Hvad en iftop-skærm kan og ikke kan bevise om en VPN

En iftop-skærm besvarer ét spørgsmål ad gangen: hvilke værtspar der udveksler bytes gennem den grænseflade, du pegede den mod. Den besvarer ikke, om hver applikation følger en VPN-politik, og en tom skærm beviser ikke, at intet er lækket. Netop i forskellen mellem disse to udsagn går de fleste lækketest-diskussioner galt. Tre betingelser afgør, hvad visningen egentlig betyder, og alle tre er synlige i den kommandolinje, du brugte.

Tre betingelser afgør, hvad skærmen betyder

Betingelserne er, hvilken grænseflade der vises, hvad filteret og værktøjet selv skjuler, og hvad testen faktisk gennemførte. Besvar dem i den rækkefølge, fordi en fejl i den første gør de to andre meningsløse.

Grænsefladebetingelsen er vigtig, fordi en tunnelvisning og en fysisk visning viser forskellige lag af den samme trafik. At se på tunnelgrænsefladen viser strømmene inde i tunnelen; at se på den fysiske grænseflade viser tunnelens bærer plus enhver legitim opsætnings-, kontrol- eller lokaltrafik, der deler det link. Ingen af visningerne er forkert, og ingen af dem er hele billedet. At navngive, hvilken du ser på, er forskellen mellem bevis og indtryk.

Betingelse et: hvilken grænseflade der vises

iftop tager grænsefladen eksplicit med -i, og dens manual beskriver adfærden, når du ikke gør det: den vælger en, som kan være den enhed, der ser ekstern ud, i stedet for tunnelen. Den standard er et rimeligt valg til et båndbreddeværktøj og et dårligt til en lækketest.

Angiv altid grænsefladen, og skriv den ned ved siden af resultatet. Et skærmbillede uden grænsefladenavnet kan ikke genskabes.

Betingelse to: hvad filteret og værktøjet skjuler

iftop accepterer et filterudtryk, og en strøm, som filteret udelukker, er usynlig i kraft af konstruktionen snarere end af fravær. Værktøjet slår også som standard værtsnavne op for at mærke adresser, og disse opslag genererer deres egen DNS-trafik, altså trafik, du ikke havde til hensigt at observere. -n slår opslagene fra og gør visningen numerisk; at skjule DNS-rækkerne bagefter er ikke det samme som ikke at generere forespørgslerne.

Den forskel er værd at sige rent ud, fordi den også optræder i andre værktøjer: at undertrykke visningen af en aktivitet er ikke det samme som at forhindre den. Hvis DNS-opslagene er en del af det, du tester, så kør testen med opslag slået fra, så observationen ikke forurenes af observatøren.

Betingelse tre: hvad testen faktisk gennemførte

En enkelt anmodning fra én applikation til én destination i én adressefamilie beviser noget om den anmodning. Den beviser intet om en anden applikation, en anden destination eller den anden adressefamilie, og IPv6 er den familie, der oftest glemmes netop i denne slags kontrol.

Definér derfor anmodningen, før du begynder: en uskadelig destination, fra den applikation, du bekymrer dig om, i den familie, du bekymrer dig om, med tunnelen i dens godkendte tilstand. Kontrollér derefter modtagersiden eller klientens egne diagnostik, fordi den fjerne ende ved, hvad der ankom, på en måde, den lokale skærm ikke kan. Gennemfør derefter det godkendte tilfælde med en utilgængelig tunnel, og se, om trafikken stopper, fordi det er den adfærd, kravet normalt egentlig handler om.

DNS fortjener sin egen observation. Modtageren af forespørgslen og den rute, forespørgslen tog, er to fakta, og en båndbreddeskærm viser ingen af dem.

Brug af iftop som understøttende bevis

Først da tilføjer iftop værdi, og det gør det som bekræftelse. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" viser, om den forventede strøm optræder på den forventede grænseflade, med byttetællinger, der gør en påstand om lediggang verificerbar.

Sammenlign det med ss -tnp for visningen på sokkel-niveau og ip route get for den rute, kernen ville vælge, og du har tre observationer af én anmodning i stedet for ét indtryk af en maskine. iftop-manualen dokumenterer grænsefladevalget, filtersyntaksen og opslagsadfærden, som er de tre ting, en lækketest afhænger af. En båndbreddeskærm lokaliserer aktivitet; ruten, undtagelserne og fejladfærden afgør, om den aktivitet opfylder kravet.