Liikenne eth0:ssa ei tarkoita, että VPN-tunneli vuotaa

Julkisten osoitteiden näkeminen eth0:ssa tunnelin ollessa pystyssä tuntuu todisteelta siitä, että jotain karkasi. Yleensä asia on päinvastoin: tunnelin omien pakettien on ylitettävä tuo sovitin päästäkseen palvelimelle, ja ne näyttävät tavallisilta UDP- tai TCP-virroilta. Sisempi paketti näkyy vain tunnelilaitteessa. Näiden kahden erottaminen on kääreen lukemista, ei tavumäärään luottamista.

Jokainen tunnelipaketti ylittää silti johdon

Tunneli on liitäntä, ei johto. Asiakas ottaa sisemmän paketin, käärii sen ja lähettää tuloksen profiilin palvelimen osoitteeseen ja porttiin. Fyysisessä sovittimessa näet kääreen; tunnelilaitteessa näet sen, mikä käärittiin.

UDP-tilassa ulompi virta on yksi osoite- ja porttipari kumpaankin suuntaan, minkä vuoksi terve tunneli näyttää eth0:ssa lähes tylsältä. Juuri tuo yksi pari on ensimmäinen etsittävä.

Kaappaa yksi liitäntä kerrallaan

Kaappaa yksi liitäntä kerrallaan, kun aiot vertailla määriä. any-näennäisliitäntä kerää kaikki laitteet kerralla, joten välitetty paketti näkyy sisään- ja ulostulossa ja paikallisesti luotu näkyy kahdesti kahdessa eri muodossa. Samat pakettimäärät eri tavumäärillä ovat normaaleja, koska kääre on suurempi kuin se, mitä se kantaa. ARP, DHCP ja IPv6-reitittimen ilmoitukset kuuluvat paikalliseen linkkiin eivätkä kerro sovelluksestasi mitään.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Korvaa osoite ja portti profiilin omilla arvoilla. Jos tuo virta on tasainen, tunneli kuljettaa jotain.

Kysy ytimeltä, minkä laitteen se valitsee

Kysy ytimeltä, minkä laitteen se valitsisi, ja vahvista sitten johdolta. Reittihaku on päätös, ja kaappaus on todiste siitä, että päätöstä noudatettiin. Ne vastaavat eri kysymyksiin ja haluat molemmat.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Jakautunut tulos on tavallinen havainto: IPv4 menee tunneliin ja IPv6 fyysiseen sovittimeen, koska profiili työnsi vain IPv4-reitit. Se on todellinen vuoto, ja se on näkymätön vain IPv4:n kaappauksessa. Suodata IPv6 ja seuraa osoitteita, jotka eivät ole palvelin eivätkä link-local.

Aja molemmat haut ennen yhteyttä ja sen jälkeen, jotta näet, mitä asiakas todella muutti. Kahden ajon ero on asiakkaan todellinen vaikutus.

Kun kaappaus todella on vuoto

Joskus kaappaus kertoo totuuden. Kapeampi reitti, joka lähettää yhden etuliitteen tunnelin ohi, aliverkko, jonka asiakasta käskettiin jättää pois, tai palomuurin salliva sääntö, joka ajetaan ennen tunnelikäytäntöä, voivat kaikki viedä liikennettä johdolle avoimena. Prosessiryhmään osuva sääntö voi myös olla tarkoituksellinen poikkeus. Lue sen liitäntä ja kohdealue ennen kuin kutsut sitä viaksi.

Korjaa reitti tai poikkeus, älä palomuuria. Kaappaa sitten uudelleen tuoreesta yhteydestä ja tarkista IPv4 ja IPv6 erikseen, sillä toisen korjaaminen ei kerro toisesta mitään. tcpdumpin käsikirja kattaa yllä käytetyt liitäntä- ja suuntavalitsimet.