Што може и што не може да докаже екранот на iftop за една VPN

Екранот на iftop одговара на едно прашање истовремено: кои парови домаќини разменуваат бајти преку интерфејсот кон кој го насочивте. Не одговара дали секоја апликација следи VPN политика, и празен екран не докажува дека ништо не истекло. Токму во разликата меѓу тие две тврдења повеќето расправи за тестови на истекување грешат. Три услови одредуваат што приказот всушност значи, и сите три се видливи во командната линија што ја користевте.

Три услови одредуваат што значи екранот

Условите се кој интерфејс се прикажува, што кријат филтерот и самата алатка, и што всушност изведе тестот. Одговорете им по тој редослед, бидејќи грешка во првото ги прави другите две бесмислени.

Условот за интерфејсот е важен бидејќи приказот на тунелот и физичкиот приказ покажуваат различни слоеви од истиот сообраќај. Гледањето во интерфејсот на тунелот ги покажува тековите внатре во тунелот; гледањето во физичкиот интерфејс го покажува носителот на тунелот, плус секој легитимен сообраќај за поставување, контрола или локален сообраќај што ја дели таа врска. Ниту еден приказ не е погрешен и ниту еден не е целата слика. Именувањето во кој гледате е разликата меѓу доказ и впечаток.

Прв услов: кој интерфејс се прикажува

iftop го зема интерфејсот експлицитно преку -i, и неговото упатство го опишува однесувањето кога не го правите тоа: избира еден, кој може да биде уредот што изгледа надворешно, а не тунелот. Тоа стандардно избирање е разумно за алатка за пропусен опсег и лошо за тест на истекување.

Секогаш наведете го интерфејсот и запишете го до резултатот. Снимка од екранот без името на интерфејсот не е повторлива.

Втор услов: што кријат филтерот и алатката

iftop прифаќа израз за филтер, и текот што филтерот го исклучува е невидлив поради конструкцијата, а не поради отсуство. Алатката исто така стандардно прави пребарувања на имиња на домаќини за означување на адресите, и тие пребарувања создаваат сопствен DNS сообраќај, односно сообраќај што не сте имале намера да го набљудувате. -n ги исклучува пребарувањата и го прави приказот нумерички; криењето на DNS редовите подоцна не е исто како да не ги создавате барањата.

Таа разлика вреди да се каже директно, бидејќи се појавува и во други алатки: потиснувањето на приказот на некоја активност не е исто како да се спречи. Ако DNS пребарувањата се дел од она што го тестирате, извршете го тестот со исклучени пребарувања, за да не биде набљудувањето загадено од набљудувачот.

Трет услов: што всушност изведе тестот

Едно барање од една апликација, до едно одредиште, во едно семејство адреси докажува нешто за тоа барање. Не докажува ништо за друга апликација, друго одредиште или другото семејство адреси, а IPv6 е семејството што најчесто се заборава токму при ваков вид проверка.

Затоа дефинирајте го барањето пред да почнете: безопасно одредиште, од апликацијата што ви е важна, во семејството што ви е важно, со тунелот во неговата одобрена состојба. Потоа проверете ја страната што прима или сопствената дијагностика на клиентот, бидејќи далечниот крај знае што пристигнало на начин на кој локалниот екран не може. Потоа изведете го одобрениот случај на недостапен тунел и видете дали сообраќајот запира, бидејќи тоа е однесувањето за кое барањето обично всушност се однесува.

DNS заслужува сопствено набљудување. Примачот на барањето и патеката што ја помина барањето се два факти, а екранот за пропусен опсег не покажува ниту еден.

Користење на iftop како поткрепен доказ

Дури тогаш iftop додава вредност, и тоа ја додава како потврда. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" покажува дали очекуваниот тек се појавува на очекуваниот интерфејс, со бројања на бајти што ја прават тврдењата за мирување проверливи.

Споредете го тоа со ss -tnp за приказот на ниво на сокет и ip route get за патеката што јадрото би ја избрало, и имате три набљудувања на едно барање наместо еден впечаток за машина. Упатството на iftop документира изборот на интерфејс, синтаксата на филтерот и однесувањето при пребарување, што се токму трите работи од кои зависи тестот на истекување. Екранот за пропусен опсег ја лоцира активноста; патеката, исклучоците и однесувањето при дефект одлучуваат дали таа активност го исполнува барањето.