Trafik pada eth0 tidak bermakna terowong VPN bocor

Melihat alamat awam pada eth0 semasa terowong aktif terasa seperti bukti sesuatu telah terlepas. Biasanya sebaliknya: paket terowong itu sendiri mesti merentasi penyesuai itu untuk sampai ke pelayan, dan ia kelihatan seperti aliran UDP atau TCP biasa. Paket dalaman hanya muncul pada peranti terowong. Membezakan kedua-duanya ialah soal membaca sampul, bukan soal mempercayai kiraan bait.

Setiap paket terowong tetap merentasi wayar

Terowong ialah antara muka, bukan wayar. Klien mengambil paket dalaman, membungkusnya dan menghantar hasilnya ke alamat serta port pelayan daripada profil. Pada penyesuai fizikal anda melihat bungkusan; pada peranti terowong anda melihat apa yang dibungkus.

Dalam mod UDP aliran luar ialah satu pasangan alamat dan port dalam setiap arah, sebab itu terowong yang sihat kelihatan hampir membosankan pada eth0. Pasangan tunggal itulah yang perlu dicari dahulu.

Tangkap satu antara muka pada satu masa

Tangkap satu antara muka pada satu masa apabila anda mahu membandingkan kiraan. Antara muka pseudo any mengumpul setiap peranti sekali gus, jadi paket yang dihantar muncul di pintu masuk dan keluar dan paket yang dijana secara setempat muncul dua kali dalam dua bentuk berbeza. Kiraan paket yang sama dengan kiraan bait yang berbeza adalah normal, kerana bungkusan lebih besar daripada apa yang dibawanya. ARP, DHCP dan iklan penghala IPv6 tergolong dalam pautan setempat dan tidak berkata apa-apa tentang aplikasi anda.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Gantikan alamat dan port dengan nilai profil itu sendiri. Jika aliran itu tetap, terowong membawa sesuatu.

Tanya kernel peranti mana yang dipilihnya

Tanya kernel peranti mana yang akan dipilihnya, kemudian sahkan pada wayar. Carian laluan ialah keputusan, dan tangkapan ialah bukti keputusan itu diikuti. Kedua-duanya menjawab soalan berbeza dan anda mahu kedua-duanya.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Hasil berbelah ialah penemuan biasa: IPv4 menuju terowong dan IPv6 menuju penyesuai fizikal kerana profil hanya menolak laluan IPv4. Itu kebocoran sebenar, dan ia tidak kelihatan dalam tangkapan yang hanya mengandungi IPv4. Tapis IPv6 dan perhatikan alamat yang bukan pelayan dan bukan link-local.

Jalankan kedua-dua carian sebelum dan selepas bersambung, supaya anda dapat melihat apa yang benar-benar diubah oleh klien. Perbezaan antara kedua-dua jalanan ialah kesan sebenar klien.

Apabila tangkapan benar-benar kebocoran

Kadang-kadang tangkapan berkata benar. Laluan yang lebih sempit yang menghantar satu awalan di sekeliling terowong, subrangkaian yang diberitahu kepada klien untuk dikecualikan, atau kebenaran firewall yang berjalan sebelum dasar terowong semuanya boleh meletakkan trafik pada wayar secara terbuka. Peraturan yang sepadan dengan kumpulan proses juga boleh menjadi pengecualian yang disengajakan. Baca antara muka dan skop destinasinya sebelum anda memanggilnya kecacatan.

Betulkan laluan atau pengecualian, bukan firewall. Kemudian tangkap semula daripada sambungan baharu dan periksa IPv4 dan IPv6 secara berasingan, kerana membetulkan satu tidak berkata apa-apa tentang yang lain. manual tcpdump merangkumi pemilih antara muka dan arah yang digunakan di atas.