Lalu lintas di eth0 bukan berarti terowongan VPN bocor

Melihat alamat publik di eth0 saat terowongan aktif terasa seperti bukti bahwa ada yang lolos. Biasanya yang terjadi sebaliknya: paket terowongan itu sendiri harus melewati adaptor tersebut untuk mencapai server, dan tampak seperti aliran UDP atau TCP biasa. Paket dalam hanya muncul di perangkat terowongan. Membedakan keduanya adalah soal membaca sampul, bukan soal percaya pada hitungan byte.

Setiap paket terowongan tetap melewati kabel

Terowongan adalah antarmuka, bukan kabel. Klien mengambil paket dalam, membungkusnya, dan mengirim hasilnya ke alamat serta porta server dari profil. Pada adaptor fisik Anda melihat bungkusnya; pada perangkat terowongan Anda melihat apa yang dibungkus.

Dalam mode UDP aliran luar adalah satu pasangan alamat dan porta di setiap arah, karena itu terowongan yang sehat tampak hampir membosankan di eth0. Pasangan tunggal itulah yang pertama harus dicari.

Tangkap satu antarmuka setiap kali

Tangkap satu antarmuka setiap kali bila Anda hendak membandingkan hitungan. Antarmuka semu any mengumpulkan setiap perangkat sekaligus, jadi paket yang diteruskan muncul di masuk dan keluar dan paket yang dihasilkan secara lokal muncul dua kali dalam dua bentuk berbeda. Hitungan paket yang sama dengan hitungan byte yang berbeda adalah normal, karena bungkusnya lebih besar daripada yang dibawanya. ARP, DHCP, dan pengumuman router IPv6 termasuk tautan lokal dan tidak mengatakan apa pun tentang aplikasi Anda.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Ganti alamat dan porta dengan nilai profil itu sendiri. Jika aliran itu tetap, terowongan membawa sesuatu.

Tanyakan kepada kernel perangkat mana yang dipilihnya

Tanyakan kepada kernel perangkat mana yang akan dipilihnya, lalu pastikan di kabel. Pencarian rute adalah keputusannya, dan tangkapan adalah bukti bahwa keputusan itu diikuti. Keduanya menjawab pertanyaan berbeda dan Anda ingin keduanya.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Hasil terbelah adalah temuan yang umum: IPv4 menuju terowongan dan IPv6 menuju adaptor fisik karena profil hanya mendorong rute IPv4. Itu kebocoran nyata, dan tidak terlihat pada tangkapan yang hanya memuat IPv4. Saring IPv6 dan perhatikan alamat yang bukan server dan bukan link-local.

Jalankan kedua pencarian sebelum dan sesudah terhubung, agar Anda dapat melihat apa yang benar-benar diubah klien. Selisih antara kedua jalannya adalah efek nyata klien.

Ketika tangkapan memang kebocoran

Kadang tangkapan mengatakan yang sebenarnya. Rute yang lebih sempit yang mengirim satu prefiks melewati terowongan, subnet yang diminta dikecualikan oleh klien, atau penerimaan firewall yang berjalan sebelum kebijakan terowongan semuanya dapat menaruh lalu lintas di kabel secara terbuka. Aturan yang cocok dengan grup proses juga bisa menjadi pengecualian yang disengaja. Baca antarmuka dan cakupan tujuannya sebelum Anda menyebutnya cacat.

Perbaiki rute atau pengecualiannya, bukan firewall. Lalu tangkap lagi dari koneksi baru dan periksa IPv4 dan IPv6 secara terpisah, karena memperbaiki yang satu tidak mengatakan apa pun tentang yang lain. manual tcpdump membahas pemilih antarmuka dan arah yang dipakai di atas.