תעבורה על eth0 אינה אומרת שהמנהרה של VPN מדליפה

לראות כתובות ציבוריות על eth0 כשהמנהרה פעילה מרגיש כמו הוכחה שמשהו נמלט. בדרך כלל זה ההפך: החבילות של המנהרה עצמה חייבות לחצות את המתאם הזה כדי להגיע לשרת, והן נראות כמו זרמי UDP או TCP רגילים. החבילה הפנימית מופיעה רק בהתקן המנהרה. להבחין בין השתיים זה עניין של קריאת המעטפת, לא של אמון בספירת בתים.

כל חבילת מנהרה עדיין חוצה את החוט

מנהרה היא ממשק, לא חוט. הלקוח לוקח חבילה פנימית, עוטף אותה ושולח את התוצאה לכתובת ולפורט של השרת מהפרופיל. במתאם הפיזי רואים את העטיפה; בהתקן המנהרה רואים את מה שנעטף.

במצב UDP הזרם החיצוני הוא זוג כתובת ופורט אחד בכל כיוון, ולכן מנהרה תקינה נראית כמעט משעממת על eth0. הזוג הבודד הזה הוא הדבר הראשון שיש לחפש.

לכוד ממשק אחד בכל פעם

לכוד ממשק אחד בכל פעם כשאתם מתכוונים להשוות ספירות. ממשק הפסאודו any אוסף כל התקן בבת אחת, ולכן חבילה שהועברה מופיעה בכניסה וביציאה וחבילה שנוצרה מקומית מופיעה פעמיים בשתי צורות שונות. ספירות חבילות שוות עם ספירות בתים לא שוות הן נורמליות, כי העטיפה גדולה ממה שהיא נושאת. ARP, DHCP והכרזות נתב IPv6 שייכים לקישור המקומי ואינם אומרים דבר על היישום שלכם.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

החליפו את הכתובת והפורט בערכים של הפרופיל עצמו. אם הזרם הזה יציב, המנהרה נושאת משהו.

שאלו את הליבה איזה התקן היא בוחרת

שאלו את הליבה איזה התקן היא הייתה בוחרת, ואז אשרו על החוט. חיפוש המסלול הוא ההחלטה, והלכידה היא ההוכחה שההחלטה נעשתה. הם עונים על שאלות שונות ואתם רוצים את שניהם.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

תוצאה מפוצלת היא הממצא הנפוץ: IPv4 הולך למנהרה ו-IPv6 הולך למתאם הפיזי מפני שהפרופיל דחף רק מסלולי IPv4. זו דליפה אמיתית, והיא בלתי נראית בלקידה של IPv4 בלבד. סננו IPv6 ושימו לב לכתובות שאינן השרת ושאינן link-local.

הריצו את שני החיפושים לפני החיבור ואחריו, כדי לראות מה הלקוח באמת שינה. ההפרש בין שתי ההרצות הוא ההשפעה האמיתית של הלקוח.

כשהלכידה היא באמת דליפה

לפעמים הלכידה אומרת את האמת. מסלול צר יותר ששולח תחילית אחת סביב המנהרה, תת-רשת שנאמר ללקוח להחריג, או אישור בחומת האש שרץ לפני מדיניות המנהרה, כל אלה יכולים להעלות תעבורה על החוט בגלוי. גם כלל שמתאים לקבוצת תהליכים יכול להיות חריגה מכוונת. קראו את הממשק ואת טווח היעד שלה לפני שאתם קוראים לזה תקלה.

תקנו את המסלול או את החריגה, לא את חומת האש. אחר כך לכדו שוב מחיבור חדש ובדקו IPv4 ו-IPv6 בנפרד, כי תיקון האחד אינו אומר דבר על האחר. המדריך של tcpdump מכסה את בוררי הממשק והכיוון ששימשו למעלה.