eth0-ի երթևեկությունը չի նշանակում, որ VPN թունելը արտահոսում է

eth0-ի վրա հանրային հասցեներ տեսնելը, երբ թունելը աշխատում է, թվում է որպես ապացույց, որ ինչ-որ բան դուրս է փախել։ Սովորաբար հակառակն է՝ թունելի սեփական փաթեթները պետք է անցնեն այդ ադապտերով, որպեսզի հասնեն սերվերին, և նրանք նման են սովորական UDP կամ TCP հոսքերի։ Ներքին փաթեթը երևում է միայն թունելի սարքում։ Երկուսը տարբերելը փաթաթանը կարդալու հարց է, ոչ թե բայթերի հաշվին վստահելու։

Թունելի յուրաքանչյուր փաթեթ դեռ անցնում է լարով

Թունելը ինտերֆեյս է, ոչ լար։ Հաճախորդը վերցնում է ներքին փաթեթ, փաթաթում այն և արդյունքն ուղարկում պրոֆիլի սերվերի հասցեին ու պորտին։ Ֆիզիկական ադապտերի վրա տեսնում եք փաթաթանը, թունելի սարքում՝ այն, ինչ փաթաթվել է։

UDP ռեժիմում արտաքին հոսքը յուրաքանչյուր ուղղությամբ հասցեի և պորտի մեկ զույգ է, դրա համար առողջ թունելը eth0-ի վրա գրեթե ձանձրալի է թվում։ Հենց այդ մեկ զույգն է առաջինը, որ պետք է փնտրել։

Գրառեք մեկ ինտերֆեյս միաժամանակ

Գրառեք մեկ ինտերֆեյս միաժամանակ, երբ մտադիր եք համեմատել հաշվարկները։ any կեղծ ինտերֆեյսը հավաքում է բոլոր սարքերը միանգամից, ուստի փոխանցված փաթեթը երևում է մուտքի և ելքի վրա, իսկ տեղում ստեղծվածը՝ երկու անգամ երկու տարբեր ձևերով։ Հավասար փաթեթների հաշվարկը անհավասար բայթերի հաշվարկի հետ նորմալ է, քանի որ փաթաթանն ավելի մեծ է, քան այն, ինչ կրում է։ ARP-ը, DHCP-ն և IPv6 երթուղիչի հայտարարությունները պատկանում են տեղական կապին և ոչինչ չեն ասում ձեր հավելվածի մասին։

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Փոխարինեք հասցեն և պորտը պրոֆիլի սեփական արժեքներով։ Եթե այդ հոսքը կայուն է, թունելը ինչ-որ բան է կրում։

Հարցրեք միջուկին, թե որ սարքն է ընտրում

Հարցրեք միջուկին, թե որ սարքը կընտրեր, ապա հաստատեք լարի վրա։ Երթուղու որոնումը որոշումն է, իսկ գրառումը՝ ապացույցը, որ որոշումը կատարվել է։ Նրանք պատասխանում են տարբեր հարցերի, և ձեզ պետք են երկուսը։

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Բաժանված արդյունքը սովորական հայտնաբերումն է՝ IPv4-ը գնում է թունել, իսկ IPv6-ը՝ ֆիզիկական ադապտեր, որովհետև պրոֆիլը մղել է միայն IPv4 երթուղիներ։ Դա իրական արտահոսք է, և այն անտեսանելի է միայն IPv4-ով գրառման մեջ։ Զտեք IPv6-ով և ուշադրություն դարձրեք այն հասցեներին, որոնք ոչ սերվերն են, ոչ էլ link-local։

Գործարկեք երկու որոնումներն էլ միանալուց առաջ և հետո, որպեսզի տեսնեք, թե հաճախորդն ինչ է իրականում փոխել։ Երկու գործարկումների տարբերությունը հաճախորդի իրական ազդեցությունն է։

Երբ գրառումն իրոք արտահոսք է

Երբեմն գրառումը ճշմարտությունն է ասում։ Ավելի նեղ երթուղին, որը մեկ նախածանց ուղարկում է թունելի շուրջը, ենթացանցը, որին հաճախորդին ասել են բացառել, կամ firewall-ի թույլտվությունը, որը գործարկվում է թունելի քաղաքականությունից առաջ, բոլորը կարող են երթևեկությունը բացահայտ դուրս բերել լար։ Գործընթացների խմբին համապատասխանող կանոնը նույնպես կարող է դիտավորյալ բացառություն լինել։ Կարդացեք դրա ինտերֆեյսը և նպատակակետի շրջանակը, նախքան այն թերություն անվանելը։

Ուղղեք երթուղին կամ բացառությունը, ոչ firewall-ը։ Այնուհետև նորից գրառեք նոր միացումից և ստուգեք IPv4-ը և IPv6-ը առանձին, քանի որ մեկի ուղղումը ոչինչ չի ասում մյուսի մասին։ tcpdump-ի ձեռնարկը նկարագրում է վերևում օգտագործված ինտերֆեյսի և ուղղության ընտրիչները։