Što ekran iftop može, a što ne može dokazati o VPN-u

Ekran iftop odgovara na jedno pitanje odjednom: koji parovi hostova razmjenjuju bajtove kroz sučelje na koje ste ga usmjerili. Ne odgovara na pitanje slijedi li svaka aplikacija VPN pravilo, a prazan ekran ne dokazuje da ništa nije procurilo. Upravo u razlici između te dvije tvrdnje većina rasprava o testovima curenja pogriješi. Tri uvjeta određuju što prikaz zapravo znači i sva tri su vidljiva u naredbenom retku koji ste upotrijebili.

Tri uvjeta određuju što prikaz znači

Uvjeti su koje se sučelje prikazuje, što skrivaju filtar i sam alat te što je test doista provjerio. Odgovorite na njih tim redom, jer pogreška u prvome čini ostala dva besmislenima.

Uvjet sučelja važan je jer pogled na tunel i fizički pogled prikazuju različite slojeve istog prometa. Pogled na sučelje tunela pokazuje tokove unutar tunela; pogled na fizičko sučelje pokazuje nositelja tunela, plus sav legitimni promet postavljanja, upravljanja ili lokalni promet koji dijeli tu vezu. Nijedan pogled nije pogrešan i nijedan nije cijela slika. Imenovati onaj koji gledate razlika je između dokaza i dojma.

Uvjet prvi: koje se sučelje prikazuje

iftop preuzima sučelje izričito kroz -i, a njegov priručnik opisuje ponašanje kada to ne učinite: odabire jedno, koje može biti uređaj koji izgleda vanjski, a ne tunel. Taj je zadani izbor razuman za alat za propusnost i loš za test curenja.

Uvijek navedite sučelje i zapišite ga uz rezultat. Snimka zaslona bez naziva sučelja nije ponovljiva.

Uvjet drugi: što skrivaju filtar i alat

iftop prihvaća izraz filtra, a tok koji filtar isključi nevidljiv je po konstrukciji, a ne po odsutnosti. Alat također prema zadanome radi pretrage imena hostova za označavanje adresa, a te pretrage stvaraju vlastiti DNS promet, odnosno promet koji niste namjeravali promatrati. -n isključuje pretrage i čini prikaz brojčanim; sakriti DNS retke naknadno nije isto što i ne stvarati upite.

Tu razliku vrijedi izreći izravno, jer se pojavljuje i u drugim alatima: potiskivanje prikaza neke aktivnosti nije isto što i njezino sprječavanje. Ako su DNS pretrage dio onoga što testirate, pokrenite test s isključenim pretragama kako promatranje ne bi kontaminirao promatrač.

Uvjet treći: što je test doista provjerio

Jedan zahtjev iz jedne aplikacije, prema jednom odredištu, u jednoj obitelji adresa dokazuje nešto o tom zahtjevu. Ne dokazuje ništa o drugoj aplikaciji, drugom odredištu ni drugoj obitelji adresa, a IPv6 je obitelj koja se najčešće zaboravlja upravo u ovoj vrsti provjere.

Zato definirajte zahtjev prije početka: bezazleno odredište, iz aplikacije koja vas zanima, u obitelji koja vas zanima, s tunelom u odobrenom stanju. Zatim provjerite stranu primatelja ili klijentovu vlastitu dijagnostiku, jer udaljeni kraj zna što je stiglo na način na koji lokalni ekran ne može. Zatim provedite odobreni slučaj nedostupnog tunela i pogledajte zaustavlja li se promet, jer to je ponašanje na koje se zahtjev obično doista odnosi.

DNS zaslužuje vlastito promatranje. Primatelj upita i put kojim je upit išao dvije su činjenice, a ekran propusnosti ne pokazuje nijednu.

Korištenje iftopa kao popratnog dokaza

Tek tada iftop dodaje vrijednost, i to kao potvrdu. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" pokazuje pojavljuje li se očekivani tok na očekivanom sučelju, s brojanjem bajtova koje tvrdnju o mirovanju čini provjerljivom.

Usporedite to s ss -tnp za pogled na razini socketa i ip route get za put koji bi jezgra odabrala, i imate tri promatranja jednog zahtjeva umjesto jednog dojma o stroju. Priručnik za iftop dokumentira odabir sučelja, sintaksu filtra i ponašanje pretraga, što su tri stvari o kojima test curenja ovisi. Ekran propusnosti locira aktivnost; put, iznimke i ponašanje pri kvaru odlučuju zadovoljava li ta aktivnost zahtjev.