Co může a co nemůže obrazovka iftop prokázat o VPN

Obrazovka iftop odpovídá na jednu otázku najednou: které dvojice hostitelů si vyměňují bajty přes rozhraní, na které jste ho namířili. Neodpovídá na to, zda každá aplikace dodržuje zásadu VPN, a prázdná obrazovka nedokazuje, že nic neuniklo. Právě v rozdílu mezi těmito dvěma tvrzeními se většina diskusí o testech úniku mýlí. Co displej skutečně znamená, určují tři podmínky a všechny tři jsou vidět v příkazovém řádku, který jste použili.

Tři podmínky určují, co obrazovka znamená

Podmínky jsou: které rozhraní se zobrazuje, co skrývá filtr a nástroj sám, a co test skutečně prověřil. Odpovězte na ně v tomto pořadí, protože chyba v první činí další dvě bezvýznamnými.

Podmínka rozhraní je důležitá, protože pohled na tunel a fyzický pohled ukazují různé vrstvy téhož provozu. Pohled na rozhraní tunelu ukazuje toky uvnitř tunelu; pohled na fyzické rozhraní ukazuje nosič tunelu a k tomu veškerý legitimní nastavovací, řídicí nebo místní provoz, který toto spojení sdílí. Ani jeden pohled není špatný a ani jeden není celý obraz. Pojmenovat, na který se díváte, je rozdíl mezi důkazem a dojmem.

Podmínka první: které rozhraní se zobrazuje

iftop přebírá rozhraní výslovně pomocí -i a její manuál popisuje chování, když to neučiníte: vybere jedno, což může být zařízení, které vypadá jako vnější, nikoli tunel. Tato výchozí volba je rozumná pro nástroj šířky pásma a špatná pro test úniku.

Vždy rozhraní zadejte a zapište je vedle výsledku. Snímek obrazovky bez názvu rozhraní nelze reprodukovat.

Podmínka druhá: co skrývá filtr a nástroj

iftop přijímá výraz filtru a tok, který filtr vyloučí, je neviditelný konstrukcí, nikoli nepřítomností. Nástroj také ve výchozím nastavení provádí vyhledávání názvů hostitelů kvůli označení adres a tato vyhledávání vytvářejí vlastní provoz DNS, tedy provoz, který jste nechtěli pozorovat. -n vyhledávání vypne a učiní displej číselným; skrýt řádky DNS dodatečně není totéž jako dotazy nevytvářet.

Tento rozdíl stojí za to říci přímo, protože se objevuje i v jiných nástrojích: potlačení zobrazení nějaké činnosti není totéž jako její zabránění. Pokud jsou vyhledávání DNS součástí toho, co testujete, spusťte test s vypnutým vyhledáváním, aby pozorování nebylo kontaminováno pozorovatelem.

Podmínka třetí: co test skutečně prověřil

Jeden požadavek z jedné aplikace, na jedno cílové místo, v jedné rodině adres dokazuje něco o tomto požadavku. Nedokazuje nic o jiné aplikaci, jiném cíli ani o druhé rodině adres, a IPv6 je rodina, na kterou se právě při tomto druhu kontroly nejčastěji zapomíná.

Proto definujte požadavek dříve, než začnete: neškodné cílové místo, z aplikace, na které vám záleží, v rodině, na které vám záleží, s tunelem ve schváleném stavu. Poté zkontrolujte přijímající stranu nebo vlastní diagnostiku klienta, protože vzdálený konec ví, co dorazilo, způsobem, který místní obrazovka nedokáže. Poté vyzkoušejte schválený případ nedostupného tunelu a podívejte se, zda se provoz zastaví, protože o toto chování požadavku obvykle skutečně jde.

DNS si zaslouží vlastní pozorování. Příjemce dotazu a trasa, kterou dotaz prošel, jsou dvě skutečnosti a obrazovka šířky pásma neukazuje ani jednu.

Použití iftop jako podpůrného důkazu

Teprve tehdy iftop přidává hodnotu, a přidává ji jako potvrzení. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" ukazuje, zda se očekávaný tok objevuje na očekávaném rozhraní, s počty bajtů, které činí tvrzení o nečinnosti ověřitelným.

Porovnejte to s ss -tnp pro pohled na úrovni socketu a ip route get pro trasu, kterou by zvolilo jádro, a máte tři pozorování jednoho požadavku místo jednoho dojmu o stroji. Manuál iftopu dokumentuje volbu rozhraní, syntaxi filtru a chování vyhledávání, což jsou tři věci, na nichž test úniku závisí. Obrazovka šířky pásma lokalizuje aktivitu; trasa, výjimky a chování při selhání rozhodují, zda tato aktivita splňuje požadavek.