Datplūsma uz eth0 nenozīmē, ka VPN tunelis noplūst

Publisku adrešu redzēšana uz eth0, kamēr tunelis darbojas, šķiet kā pierādījums tam, ka kaut kas ir izbēdzis. Parasti ir otrādi: paša tuneļa paketēm ir jāšķērso šis adapteris, lai sasniegtu serveri, un tās izskatās kā parastas UDP vai TCP plūsmas. Iekšējā pakete parādās tikai tuneļa ierīcē. Atšķirt abas nozīmē lasīt apvalku, nevis uzticēties baitu skaitam.

Katrs tuneļa pakets joprojām šķērso vadu

Tunelis ir saskarne, nevis vads. Klients paņem iekšējo paketi, to ietin un rezultātu sūta uz servera adresi un portu no profila. Fiziskajā adapterī jūs redzat apvalku; tuneļa ierīcē jūs redzat to, kas tika ietīts.

UDP režīmā ārējā plūsma ir viens adreses un porta pāris katrā virzienā, tāpēc veselīgs tunelis uz eth0 izskatās gandrīz garlaicīgi. Tieši šis vienīgais pāris ir pirmais, kas jāmeklē.

Uzņemiet vienu saskarni vienlaikus

Uzņemiet tikai vienu saskarni vienlaikus, ja grasāties salīdzināt skaitļus. Pseido saskarne any vienlaikus savāc visas ierīces, tāpēc pārsūtītā pakete parādās ieejā un izejā, bet lokāli radītā pakete parādās divreiz divās dažādās formās. Vienādi pakešu skaitļi ar atšķirīgiem baitu skaitļiem ir normāli, jo apvalks ir lielāks par to, ko tas nes. ARP, DHCP un IPv6 maršrutētāja paziņojumi pieder vietējam posmam un neko nepasaka par jūsu lietojumprogrammu.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Aizstājiet adresi un portu ar paša profila vērtībām. Ja šī plūsma ir vienmērīga, tunelis kaut ko nes.

Pajautājiet kodolam, kuru ierīci tas izvēlas

Pajautājiet kodolam, kuru ierīci tas izvēlētos, un pēc tam apstipriniet uz vada. Maršruta meklēšana ir lēmums, un uzņemšana ir pierādījums, ka lēmums tika ievērots. Tās atbild uz dažādiem jautājumiem, un jums vajag abus.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Sadalīts rezultāts ir ierasta atradne: IPv4 iet uz tuneli, bet IPv6 iet uz fizisko adapteri, jo profils iespieda tikai IPv4 maršrutus. Tā ir īsta noplūde, un tā nav redzama uzņemšanā tikai ar IPv4. Filtrējiet IPv6 un vērojiet adreses, kas nav serveris un nav link-local.

Palaidiet abus meklējumus pirms savienošanas un pēc tam, lai redzētu, ko klients patiešām mainīja. Starpība starp abām palaidēm ir klienta reālā ietekme.

Kad uzņemšana patiešām ir noplūde

Dažkārt uzņemšana saka patiesību. Šaurāks maršruts, kas vienu prefiksu sūta ap tuneli, apakštīkls, kuram klientam tika likts izslēgt, vai ugunsmūra atļauja, kas darbojas pirms tuneļa politikas, visi var iznest datplūsmu uz vada atklātā veidā. Noteikums, kas atbilst procesu grupai, arī var būt apzināts izņēmums. Izlasiet tā saskarni un galamērķa apjomu, pirms to saucat par defektu.

Izlabojiet maršrutu vai izņēmumu, nevis ugunsmūri. Pēc tam atkal uzņemiet no jauna savienojuma un pārbaudiet IPv4 un IPv6 atsevišķi, jo viena labošana neko nepasaka par otru. tcpdump rokasgrāmata apraksta iepriekš izmantotos saskarnes un virziena atlasītājus.