Trafiko sur eth0 ne signifas, ke la VPN-tunelo likas

Vidi publikajn adresojn sur eth0 dum la tunelo funkcias sentiĝas kiel pruvo, ke io eskapis. Kutime estas la malo: la propraj pakoj de la tunelo devas trapasi tiun adaptilon por atingi la servilon, kaj ili aspektas kiel ordinaraj fluoj UDP aŭ TCP. La interna pako aperas nur sur la tunela aparato. Distingi la du estas afero de legado de la koverto, ne de fido al bajtokvanto.

Ĉiu tunela pako tamen trapasas la draton

Tunelo estas interfaco, ne drato. La kliento prenas internan pakon, envolvas ĝin kaj sendas la rezulton al la adreso kaj haveno de la servilo el la profilo. Sur la fizika adaptilo vi vidas la envolvaĵon; sur la tunela aparato vi vidas tion, kio estis envolvita.

En UDP-reĝimo la ekstera fluo estas unu sola paro de adreso kaj haveno en ĉiu direkto, tial sana tunelo aspektas preskaŭ enue sur eth0. Ĝuste tiu unu paro estas la unua afero serĉenda.

Kaptu unu interfacon samtempe

Kaptu unu interfacon samtempe, kiam vi intencas kompari kvantojn. La pseŭdointerfaco any kolektas ĉiun aparaton atonce, do plusendita pako aperas ĉe la eniro kaj la eliro, kaj loke kreita pako aperas dufoje en du malsamaj formoj. Egalaj pakkvantoj kun neegalaj bajtokvantoj estas normalaj, ĉar la envolvaĵo estas pli granda ol tio, kion ĝi portas. ARP, DHCP kaj sciigoj de IPv6-voja servilo apartenas al la loka ligo kaj diras nenion pri via aplikaĵo.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Anstataŭigu la adreson kaj havenon per la propraj valoroj de la profilo. Se tiu fluo estas konstanta, la tunelo portas ion.

Demandu la kernon, kiun aparaton ĝi elektas

Demandu la kernon, kiun aparaton ĝi elektus, poste konfirmu sur la drato. La voja serĉo estas la decido, kaj la kaptado estas la pruvo, ke la decido estis sekvita. Ili respondas al malsamaj demandoj kaj vi volas ambaŭ.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Dividita rezulto estas la kutima trovaĵo: IPv4 iras al la tunelo kaj IPv6 iras al la fizika adaptilo, ĉar la profilo puŝis nur IPv4-vojojn. Tio estas reala liko, kaj ĝi estas nevidebla en kaptado nur de IPv4. Filtru laŭ IPv6 kaj observu adresojn, kiuj ne estas la servilo kaj ne estas link-local.

Rulu ambaŭ serĉojn antaŭ kaj post la konekto, por ke vi vidu, kion la kliento vere ŝanĝis. La diferenco inter la du ruladoj estas la reala efiko de la kliento.

Kiam la kaptado vere estas liko

Foje la kaptado diras la veron. Pli mallarĝa vojo, kiu sendas unu prefikson ĉirkaŭ la tunelo, subreto, kiun la kliento estis instrukciita ekskludi, aŭ fajroŝirma permeso, kiu ruliĝas antaŭ la tunela politiko, povas ĉiuj meti trafikon sur la draton malkaŝe. Regulo, kiu kongruas kun procesa grupo, ankaŭ povas esti intenca escepto. Legu ĝian interfacon kaj celan amplekson antaŭ ol nomi ĝin difekto.

Riparu la vojon aŭ la escepton, ne la fajroŝirmilon. Poste kaptu denove el nova konekto kaj kontrolu IPv4 kaj IPv6 aparte, ĉar ripari unu diras nenion pri la alia. La manlibro de tcpdump pritraktas la interfacajn kaj direktajn elektilojn uzitajn supre.