Mitä iftop-näyttö voi todistaa VPN:stä ja mitä ei

iftop-näyttö vastaa yhteen kysymykseen kerrallaan: mitkä isäntäparit vaihtavat tavuja sen liitännän kautta, johon osoitit sen. Se ei vastaa siihen, noudattaako jokainen sovellus VPN-käytäntöä, eikä tyhjä näyttö todista, ettei mitään vuotanut. Juuri näiden kahden väitteen välisessä aukossa useimmat vuototestikeskustelut menevät pieleen. Mitä näyttö todella tarkoittaa, ratkaisee kolme ehtoa, ja kaikki kolme näkyvät käyttämässäsi komentorivissä.

Kolme ehtoa ratkaisee, mitä näyttö tarkoittaa

Ehdot ovat se, mikä liitäntä näytetään, mitä suodatin ja itse työkalu kätkevät, ja mitä testi itse asiassa suoritti. Vastaa niihin tässä järjestyksessä, sillä virhe ensimmäisessä tekee kahdesta muusta merkityksettömiä.

Liitäntäehto on tärkeä, koska tunnelinäkymä ja fyysinen näkymä näyttävät saman liikenteen eri kerroksia. Tunnelin liitäntään katsominen näyttää tunnelin sisäiset virrat; fyysiseen liitäntään katsominen näyttää tunnelin kantajan sekä kaiken laillisen asetus-, ohjaus- tai paikallisen liikenteen, joka jakaa kyseisen yhteyden. Kumpikaan näkymä ei ole väärä, eikä kumpikaan ole koko kuva. Sen nimeäminen, kumpaa katsot, on ero todisteen ja vaikutelman välillä.

Ehto yksi: mikä liitäntä näytetään

iftop ottaa liitännän eksplisiittisesti -i-valitsimella, ja sen käsikirja kuvaa käyttäytymisen, kun et tee sitä: se valitsee yhden, joka voi olla ulospäin näyttävä laite tunnelin sijaan. Tämä oletus on järkevä kaistanleveystyökalulle ja huono vuototestille.

Anna liitäntä aina, ja kirjoita se tuloksen viereen. Kuvakaappaus ilman liitännän nimeä ei ole toistettavissa.

Ehto kaksi: mitä suodatin ja työkalu kätkevät

iftop hyväksyy suodatinlausekkeen, ja virta, jonka suodatin sulkee pois, on näkymätön rakenteensa vuoksi eikä poissaolonsa vuoksi. Työkalu tekee oletuksena myös isäntänimihakuja osoitteiden merkitsemiseksi, ja ne haut tuottavat omaa DNS-liikennettään, siis liikennettä, jota et aikonut havainnoida. -n kytkee haut pois ja tekee näytöstä numeerisen; DNS-rivien kätkeminen jälkeenpäin ei ole sama kuin kyselyjen tuottamatta jättäminen.

Tämä ero kannattaa sanoa suoraan, koska se näkyy myös muissa työkaluissa: toiminnan näyttämisen tukahduttaminen ei ole sama kuin sen estäminen. Jos DNS-haut ovat osa sitä, mitä testaat, aja testi haut pois kytkettyinä, jotta havainto ei saastu havainnoijasta.

Ehto kolme: mitä testi itse asiassa suoritti

Yksi pyyntö yhdestä sovelluksesta, yhteen kohteeseen, yhdessä osoiteperheessä todistaa jotain siitä pyynnöstä. Se ei todista mitään toisesta sovelluksesta, toisesta kohteesta eikä toisesta osoiteperheestä, ja IPv6 on perhe, joka juuri tällaisessa tarkistuksessa useimmin unohdetaan.

Määrittele siis pyyntö ennen aloittamista: vaaraton kohde, sovelluksesta, josta välität, perheestä, josta välität, tunneli hyväksytyssä tilassaan. Tarkista sitten vastaanottava puoli tai asiakkaan omat diagnostiikat, koska kaukopää tietää, mitä saapui, tavalla, johon paikallinen näyttö ei pysty. Harjoita sitten hyväksytty tapaus, jossa tunneli ei ole käytettävissä, ja katso pysähtyykö liikenne, sillä juuri siitä käyttäytymisestä vaatimuksessa yleensä todella on kyse.

DNS ansaitsee oman havainnointinsa. Kyselyn vastaanottaja ja reitti, jonka kysely kulki, ovat kaksi tosiasiaa, eikä kaistanleveysnäyttö näytä kumpaakaan.

iftop tukevana todisteena

Vasta silloin iftop lisää arvoa, ja se lisää sitä vahvistuksena. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" näyttää, ilmeneekö odotettu virta odotetulla liitännällä, tavumäärin, jotka tekevät joutokäyntiä koskevan väitteen tarkistettavaksi.

Vertaa sitä ss -tnp-komentoon pistoketason näkymää varten ja ip route get-komentoon reitille, jonka ydin valitsisi, ja sinulla on kolme havaintoa yhdestä pyynnöstä yhden konevaikutelman sijaan. iftop-käsikirja dokumentoi liitännän valinnan, suodattimen syntaksin ja hakukäyttäytymisen, ja juuri nämä kolme ovat ne, joista vuototesti riippuu. Kaistanleveysnäyttö paikantaa toiminnan; reitti, poikkeukset ja vikatilanteen käyttäytyminen ratkaisevat, täyttääkö toiminta vaatimuksen.