Nid yw traffig ar eth0 yn golygu bod y twnnel VPN yn gollwng

Mae gweld cyfeiriadau cyhoeddus ar eth0 tra mae'r twnnel i fyny yn teimlo fel prawf bod rhywbeth wedi dianc. Fel arfer y gwrthwyneb sy'n wir: rhaid i becynnau'r twnnel ei hun groesi'r addasydd hwnnw i gyrraedd y gweinydd, ac maent yn edrych fel llifau UDP neu TCP cyffredin. Dim ond ar ddyfais y twnnel y mae'r pecyn mewnol yn ymddangos. Mater o ddarllen yr amlen yw gwahaniaethu'r ddau, nid o ymddiried mewn cyfrif beitiau.

Mae pob pecyn twnnel yn dal i groesi'r wifren

Rhyngwyneb yw twnnel, nid gwifren. Mae'r cleient yn cymryd pecyn mewnol, yn ei lapio, ac yn anfon y canlyniad i gyfeiriad a phorth y gweinydd o'r proffil. Ar yr addasydd ffisegol gwelwch y lapw; ar ddyfais y twnnel gwelwch yr hyn a lapwyd.

Yn y modd UDP un pâr cyfeiriad a phorth ym mhob cyfeiriad yw'r llif allanol, a dyna pam mae twnnel iach yn edrych bron yn ddiflas ar eth0. Y pâr sengl hwnnw yw'r peth cyntaf i chwilio amdano.

Cipiwch un rhyngwyneb ar y tro

Cipiwch un rhyngwyneb ar y tro pan fyddwch am gymharu cyfrifon. Mae'r rhyngwyneb ffug any yn casglu pob dyfais ar unwaith, felly mae pecyn a anfonwyd ymlaen yn ymddangos wrth fynd i mewn ac wrth fynd allan, ac mae un a gynhyrchwyd yn lleol yn ymddangos ddwywaith mewn dau ffurf wahanol. Mae cyfrifon pecynnau cyfartal gyda chyfrifon beitiau anghyfartal yn normal, oherwydd mae'r lapw yn fwy na'r hyn y mae'n ei gario. Mae ARP, DHCP a hysbysiadau llwybrydd IPv6 yn perthyn i'r ddolen leol ac yn dweud dim am eich cymhwysiad.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Amnewidiwch y cyfeiriad a'r porth â gwerthoedd y proffil ei hun. Os yw'r llif hwnnw'n gyson, mae'r twnnel yn cario rhywbeth.

Gofynnwch i'r cnewyllyn pa ddyfais y mae'n ei dewis

Gofynnwch i'r cnewyllyn pa ddyfais y byddai'n ei dewis, yna cadarnhewch ar y wifren. Y chwiliad llwybr yw'r penderfyniad, a'r cipiad yw'r dystiolaeth bod y penderfyniad wedi'i ddilyn. Maent yn ateb cwestiynau gwahanol ac rydych am y ddau.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Canlyniad hollt yw'r darganfyddiad cyffredin: mae IPv4 yn mynd i'r twnnel ac mae IPv6 yn mynd i'r addasydd ffisegol oherwydd mai dim ond llwybrau IPv4 a wthiwyd gan y proffil. Mae hynny'n golled go iawn, ac mae'n anweledig mewn cipiad IPv4 yn unig. Hidlwch IPv6 a gwyliwch am gyfeiriadau nad ydynt yn y gweinydd ac nad ydynt yn link-local.

Rhedwch y ddau chwiliad cyn ac ar ôl cysylltu, fel y gallwch weld beth a newidiodd y cleient mewn gwirionedd. Y gwahaniaeth rhwng y ddau rediad yw effaith go iawn y cleient.

Pan fo'r cipiad mewn gwirionedd yn golled

Weithiau mae'r cipiad yn dweud y gwir. Gall llwybr tynnach sy'n anfon un rhagddodiad o amgylch y twnnel, isrwyd y dywedwyd wrth y cleient ei heithrio, neu dderbyniad wal dân sy'n rhedeg cyn polisi'r twnnel roi traffig ar y wifren yn agored. Gall rheol sy'n cyfateb i grŵp proses fod yn eithriad bwriadol hefyd. Darllenwch ei rhyngwyneb a'i chwmpas cyrchfan cyn ei alw'n fai.

Trwsiwch y llwybr neu'r eithriad, nid y wal dân. Yna cipiwch eto o gysylltiad newydd a gwirio IPv4 ac IPv6 ar wahân, gan nad yw trwsio'r naill yn dweud dim am y llall. Mae llawlyfr tcpdump yn cwmpasu'r dewiswyr rhyngwyneb a chyfeiriad a ddefnyddiwyd uchod.