Liiklus eth0-l ei tähenda, et VPN-tunnel lekitab

Avalike aadresside nägemine eth0-l ajal, mil tunnel töötab, tundub tõendina, et midagi pääses välja. Tavaliselt on vastupidi: tunneli enda paketid peavad serverini jõudmiseks sellest adapterist läbi minema ja need näevad välja nagu tavalised UDP- või TCP-vood. Sisemine pakett ilmub ainult tunneli seadmel. Nende kahe eristamine on ümbriku lugemise küsimus, mitte baitide arvu usaldamise küsimus.

Iga tunneli pakett ületab ikka juhtme

Tunnel on liides, mitte juhe. Klient võtab sisemise paketi, mähkib selle ja saadab tulemuse profiilist pärit serveri aadressile ja pordile. Füüsilisel adapteril näete mähise; tunneli seadmel näete seda, mis mähiti.

UDP-režiimis on väline voog üks aadressi ja pordi paar kummaski suunas, seetõttu näeb terve tunnel eth0-l peaaegu igav välja. Just seda üht paari tuleb esimesena otsida.

Salvestage korraga üks liides

Salvestage korraga üks liides, kui kavatsete arve võrrelda. Pseudo-liides any kogub kõik seadmed korraga, seega edastatud pakett ilmub sisse- ja väljapääsul ning kohapeal loodud pakett ilmub kaks korda kahel erineval kujul. Võrdsed paketiarvud ebavõrdsete baitarvudega on normaalsed, sest mähis on suurem kui see, mida ta kannab. ARP, DHCP ja IPv6-ruuterite teated kuuluvad kohalikku linki ega ütle teie rakenduse kohta midagi.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Asendage aadress ja port profiili enda väärtustega. Kui see voog on ühtlane, kannab tunnel midagi.

Küsige tuumalt, millise seadme see valib

Küsige tuumalt, millise seadme see valiks, ja kinnitage siis juhtmelt. Marsruudiotsing on otsus ja salvestis on tõend, et otsust järgiti. Need vastavad erinevatele küsimustele ja te vajate mõlemat.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Pooleks jagatud tulemus on tavaline leid: IPv4 läheb tunnelisse ja IPv6 läheb füüsilisele adapterile, sest profiil lükkas ainult IPv4-marsruudid. See on tõeline leke ja see on nähtamatu ainult IPv4 salvestises. Filtreerige IPv6 järgi ja jälgige aadresse, mis ei ole server ja ei ole link-local.

Käivitage mõlemad otsingud enne ühendamist ja pärast seda, et näha, mida klient tegelikult muutis. Kahe käivituse vahe on kliendi tegelik mõju.

Kui salvestis on tõesti leke

Mõnikord räägib salvestis tõtt. Kitsam marsruut, mis saadab ühe prefiksi tunnelist mööda, alamvõrk, mille klienti kästi välja jätta, või tulemüüri luba, mis jookseb enne tunneli poliitikat, võivad kõik viia liikluse juhtmele avatult. Protsessirühmaga sobiv reegel võib samuti olla tahtlik erand. Lugege selle liidest ja sihtkohta enne, kui nimetate seda veaks.

Parandage marsruut või erand, mitte tulemüür. Seejärel salvestage uuesti uuest ühendusest ja kontrollige IPv4 ja IPv6 eraldi, sest ühe parandamine ei ütle teise kohta midagi. tcpdumpi käsiraamat kirjeldab ülal kasutatud liidese- ja suunavalikuid.