Што экран iftop можа і не можа даказаць пра VPN

Экран iftop адказвае на адно пытанне за раз: якія пары хастоў абменьваюцца байтамі праз інтэрфейс, на які вы яго накіравалі. Ён не адказвае, ці ўсе праграмы прытрымліваюцца палітыкі VPN, і пусты экран не даказвае, што нічога не ўцякло. Менавіта ў прамежку паміж гэтымі дзвюма сцвярджэннямі большасць спрэчак пра тэсты ўцечкі робіць памылкі. Тры ўмовы вызначаюць, што насамрэч азначае дысплей, і ўсе тры бачныя ў камандным радку, які вы выкарысталі.

Тры ўмовы вызначаюць, што азначае экран

Гэтыя ўмовы — які інтэрфейс паказваецца, што хаваюць фільтр і сам інструмент, і што тэст насамрэч праверыў. Адкажыце на іх у гэтым парадку, бо памылка ў першай робіць дзве астатнія бессэнсоўнымі.

Умова інтэрфейса важная, бо від тунеля і фізічны від паказваюць розныя ўзроўні аднаго і таго ж трафіку. Погляд на інтэрфейс тунеля паказвае патоку ўнутры тунеля; погляд на фізічны інтэрфейс паказвае носьбіт тунеля, а таксама любы законны трафік наладкі, кіравання або лакальны трафік, які дзеліць гэтае злучэнне. Ні адзін від не памылковы, і ні адзін не з’яўляецца поўнай карцінай. Назваць, на які від вы глядзіце, — гэта розніца паміж доказам і ўражаннем.

Умова першая: які інтэрфейс паказваецца

iftop прымае інтэрфейс яўна праз -i, і яго дакументацыя апісвае паводзіны, калі вы гэтага не робіце: ён выбірае адзін, які можа апынуцца прыладай, што выглядае знешняй, а не тунелем. Такі выбар па змаўчанні разумны для інструмента прапускной здольнасці і дрэнны для тэсту ўцечкі.

Заўсёды перадавайце інтэрфейс і запісвайце яго побач з вынікам. Здымак экрана без назвы інтэрфейса немагчыма аднавіць.

Умова другая: што хаваюць фільтр і інструмент

iftop прымае выраз фільтра, і паток, які фільтр выключае, нябачны паводле пабудовы, а не паводле адсутнасці. Інструмент таксама па змаўчанні выконвае пошук імён хастоў, каб пазначыць адрасы, і гэтыя пошукі ствараюць уласны трафік DNS, гэта значыць трафік, які вы не збіраліся назіраць. -n адключае пошукі і робіць дысплей лікавым; хаваць радкі DNS пасля гэтага — не тое самае, што не ствараць запыты.

Гэтае адрозненне варта сфармуляваць проста, бо яно сустракаецца і ў іншых інструментах: падаўленне паказу дзейнасці — не тое самае, што яе прадухіленне. Калі пошукі DNS — частка таго, што вы тэстуеце, правядзіце тэст з адключанымі пошукамі, каб назіранне не было забруджана назіральнікам.

Умова трэцяя: што тэст насамрэч праверыў

Адзін запыт ад адной праграмы да аднаго прызначэння ў адной сям’і адрасоў даказвае нешта пра гэты запыт. Ён нічога не даказвае пра іншую праграму, іншае прызначэнне або іншую сям’ю адрасоў, а IPv6 — гэта сям’я, якую найчасцей забываюць менавіта ў такіх праверках.

Таму вызначце запыт да пачатку: бясшкоднае прызначэнне, з праграмы, якая вас цікавіць, у сям’і, якая вас цікавіць, з тунелем у зацверджаным стане. Затым праверце бок атрымання або ўласную дыягностыку кліента, бо далёкі бок ведае, што прыйшло, так, як лакальны экран не можа. Затым праверце зацверджаны выпадак недаступнага тунеля і паглядзіце, ці спыняецца трафік, бо менавіта гэтыя паводзіны звычайна і мае на ўвазе патрабаванне.

DNS заслугоўвае асобнага назірання. Атрымальнік запыту і маршрут, які запыт прайшоў, — дзве факты, і экран прапускной здольнасці не паказвае ніводнага з іх.

Выкарыстанне iftop як падмацоўвага доказа

Толькі тады iftop дадае каштоўнасць, і дадае яе як пацверджанне. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" паказвае, ці з’яўляецца чаканы паток на чаканым інтэрфейсе, з падлікам байтаў, які робіць сцвярджэнне пра прастой правяральным.

Параўнайце гэта з ss -tnp для выгляду на ўзроўні соката і ip route get для маршруту, які абярэ ядро, і вы атрымаеце тры назіранні аднаго запыту замест аднаго ўражання пра машыну. Дакументацыя iftop апісвае выбар інтэрфейса, сінтаксіс фільтра і паводзіны пошуку — менавіта тры рэчы, ад якіх залежыць тэст уцечкі. Экран прапускной здольнасці вызначае месца дзейнасці; маршрут, выключэнні і паводзіны пры адмове вызначаюць, ці адпавядае гэтая дзейнасць патрабаванню.