Saobraćaj na eth0 ne znači da VPN tunel curi

Vidjeti javne adrese na eth0 dok je tunel podignut izgleda kao dokaz da je nešto pobjeglo. Obično je obrnuto: vlastiti paketi tunela moraju preći taj adapter da bi stigli do servera, i izgledaju kao obični tokovi UDP ili TCP. Unutrašnji paket se pojavljuje samo na uređaju tunela. Razlikovati to dvoje stvar je čitanja omotača, a ne povjerenja u broj bajtova.

Svaki paket tunela ipak prelazi žicu

Tunel je interfejs, a ne žica. Klijent uzima unutrašnji paket, umotava ga i šalje rezultat na adresu i port servera iz profila. Na fizičkom adapteru vidite omotač; na uređaju tunela vidite ono što je bilo umotano.

U UDP režimu vanjski tok je jedan par adrese i porta u svakom smjeru, zato zdrav tunel izgleda gotovo dosadno na eth0. Taj jedini par je prvo što treba tražiti.

Snimajte jedan interfejs odjednom

Snimajte jedan interfejs odjednom kada namjeravate uporediti brojanja. any pseudo-interfejs skuplja svaki uređaj odjednom, pa se proslijeđeni paket pojavljuje na ulazu i izlazu, a lokalno generisan dvaput u dva različita oblika. Jednaki brojevi paketa uz nejednake brojeve bajtova su normalni, jer je omotač veći od onoga što nosi. ARP, DHCP i oglasi IPv6 rutera pripadaju lokalnoj vezi i ne govore ništa o vašoj aplikaciji.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Zamijenite adresu i port vrijednostima iz profila. Ako je taj tok stalan, tunel nešto nosi.

Pitajte jezgro koji uređaj bira

Pitajte jezgro koji bi uređaj izabralo, pa potvrdite na žici. Pretraga rute je odluka, a snimak je dokaz da je odluka slijeđena. Oni odgovaraju na različita pitanja i trebate oboje.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Podijeljen rezultat je uobičajen nalaz: IPv4 ide u tunel, a IPv6 ide na fizički adapter jer je profil poslao samo IPv4 rute. To je stvarno curenje i ono je nevidljivo u snimku samo IPv4. Filtrirajte IPv6 i pazite na adrese koje nisu server i nisu link-local.

Pokrenite obje pretrage prije i poslije povezivanja, da vidite šta je klijent zaista promijenio. Razlika između dva pokretanja je stvarni efekat klijenta.

Kada je snimak zaista curenje

Ponekad snimak govori istinu. Uža ruta koja jedan prefiks šalje oko tunela, podmreža koju je klijent dobio nalog da isključi, ili propuštanje na firewallu koje se izvršava prije politike tunela, sve to može izvesti saobraćaj na žicu otvoreno. Pravilo koje odgovara grupi procesa takođe može biti namjerni izuzetak. Pročitajte njegov interfejs i obim odredišta prije nego što to nazovete greškom.

Popravite rutu ili izuzetak, ne firewall. Zatim snimite ponovo iz nove veze i provjerite IPv4 i IPv6 odvojeno, jer popravka jednoga ne govori ništa o drugome. tcpdump priručnik pokriva selektore interfejsa i smjera korištene gore.