Η κίνηση στο eth0 δεν σημαίνει ότι η σήραγγα VPN διαρρέει

Το να βλέπετε δημόσιες διευθύνσεις στο eth0 ενώ η σήραγγα είναι ενεργή μοιάζει με απόδειξη ότι κάτι διέφυγε. Συνήθως συμβαίνει το αντίθετο: τα πακέτα της ίδιας της σήραγγας πρέπει να διασχίσουν αυτόν τον προσαρμογέα για να φτάσουν στον διακομιστή, και μοιάζουν με συνηθισμένες ροές UDP ή TCP. Το εσωτερικό πακέτο εμφανίζεται μόνο στη συσκευή της σήραγγας. Το να ξεχωρίσετε τα δύο είναι ζήτημα ανάγνωσης του φακέλου, όχι εμπιστοσύνης σε ένα μέτρημα bytes.

Κάθε πακέτο της σήραγγας εξακολουθεί να διασχίζει το καλώδιο

Η σήραγγα είναι διεπαφή, όχι καλώδιο. Ο πελάτης παίρνει ένα εσωτερικό πακέτο, το τυλίγει και στέλνει το αποτέλεσμα στη διεύθυνση και τη θύρα του διακομιστή από το προφίλ. Στον φυσικό προσαρμογέα βλέπετε το περιτύλιγμα· στη συσκευή της σήραγγας βλέπετε αυτό που τυλίχτηκε.

Σε λειτουργία UDP η εξωτερική ροή είναι ένα μόνο ζεύγος διεύθυνσης και θύρας προς κάθε κατεύθυνση, γι' αυτό μια υγιής σήραγγα φαίνεται σχεδόν βαρετή στο eth0. Αυτό το ένα ζεύγος είναι το πρώτο που πρέπει να αναζητήσετε.

Καταγράψτε μία διεπαφή τη φορά

Καταγράψτε μία διεπαφή τη φορά όταν σκοπεύετε να συγκρίνετε μετρήσεις. Η ψευδοδιεπαφή any συλλέγει όλες τις συσκευές ταυτόχρονα, οπότε ένα προωθημένο πακέτο εμφανίζεται στην είσοδο και στην έξοδο και ένα τοπικά παραγόμενο εμφανίζεται δύο φορές σε δύο διαφορετικές μορφές. Ίσα μετρήματα πακέτων με άνισα μετρήματα bytes είναι φυσιολογικά, επειδή το περιτύλιγμα είναι μεγαλύτερο από αυτό που μεταφέρει. Το ARP, το DHCP και οι ανακοινώσεις δρομολογητή IPv6 ανήκουν στον τοπικό σύνδεσμο και δεν λένε τίποτα για την εφαρμογή σας.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Αντικαταστήστε τη διεύθυνση και τη θύρα με τις τιμές του ίδιου του προφίλ. Αν αυτή η ροή είναι σταθερή, η σήραγγα μεταφέρει κάτι.

Ρωτήστε τον πυρήνα ποια συσκευή επιλέγει

Ρωτήστε τον πυρήνα ποια συσκευή θα διάλεγε και μετά επιβεβαιώστε το στο καλώδιο. Η αναζήτηση διαδρομής είναι η απόφαση, και η καταγραφή είναι η απόδειξη ότι η απόφαση ακολουθήθηκε. Απαντούν σε διαφορετικά ερωτήματα και θέλετε και τα δύο.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Ένα διχασμένο αποτέλεσμα είναι το συνηθισμένο εύρημα: το IPv4 πηγαίνει στη σήραγγα και το IPv6 πηγαίνει στον φυσικό προσαρμογέα, επειδή το προφίλ έσπρωξε μόνο διαδρομές IPv4. Αυτή είναι πραγματική διαρροή, και είναι αόρατη σε καταγραφή μόνο IPv4. Φιλτράρετε για IPv6 και προσέξτε διευθύνσεις που δεν είναι ο διακομιστής και δεν είναι link-local.

Εκτελέστε και τις δύο αναζητήσεις πριν και μετά τη σύνδεση, ώστε να δείτε τι άλλαξε πραγματικά ο πελάτης. Η διαφορά μεταξύ των δύο εκτελέσεων είναι το πραγματικό αποτέλεσμα του πελάτη.

Όταν η καταγραφή είναι πράγματι διαρροή

Μερικές φορές η καταγραφή λέει την αλήθεια. Μια στενότερη διαδρομή που στέλνει ένα πρόθεμα γύρω από τη σήραγγα, ένα υποδίκτυο που ο πελάτης έλαβε εντολή να εξαιρέσει, ή μια αποδοχή του τείχους προστασίας που εκτελείται πριν από την πολιτική της σήραγγας μπορούν όλα να βγάλουν κίνηση στο καλώδιο ακάλυπτη. Ένας κανόνας που ταιριάζει με μια ομάδα διεργασιών μπορεί επίσης να είναι σκόπιμη εξαίρεση. Διαβάστε τη διεπαφή και το εύρος προορισμού του πριν το χαρακτηρίσετε σφάλμα.

Διορθώστε τη διαδρομή ή την εξαίρεση, όχι το τείχος προστασίας. Στη συνέχεια καταγράψτε ξανά από νέα σύνδεση και ελέγξτε το IPv4 και το IPv6 χωριστά, αφού η διόρθωση του ενός δεν λέει τίποτα για το άλλο. Το εγχειρίδιο του tcpdump καλύπτει τους επιλογείς διεπαφής και κατεύθυνσης που χρησιμοποιήθηκαν παραπάνω.