Čo môže a čo nemôže obrazovka iftop dokázať o VPN

Obrazovka iftop odpovedá na jednu otázku naraz: ktoré dvojice hostiteľov si vymieňajú bajty cez rozhranie, na ktoré ste ho namierili. Neodpovedá, či každá aplikácia dodržiava zásadu VPN, a prázdna obrazovka nedokazuje, že nič neuniklo. Práve v rozdiele medzi týmito dvoma tvrdeniami sa mýli väčšina diskusií o testoch úniku. Čo displej skutočne znamená, určujú tri podmienky a všetky tri sú viditeľné v príkazovom riadku, ktorý ste použili.

Tri podmienky určujú, čo obrazovka znamená

Podmienky sú: ktoré rozhranie sa zobrazuje, čo skrýva filter a samotný nástroj, a čo test skutočne vykonal. Odpovedzte na ne v tomto poradí, pretože chyba v prvej robí ďalšie dve bezvýznamnými.

Podmienka rozhrania je dôležitá, pretože pohľad na tunel a fyzický pohľad ukazujú rôzne vrstvy tej istej prevádzky. Pohľad na rozhranie tunela ukazuje toky vo vnútri tunela; pohľad na fyzické rozhranie ukazuje nosič tunela a k tomu všetku legitímnu nastavovaciu, riadiacu alebo miestnu prevádzku, ktorá toto spojenie zdieľa. Ani jeden pohľad nie je nesprávny a ani jeden nie je celý obraz. Pomenovať, na ktorý sa pozeráte, je rozdiel medzi dôkazom a dojmom.

Podmienka prvá: ktoré rozhranie sa zobrazuje

iftop preberá rozhranie výslovne pomocou -i a jeho manuál opisuje správanie, keď to neurobíte: vyberie jedno, čo môže byť zariadenie, ktoré vyzerá ako vonkajšie, a nie tunel. Táto predvolená voľba je rozumná pre nástroj šírky pásma a zlá pre test úniku.

Vždy zadajte rozhranie a zapíšte ho vedľa výsledku. Snímka obrazovky bez názvu rozhrania sa nedá reprodukovať.

Podmienka druhá: čo skrýva filter a nástroj

iftop prijíma výraz filtra a tok, ktorý filter vylúči, je neviditeľný konštrukciou, nie neprítomnosťou. Nástroj tiež predvolene vykonáva vyhľadávanie názvov hostiteľov na označenie adries a tieto vyhľadávania vytvárajú vlastnú prevádzku DNS, teda prevádzku, ktorú ste nechceli pozorovať. -n vypína vyhľadávania a robí displej číselným; skryť riadky DNS dodatočne nie je to isté ako nevytvárať otázky.

Tento rozdiel stojí za to povedať priamo, pretože sa objavuje aj v iných nástrojoch: potlačenie zobrazenia činnosti nie je to isté ako jej zabránenie. Ak sú vyhľadávania DNS súčasťou toho, čo testujete, spustite test s vypnutými vyhľadávaniami, aby pozorovanie nebolo kontaminované pozorovateľom.

Podmienka tretia: čo test skutočne vykonal

Jeden požiadavok z jednej aplikácie, na jedno cieľové miesto, v jednej rodine adries dokazuje niečo o tomto požiadavku. Nedokazuje nič o inej aplikácii, inom cieli ani o druhej rodine adries, a IPv6 je rodina, na ktorú sa práve pri tomto druhu kontroly najčastejšie zabúda.

Preto definujte požiadavok pred začiatkom: neškodné cieľové miesto, z aplikácie, na ktorej vám záleží, v rodine, na ktorej vám záleží, s tunelom v jeho schválenom stave. Potom skontrolujte prijímajúcu stranu alebo vlastnú diagnostiku klienta, pretože vzdialený koniec vie, čo dorazilo, spôsobom, ktorý miestna obrazovka nedokáže. Potom vyskúšajte schválený prípad nedostupného tunela a pozrite sa, či sa prevádzka zastaví, pretože o toto správanie požiadavke zvyčajne skutočne ide.

DNS si zaslúži vlastné pozorovanie. Príjemca otázky a trasa, ktorou otázka prešla, sú dva fakty a obrazovka šírky pásma neukazuje ani jeden.

Použitie iftop ako podporného dôkazu

Až vtedy iftop pridáva hodnotu a pridáva ju ako potvrdenie. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" ukazuje, či sa očakávaný tok objavuje na očakávanom rozhraní, s počtami bajtov, ktoré robia tvrdenie o nečinnosti overiteľným.

Porovnajte to s ss -tnp pre pohľad na úrovni socketu a ip route get pre trasu, ktorú by vybralo jadro, a máte tri pozorovania jedného požiadavku namiesto jedného dojmu o stroji. Manuál iftop dokumentuje voľbu rozhrania, syntax filtra a správanie vyhľadávania, čo sú tri veci, od ktorých závisí test úniku. Obrazovka šírky pásma lokalizuje činnosť; trasa, výnimky a správanie pri zlyhaní rozhodujú, či táto činnosť spĺňa požiadavku.