Premávka na eth0 neznamená, že tunel VPN uniká

Vidieť verejné adresy na eth0, kým je tunel zapnutý, pôsobí ako dôkaz, že niečo uniklo. Zvyčajne je to naopak: vlastné pakety tunela musia prejsť týmto adaptérom, aby sa dostali na server, a vyzerajú ako bežné toky UDP alebo TCP. Vnútorný paket sa objaví len na zariadení tunela. Rozlíšiť oboje znamená čítať obal, nie veriť počtu bajtov.

Každý paket tunela napriek tomu prechádza drôtom

Tunel je rozhranie, nie drôt. Klient vezme vnútorný paket, zabalí ho a výsledok pošle na adresu a port servera z profilu. Na fyzickom adaptéri vidíte obal; na zariadení tunela vidíte to, čo bolo zabalené.

V režime UDP je vonkajší tok jediná dvojica adresy a portu v každom smere, a preto zdravý tunel vyzerá na eth0 takmer nudne. Práve túto jedinú dvojicu treba hľadať najskôr.

Snímajte vždy len jedno rozhranie

Snímajte vždy len jedno rozhranie, keď chcete porovnávať počty. Pseudo-rozhranie any zbiera všetky zariadenia naraz, takže preposielaný paket sa objaví na vstupe aj výstupe a lokálne vytvorený sa objaví dvakrát v dvoch rôznych podobách. Rovnaké počty paketov pri nerovnakých počtoch bajtov sú normálne, pretože obal je väčší než to, čo nesie. ARP, DHCP a oznámenia smerovača IPv6 patria na miestne spojenie a o vašej aplikácii nič nehovoria.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Nahraďte adresu a port vlastnými hodnotami z profilu. Ak je tento tok stály, tunel niečo nesie.

Spýtajte sa jadra, ktoré zariadenie si vyberie

Spýtajte sa jadra, ktoré zariadenie by si vybralo, a potom to potvrďte na drôte. Hľadanie v smerovacej tabuľke je rozhodnutie a záznam je dôkaz, že sa rozhodnutie dodržalo. Odpovedajú na rôzne otázky a chcete oboje.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Rozdelený výsledok je bežný nález: IPv4 ide do tunela a IPv6 ide na fyzický adaptér, pretože profil pretlačil len trasy IPv4. To je skutočný únik a v zázname iba s IPv4 je neviditeľný. Filtrujte IPv6 a sledujte adresy, ktoré nie sú server a nie sú link-local.

Spustite obe hľadania pred pripojením a po ňom, aby ste videli, čo klient skutočne zmenil. Rozdiel medzi oboma behmi je skutočný efekt klienta.

Keď je záznam naozaj únik

Niekedy záznam hovorí pravdu. Užšia trasa, ktorá posiela jeden prefix mimo tunela, podsiete, ktorú klient dostal pokyn vylúčiť, alebo povolenie vo firewalle, ktoré beží pred politikou tunela, môžu všetky dostať prevádzku na drôt v otvorenej podobe. Pravidlo, ktoré zodpovedá skupine procesov, tiež môže byť zámernou výnimkou. Prečítajte si jeho rozhranie a rozsah cieľa, skôr než to nazvete chybou.

Opravte trasu alebo výnimku, nie firewall. Potom znova nasnímajte z nového pripojenia a skontrolujte IPv4 a IPv6 oddelene, pretože oprava jedného nič nehovorí o druhom. príručka tcpdump opisuje selektory rozhrania a smeru použité vyššie.