Mida iftop-ekraan VPN-i kohta tõestada suudab ja mida mitte

iftop-ekraan vastab korraga ühele küsimusele: millised hostpaarid vahetavad baite läbi liidese, mille poole te selle suunasite. See ei vasta, kas iga rakendus järgib VPN-i poliitikat, ja tühi ekraan ei tõesta, et midagi ei lekkis. Just nende kahe väite vahelises lõhes lähevad enamik lekketesti arutelusid valesti. Mida ekraan tegelikult tähendab, otsustavad kolm tingimust, ja kõik kolm on nähtavad käsureal, mida te kasutasite.

Kolm tingimust otsustavad, mida ekraan tähendab

Tingimused on see, millist liidest näidatakse, mida filter ja tööriist ise peidavad, ning mida test tegelikult läbi viis. Vastake neile selles järjekorras, sest viga esimeses muudab kaks ülejäänut mõttetuks.

Liidese tingimus loeb, sest tunnelivaade ja füüsiline vaade näitavad sama liikluse eri kihte. Tunneliliidesele vaatamine näitab tunnelis olevaid vooge; füüsilisele liidesele vaatamine näitab tunneli kandjat, lisaks igasugust seadistamis-, juhtimis- või kohalikku liiklust, mis seda ühendust jagab. Kumbki vaade ei ole vale ega kumbki pole kogu pilt. Selle nimetamine, millist te vaatate, on erinevus tõendi ja mulje vahel.

Esimene tingimus: millist liidest näidatakse

iftop võtab liidese selgesõnaliselt -i abil, ja selle käsiraamat kirjeldab käitumist, kui te seda ei tee: see valib ühe, milleks võib olla välisena näiv seade, mitte tunnel. See vaikeväärtus on ribulaiuse tööriista jaoks mõistlik ja lekketesti jaoks halb.

Esitage liides alati ja kirjutage see tulemuse kõrvale. Ilma liidese nimega ekraanipilt ei ole korratav.

Teine tingimus: mida filter ja tööriist peidavad

iftop aktsepteerib filtriavaldist, ja voog, mille filter välja jätab, on nähtamatu konstruktsiooni, mitte puudumise tõttu. Tööriist teeb vaikimisi ka hostinimede otsinguid aadresside märgistamiseks, ja need otsingud tekitavad oma DNS-liikluse, st liikluse, mida te ei kavatsenud jälgida. -n lülitab otsingud välja ja muudab kuvamise numbriliseks; DNS-ridade hilisem peitmine ei ole sama mis päringute mitte-tekitamine.

Seda erinevust tasub otse öelda, sest see esineb ka teistes tööriistades: tegevuse kuvamise mahasurumine ei ole sama mis selle takistamine. Kui DNS-otsingud on osa sellest, mida te katsetate, käivitage test otsingutega väljas, et vaatlust ei saastaks vaatleja.

Kolmas tingimus: mida test tegelikult läbi viis

Üks päring ühest rakendusest ühte sihtkohta ühes aadressiperekonnas tõestab midagi selle päringu kohta. See ei tõesta midagi teise rakenduse, teise sihtkoha ega teise aadressiperekonna kohta, ja IPv6 on perekond, mis just sellises kontrollis kõige sagedamini ununeb.

Seega määratlege päring enne alustamist: kahjutu sihtkoht, rakendusest, mis teile loeb, perekonnas, mis teile loeb, tunneliga selle kinnitatud olekus. Seejärel kontrollige vastuvõtupoolt või kliendi enda diagnostikat, sest kaugem ots teab, mis saabus, viisil, mida kohalik ekraan ei suuda. Seejärel harjutage kinnitatud mittekättesaadava tunneli juhtumit ja vaadake, kas liiklus peatub, sest just sellest käitumisest nõue tavaliselt tegelikult räägib.

DNS väärib omaette vaatlust. Päringu saaja ja tee, mille päring läbis, on kaks fakti, ja ribulaiuse ekraan ei näita kumbagi.

iftop-i kasutamine toetava tõendina

Alles siis lisab iftop väärtust, ja lisab seda kinnitusena. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" näitab, kas oodatud voog ilmub oodatud liidesele, baidiarvudega, mis muudavad jõudeoleku väite kontrollitavaks.

Võrrelge seda ss -tnp-ga pistikupesa tasandi vaate jaoks ja ip route get-ga marsruudi jaoks, mille tuum valiks, ja teil on ühe päringu kolm vaatlust ühe masina mulje asemel. iftop-i käsiraamat dokumenteerib liidese valiku, filtri süntaksi ja otsingukäitumise, mis on need kolm asja, millest lekketest sõltub. Ribulaiuse ekraan lokaliseerib tegevuse; marsruut, erandid ja tõrkekäitumine otsustavad, kas see tegevus vastab nõudele.