حركة المرور على eth0 لا تعني أن نفق VPN يسرب

رؤية عناوين عامة على eth0 بينما النفق قائم تبدو كدليل على أن شيئًا ما قد تسرب. عادةً يكون العكس: على حزم النفق نفسها أن تعبر ذلك المحول للوصول إلى الخادم، وهي تبدو كتدفقات UDP أو TCP عادية. الحزمة الداخلية لا تظهر إلا على جهاز النفق. والتمييز بين الاثنين مسألة قراءة الغلاف، لا الثقة بعدد البايتات.

كل حزمة نفق لا تزال تعبر السلك

النفق واجهة وليس سلكًا. يأخذ العميل حزمة داخلية ويغلفها ويرسل النتيجة إلى عنوان الخادم ومنفذه من الملف التعريفي. على المحول الفيزيائي ترى الغلاف، وعلى جهاز النفق ترى ما تم تغليفه.

في وضع UDP يكون التدفق الخارجي زوجًا واحدًا من العنوان والمنفذ في كل اتجاه، ولهذا يبدو النفق السليم مملًا تقريبًا على eth0. ذلك الزوج الواحد هو أول ما يجب البحث عنه.

التقط واجهة واحدة في كل مرة

التقط واجهة واحدة في كل مرة عندما تنوي مقارنة الأعداد. الواجهة الزائفة any تجمع كل جهاز دفعة واحدة، لذا تظهر الحزمة المُمرَّرة عند الدخول والخروج وتظهر الحزمة المولدة محليًا مرتين في شكلين مختلفين. تساوي أعداد الحزم مع اختلاف أعداد البايتات أمر طبيعي، لأن الغلاف أكبر مما يحمله. أما ARP وDHCP وإعلانات موجّه IPv6 فتنتمي إلى الرابط المحلي ولا تقول شيئًا عن تطبيقك.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

استبدل العنوان والمنفذ بقيم الملف التعريفي نفسها. إذا كان ذلك التدفق ثابتًا فالنفق يحمل شيئًا.

اسأل النواة عن الجهاز الذي تختاره

اسأل النواة عن الجهاز الذي ستختاره، ثم أكّد ذلك على السلك. البحث في جدول التوجيه هو القرار، والالتقاط هو الدليل على أن القرار قد اُتبع. إنهما يجيبان عن سؤالين مختلفين وأنت تريد الاثنين.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

النتيجة المنقسمة هي الاكتشاف الشائع: يذهب IPv4 إلى النفق ويذهب IPv6 إلى المحول الفيزيائي لأن الملف التعريفي دفع مسارات IPv4 فقط. هذا تسرب حقيقي، وهو غير مرئي في التقاط يقتصر على IPv4. رشّح IPv6 وراقب العناوين التي ليست الخادم وليست محلية الرابط.

شغّل البحثين قبل الاتصال وبعده، لترى ما غيّره العميل فعليًا. الفرق بين التشغيلين هو الأثر الحقيقي للعميل.

عندما يكون الالتقاط تسربًا حقيقيًا

أحيانًا يقول الالتقاط الحقيقة. مسار أضيق يرسل بادئة واحدة خارج النفق، أو شبكة فرعية أُمر العميل باستثنائها، أو قاعدة قبول في الجدار الناري تعمل قبل سياسة النفق، كلها قد تضع الحركة على السلك مكشوفة. والقاعدة التي تطابق مجموعة عمليات قد تكون استثناءً متعمدًا أيضًا. اقرأ واجهتها ونطاق وجهتها قبل أن تعتبره عيبًا.

أصلح المسار أو الاستثناء، لا الجدار الناري. ثم التقط مرة أخرى من اتصال جديد وافحص IPv4 وIPv6 كلًا على حدة، لأن إصلاح أحدهما لا يقول شيئًا عن الآخر. أما دليل tcpdump فيغطي محدّدات الواجهة والاتجاه المستخدمة أعلاه.