Τι μπορεί και τι δεν μπορεί να αποδείξει μια οθόνη iftop για ένα VPN

Μια οθόνη iftop απαντά σε ένα ερώτημα κάθε φορά: ποια ζεύγη κεντρικών υπολογιστών ανταλλάσσουν byte μέσω της διεπαφής στην οποία την κατευθύνατε. Δεν απαντά αν κάθε εφαρμογή ακολουθεί πολιτική VPN, και μια κενή οθόνη δεν αποδεικνύει ότι τίποτα δεν διέρρευσε. Ακριβώς στο χάσμα ανάμεσα σε αυτές τις δύο δηλώσεις σφάλλουν οι περισσότερες συζητήσεις για δοκιμές διαρροής. Τρεις συνθήκες καθορίζουν τι σημαίνει πραγματικά η προβολή, και οι τρεις είναι ορατές στη γραμμή εντολών που χρησιμοποιήσατε.

Τρεις συνθήκες καθορίζουν τι σημαίνει η οθόνη

Οι συνθήκες είναι ποια διεπαφή προβάλλεται, τι κρύβουν το φίλτρο και το ίδιο το εργαλείο, και τι άσκησε πραγματικά η δοκιμή. Απαντήστε τις με αυτή τη σειρά, γιατί ένα λάθος στην πρώτη κάνει τις άλλες δύο χωρίς νόημα.

Η συνθήκη της διεπαφής έχει σημασία γιατί η όψη της σήραγγας και η φυσική όψη δείχνουν διαφορετικά επίπεδα της ίδιας κίνησης. Η ματιά στη διεπαφή της σήραγγας δείχνει τις ροές μέσα στη σήραγγα· η ματιά στη φυσική διεπαφή δείχνει τον φορέα της σήραγγας, καθώς και κάθε νόμιμη κίνηση ρύθμισης, ελέγχου ή τοπική κίνηση που μοιράζεται αυτόν τον σύνδεσμο. Καμία από τις δύο όψεις δεν είναι λάθος, και καμία δεν είναι η πλήρης εικόνα. Το να ονομάσετε ποια κοιτάτε είναι η διαφορά ανάμεσα σε απόδειξη και εντύπωση.

Συνθήκη πρώτη: ποια διεπαφή προβάλλεται

Το iftop παίρνει τη διεπαφή ρητά με -i, και το εγχειρίδιό του περιγράφει τη συμπεριφορά όταν δεν το κάνετε: επιλέγει μία, που μπορεί να είναι η συσκευή που φαίνεται εξωτερική και όχι η σήραγγα. Αυτή η προεπιλογή είναι λογική για ένα εργαλείο εύρους ζώνης και κακή για μια δοκιμή διαρροής.

Περνάτε πάντα τη διεπαφή και σημειώστε την δίπλα στο αποτέλεσμα. Ένα στιγμιότυπο οθόνης χωρίς το όνομα της διεπαφής δεν αναπαράγεται.

Συνθήκη δεύτερη: τι κρύβουν το φίλτρο και το εργαλείο

Το iftop δέχεται μια έκφραση φίλτρου, και μια ροή που το φίλτρο αποκλείει είναι αόρατη εκ κατασκευής και όχι λόγω απουσίας. Το εργαλείο επίσης εκτελεί εξ ορισμού αναζητήσεις ονομάτων κεντρικών υπολογιστών για να χαρακτηρίσει διευθύνσεις, και αυτές οι αναζητήσεις παράγουν τη δική τους κίνηση DNS, δηλαδή κίνηση που δεν σκοπεύατε να παρατηρήσετε. Το -n απενεργοποιεί τις αναζητήσεις και κάνει την προβολή αριθμητική· το να κρύψετε αργότερα τις γραμμές DNS δεν είναι το ίδιο με το να μην παράγετε τα ερωτήματα.

Αυτή η διάκριση αξίζει να ειπωθεί καθαρά, γιατί εμφανίζεται και σε άλλα εργαλεία: η καταστολή της προβολής μιας δραστηριότητας δεν είναι το ίδιο με την παρεμπόδισή της. Αν οι αναζητήσεις DNS είναι μέρος αυτού που δοκιμάζετε, εκτελέστε τη δοκιμή με τις αναζητήσεις απενεργοποιημένες ώστε η παρατήρηση να μην μολύνεται από τον παρατηρητή.

Συνθήκη τρίτη: τι άσκησε πραγματικά η δοκιμή

Ένα μόνο αίτημα από μία εφαρμογή, προς έναν προορισμό, σε μία οικογένεια διευθύνσεων, αποδεικνύει κάτι για αυτό το αίτημα. Δεν αποδεικνύει τίποτα για μια άλλη εφαρμογή, έναν άλλο προορισμό ή την άλλη οικογένεια διευθύνσεων, και το IPv6 είναι η οικογένεια που ξεχνιέται συχνότερα ακριβώς σε αυτού του είδους τον έλεγχο.

Ορίστε λοιπόν το αίτημα πριν ξεκινήσετε: έναν ακίνδυνο προορισμό, από την εφαρμογή που σας ενδιαφέρει, στην οικογένεια που σας ενδιαφέρει, με τη σήραγγα στην εγκεκριμένη της κατάσταση. Έπειτα ελέγξτε την πλευρά λήψης ή τα διαγνωστικά του ίδιου του πελάτη, γιατί το απομακρυσμένο άκρο ξέρει τι έφτασε με τρόπο που η τοπική οθόνη δεν μπορεί. Έπειτα ασκήστε την εγκεκριμένη περίπτωση της μη διαθέσιμης σήραγγας και δείτε αν σταματά η κίνηση, γιατί αυτή είναι η συμπεριφορά στην οποία συνήθως αναφέρεται πραγματικά η απαίτηση.

Το DNS αξίζει τη δική του παρατήρηση. Ο παραλήπτης του ερωτήματος και η διαδρομή που ακολούθησε το ερώτημα είναι δύο γεγονότα, και μια οθόνη εύρους ζώνης δεν δείχνει κανένα από τα δύο.

Χρήση του iftop ως υποστηρικτικής απόδειξης

Μόνο τότε το iftop προσθέτει αξία, και την προσθέτει ως επιβεβαίωση. Το sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" δείχνει αν η ροή που περιμένατε εμφανίζεται στη διεπαφή που περιμένατε, με μετρήσεις byte που κάνουν έναν ισχυρισμό αδράνειας επαληθεύσιμο.

Συγκρίνετε το με το ss -tnp για την όψη σε επίπεδο υποδοχής και το ip route get για τη διαδρομή που θα διάλεγε ο πυρήνας, και έχετε τρεις παρατηρήσεις ενός αιτήματος αντί για μία εντύπωση μιας μηχανής. Το εγχειρίδιο του iftop τεκμηριώνει την επιλογή διεπαφής, τη σύνταξη του φίλτρου και τη συμπεριφορά αναζήτησης, που είναι τα τρία πράγματα από τα οποία εξαρτάται μια δοκιμή διαρροής. Μια οθόνη εύρους ζώνης εντοπίζει τη δραστηριότητα· η διαδρομή, οι εξαιρέσεις και η συμπεριφορά αποτυχίας αποφασίζουν αν αυτή η δραστηριότητα ικανοποιεί την απαίτηση.