Сообраќајот на eth0 не значи дека VPN тунелот протекува

Гледањето јавни адреси на eth0 додека тунелот е подигнат изгледа како доказ дека нешто избегало. Обично е обратно: сопствените пакети на тунелот мора да го преминат тој адаптер за да стигнат до серверот, и тие изгледаат како обични текови UDP или TCP. Внатрешниот пакет се појавува само на уредот на тунелот. Да се разликуваат двете е работа на читање на обвивката, не на доверба во број на бајти.

Секој пакет на тунелот сепак ја преминува жицата

Тунелот е интерфејс, не жица. Клиентот зема внатрешен пакет, го завиткува и резултатот го праќа на адресата и портата на серверот од профилот. На физичкиот адаптер ја гледате обвивката; на уредот на тунелот го гледате тоа што било завиткано.

Во режим UDP надворешниот тек е еден пар адреса и порта во секој правец, затоа здравиот тунел изгледа речиси здодевно на eth0. Токму тој единствен пар е првото нешто што треба да се бара.

Снимајте еден интерфејс истовремено

Снимајте еден интерфејс истовремено кога имате намера да споредувате броења. Псевдоинтерфејсот any ги собира сите уреди одеднаш, па препратен пакет се појавува на влезот и излезот, а локално создаден пакет се појавува двапати во два различни облика. Еднакви броеви на пакети со нееднакви броеви на бајти се нормални, бидејќи обвивката е поголема од тоа што го носи. ARP, DHCP и објавите на рутерот IPv6 припаѓаат на локалната врска и не кажуваат ништо за вашата апликација.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Заменете ја адресата и портата со сопствените вредности од профилот. Ако тој тек е постојан, тунелот носи нешто.

Прашајте го јадрото кој уред го избира

Прашајте го јадрото кој уред би го избрало, потоа потврдете на жицата. Пребарувањето на маршрутата е одлуката, а снимањето е доказот дека одлуката е следена. Тие одговараат на различни прашања и ви требаат двете.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Поделениот резултат е вообичаеното откритие: IPv4 оди во тунелот, а IPv6 оди на физичкиот адаптер зашто профилот турна само маршрути IPv4. Тоа е вистинско протекување и тоа е невидливо во снимање само на IPv4. Филтрирајте IPv6 и внимавајте на адреси што не се серверот и не се link-local.

Извршете ги двете пребарувања пред и по поврзувањето, за да видите што клиентот навистина сменил. Разликата меѓу двете извршувања е вистинскиот ефект на клиентот.

Кога снимањето навистина е протекување

Понекогаш снимањето ја кажува вистината. Потесна маршрута што праќа еден префикс околу тунелот, подмрежа што на клиентот му било кажано да ја исклучи, или дозвола во огнениот ѕид што се извршува пред политиката на тунелот, сето тоа може да извади сообраќај на жицата отворено. Правило што се совпаѓа со група процеси исто така може да биде намерен исклучок. Прочитајте го неговиот интерфејс и опсегот на одредиштето пред да го наречете дефект.

Поправете ја маршрутата или исклучокот, не огнениот ѕид. Потоа снимајте повторно од нова врска и проверете IPv4 и IPv6 одделно, зашто поправката на едното не кажува ништо за другото. Прирачникот за tcpdump ги опишува избирачите на интерфејс и насока користени погоре.