Srautas eth0 sąsajoje nereiškia, kad VPN tunelis prateka

Viešųjų adresų matymas eth0 sąsajoje, kai tunelis veikia, atrodo kaip įrodymas, kad kažkas pabėgo. Paprastai būna atvirkščiai: paties tunelio paketai turi pereiti tą adapterį, kad pasiektų serverį, ir jie atrodo kaip įprasti UDP arba TCP srautai. Vidinis paketas rodomas tik tunelio įrenginyje. Atskirti šiuos du reiškia skaityti apvalkalą, o ne pasitikėti baitų skaičiumi.

Kiekvienas tunelio paketas vis tiek kerta laidą

Tunelis yra sąsaja, o ne laidas. Klientas paima vidinį paketą, jį apvynioja ir rezultatą siunčia į serverio adresą ir prievadą iš profilio. Fiziniame adapteryje matote apvalkalą; tunelio įrenginyje matote tai, kas buvo apvyniota.

UDP režimu išorinis srautas yra viena adreso ir prievado pora kiekviena kryptimi, todėl sveikas tunelis eth0 sąsajoje atrodo beveik nuobodžiai. Būtent šios vienos poros reikia ieškoti pirmiausia.

Fiksuokite po vieną sąsają vienu metu

Fiksuokite tik po vieną sąsają vienu metu, kai ketinate lyginti skaičius. Pseudo sąsaja any renka visus įrenginius vienu metu, todėl persiųstas paketas rodomas įėjime ir išėjime, o vietoje sukurtas paketas rodomas du kartus dviem skirtingomis formomis. Vienodi paketų skaičiai su skirtingais baitų skaičiais yra normalūs, nes apvalkalas didesnis už tai, ką neša. ARP, DHCP ir IPv6 maršrutizatoriaus skelbimai priklauso vietinei jungčiai ir nieko nesako apie jūsų programą.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Pakeiskite adresą ir prievadą paties profilio reikšmėmis. Jei tas srautas pastovus, tunelis ką nors neša.

Paklauskite branduolio, kurį įrenginį jis pasirenka

Paklauskite branduolio, kurį įrenginį jis pasirinktų, tada patvirtinkite laide. Maršruto paieška yra sprendimas, o fiksavimas yra įrodymas, kad sprendimo buvo laikytasi. Jie atsako į skirtingus klausimus, ir jums reikia abiejų.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Padalytas rezultatas yra įprastas radinys: IPv4 eina į tunelį, o IPv6 eina į fizinį adapterį, nes profilis įstūmė tik IPv4 maršrutus. Tai tikras nutekėjimas, ir jis nematomas fiksuojant tik IPv4. Filtruokite IPv6 ir stebėkite adresus, kurie nėra serveris ir nėra link-local.

Paleiskite abi paieškas prieš prisijungiant ir po to, kad pamatytumėte, ką klientas iš tikrųjų pakeitė. Skirtumas tarp dviejų paleidimų yra tikrasis kliento poveikis.

Kai fiksavimas iš tikrųjų yra nutekėjimas

Kartais fiksavimas sako tiesą. Siauresnis maršrutas, kuris vieną priešdėlį siunčia aplink tunelį, potinklis, kurį klientui buvo liepta išskirti, arba ugniasienės leidimas, kuris veikia prieš tunelio politiką, gali visi išvesti srautą į laidą atvirai. Taisyklė, atitinkanti procesų grupę, taip pat gali būti sąmoninga išimtis. Perskaitykite jos sąsają ir paskirties apimtį, prieš vadindami tai defektu.

Pataisykite maršrutą arba išimtį, o ne ugniasienę. Tada vėl fiksuokite iš naujos jungties ir patikrinkite IPv4 ir IPv6 atskirai, nes vieno pataisymas nieko nesako apie kitą. tcpdump vadovas aprašo aukščiau naudotus sąsajos ir krypties selektorius.