xgu.ru/wiki/man:brctl)

Напишим скрипт для первого способа:
Обращение к скрипту
`nano /etc/openvpn/inside.conf` > 
script-security 2
up /etc/openvpn/up.sh
**Узнаем где находится systemctl**
`where systemctl`
`nano /etc/openvpn/up.sh` > 
#!/bin/sh
/usr/bin/systemctl restart networking.service
Парава на выполнение
`chmod +x /etc/openvpn/up.sh`
запустим скрипт и перезапустим openvpn, что бы проверить что всё парвильно радотает и ни чего не поменялось
![](https://i.imgur.com/eAol4aN.png)
Если отключить скрипт то tap0 не попадает в br0 мост
![](https://i.imgur.com/qiFBgCV.png)
Вернём скрипт перезагрузим систему и убедимся в работе схемы.
Вернёмся на КАЛИ вне сети
Перезагрузим и нам приходиться в ручную рестартовать openvpn и рестартовать сеть 
`service openvpn restart `
`service networking restart`
![](https://i.imgur.com/veoeIfH.png)
получаем поднятые tap интерфейсы, дописываем ip адрес и видим доступнось сети inside
`ip addr add 192.168.10.55/24 dev tap0.10`
![](https://i.imgur.com/LNo0XIc.png)
nmap 192.168.10.0./24 -v
после скана проверяем форвординг и можно спуфить
`arpspoof -i tap0.10 -t 192.168.10.10 -r 192.168.10.254`
запускаем Wireshark выбираем интересуюший интерфейс tap0.10 и фильтруем по ip адресу `ip.add==192.168.10.10`
Трафик не идёт, проверяем маршруты по умолчанию на Кали
ip route
ip route add default via 192.168.10.254
![](https://i.imgur.com/vPHyJV3.png)
можем наблюдать пакеты перенаправленые с Win7 через L2 VPN на КАЛИ, отправленные обратно и уходящие в интернет.





