Verkéier op eth0 heescht net, datt den VPN-Tunnel leckt

Öffentlech Adressen op eth0 ze gesinn, während den Tunnel leeft, fillt sech wéi e Beweis, datt eppes fortkomm ass. Meeschtens ass et ëmgedréint: déi eege Pakete vum Tunnel mussen dee Adapter iwwerqueeën, fir de Server z'erreechen, an si kucke wéi gewéinlech UDP- oder TCP-Stréim. De bannenzege Paket erschéngt nëmmen um Tunnelapparat. D'Ënnerscheedung vun deenen zwee ass eng Saach vum Ëmhüllung liesen, net vum Vertrauen an eng Byte-Zuel.

All Tunnelpaket iwwerquiert nach ëmmer de Kabel

En Tunnel ass eng Interface, keen Kabel. De Client hëlt e bannenzegen Paket, wéckelt en an an d'Resultat geet un d'Adress an de Port vum Server aus dem Profil. Um physeschen Adapter gesitt Dir d'Ëmhüllung; um Tunnelapparat gesitt Dir dat, wat agewéckelt gouf.

Am UDP-Modus ass de baussenzege Stroum een eenzegt Adress- a Portpaar a béide Richtungen, dofir gesäit en gesonden Tunnel op eth0 bal langweileg aus. Genau dat eenzegt Paar ass dat éischt, wat een siche soll.

Huelt eng Interface gläichzäiteg op

Huelt just eng Interface gläichzäiteg op, wann Dir Zuelen wëllt vergläichen. D'Pseudo-Interface any sammelt all Apparat op eemol, dofir erschéngt e weidergeleet Paket beim Agang an Ausgang an ee lokal erstallte Paket zweemol an zwou verschiddene Formen. Gläich Pakzuelen mat ongläiche Byte-Zuelen sinn normal, well d'Ëmhüllung méi grouss ass wéi dat, wat se dréit. ARP, DHCP an IPv6-Routerannoncen gehéieren zum lokale Link a soe näischt iwwer Är Applikatioun.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Ersetzt d'Adress an de Port duerch d'Wäerter vum Profil selwer. Wann dee Stroum bestänneg ass, dréit den Tunnel eppes.

Frot de Kernel, wéi en Apparat e wielt

Frot de Kernel, wéi en Apparat en iwwerhaapt géif wielen, a bestätegt et duerno um Kabel. D'Routensich ass d'Entscheedung, an d'Aufnam ass de Beweis, datt der Entscheedung gefollegt gouf. Si äntweren op verschidde Froen an Dir wëllt béides.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

En opgedeelte Resultat ass de gewéinleche Fonnt: IPv4 geet an den Tunnel an IPv6 geet un de physeschen Adapter, well de Profil nëmmen IPv4-Routen duerchgedréckt huet. Dat ass e richtege Leck, an et ass onsiichtbar an enger Aufnam just vun IPv4. Filtert op IPv6 a kuckt op Adressen, déi net de Server an net link-local sinn.

Fuert béid Sichen virun an nom Verbannen aus, fir ze gesinn, wat de Client wierklech geännert huet. Den Ënnerscheed tëschent den zwou Ausféierunge ass de reellen Effekt vum Client.

Wann d'Aufnam wierklech e Leck ass

Heiansdo seet d'Aufnam d'Wourecht. Eng méi enk Route, déi ee Präfix laanscht den Tunnel schéckt, en Ënnersubnetz, dat de Client sollt ausschléissen, oder eng Firewall-Erlabnes, déi virun der Tunnelpolitik leeft, kënnen all Verkéier op en oppene Kabel bréngen. Eng Regel, déi op eng Prozessgrupp passt, kann och eng bewosst Ausnam sinn. Liest seng Interface an hire Bestëmmungsberäich, ier Dir et e Feeler nennt.

Maacht d'Route oder d'Ausnam richteg, net d'Firewall. Huelt duerno nach eng Kéier op aus enger neier Verbindung a kontrolléiert IPv4 an IPv6 getrennt, well fir deen een ze flécken seet näischt iwwer deen aneren. tcpdump-Handbuch deckt d'Interface- an Direktiounsselktoren of, déi uewe benotzt goufen.