eth0 üzərində trafik VPN tunelinin sızdırdığını göstərmir

Tunel işləyərkən eth0 üzərində ictimai ünvanlar görmək nəyinsə qaçdığına dair sübut kimi hiss olunur. Adətən əksi olur: tunelin öz paketləri serverə çatmaq üçün o adapterdən keçməlidir və onlar adi UDP və ya TCP axınları kimi görünür. Daxili paket yalnız tunel cihazında görünür. İkisini ayırd etmək qabığı oxumaq məsələsidir, bayt sayına güvənmək deyil.

Hər tunel paketi yenə də naqildən keçir

Tunel interfeysdir, naqil deyil. Müştəri daxili paketi götürür, onu bükür və nəticəni profildəki server ünvanına və portuna göndərir. Fiziki adapterdə büküyü görürsünüz; tunel cihazında bükülən şeyi görürsünüz.

UDP rejimində xarici axın hər istiqamətdə bir ünvan və port cütüdür, buna görə sağlam tunel eth0 üzərində demək olar ki, darıxdırıcı görünür. İlk axtarılmalı şey məhz o tək cütdür.

Bir dəfədə bir interfeys tutun

Sayları müqayisə etmək istəyəndə bir dəfədə bir interfeys tutun. any psevdo-interfeysi bütün cihazları eyni anda toplayır, ona görə yönləndirilən paket girişdə və çıxışda, lokal yaradılan paket isə iki fərqli formada iki dəfə görünür. Bərabər paket sayları ilə bərabər olmayan bayt sayları normaldır, çünki bükü daşıdığından böyükdür. ARP, DHCP və IPv6 marşrutlaşdırıcı elanları lokal bağlantıya aiddir və tətbiqiniz haqqında heç nə demir.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Ünvanı və portu profilin öz dəyərləri ilə əvəz edin. Əgər o axın sabitdirsə, tunel nəyisə daşıyır.

Nüvədən hansı cihazı seçdiyini soruşun

Nüvədən hansı cihazı seçəcəyini soruşun, sonra naqildə təsdiqləyin. Marşrut axtarışı qərardır, tutma isə qərarın yerinə yetirildiyinin sübutudur. Onlar fərqli suallara cavab verir və siz hər ikisini istəyirsiniz.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Bölünmüş nəticə tez-tez rast gəlinən haldır: IPv4 tunelə gedir, IPv6 isə fiziki adapterə gedir, çünki profil yalnız IPv4 marşrutları göndərib. Bu real sızmadır və yalnız IPv4 üçün tutmada görünmür. IPv6 üçün filtr qoyun və server olmayan, link-local olmayan ünvanlara baxın.

Hər iki axtarışı qoşulmadan əvvəl və sonra işə salın ki, müştərinin həqiqətən nəyi dəyişdiyini görəsiniz. İki işə salma arasındakı fərq müştərinin real təsiridir.

Tutma həqiqətən sızma olduqda

Bəzən tutma doğru deyir. Bir prefiksi tunelin ətrafından göndərən daha dar marşrut, müştəriyə istisna edilməsi deyilən subnet, ya da tunel siyasətindən əvvəl işləyən firewall qəbulu trafiki açıq şəkildə naqilə çıxara bilər. Proses qrupuna uyğun gələn qayda da qəsdən edilmiş istisna ola bilər. Onu qüsur adlandırmazdan əvvəl interfeysini və təyinat əhatəsini oxuyun.

Marşrutu və ya istisnanı düzəldin, firewall-u deyil. Sonra təzə bağlantıdan yenidən tutun və IPv4 ilə IPv6-nı ayrı-ayrılıqda yoxlayın, çünki birinin düzəldilməsi digəri haqqında heç nə demir. tcpdump təlimatı yuxarıda istifadə olunan interfeys və istiqamət seçicilərini əhatə edir.