Promet na eth0 ne pomeni, da tunel VPN pušča

Videti javne naslove na eth0, medtem ko je tunel vzpostavljen, se zdi kot dokaz, da je nekaj ušlo. Običajno je obratno: lastni paketi tunela morajo prečkati ta vmesnik, da dosežejo strežnik, in izgledajo kot običajni tokovi UDP ali TCP. Notranji paket se pojavi le na napravi tunela. Razlikovati oba pomeni brati ovoj, ne zaupati številu bajtov.

Vsak paket tunela vseeno prečka žico

Tunel je vmesnik, ne žica. Odjemalec vzame notranji paket, ga zavije in rezultat pošlje na naslov in vrata strežnika iz profila. Na fizičnem vmesniku vidite ovoj; na napravi tunela vidite tisto, kar je bilo zavito.

V načinu UDP je zunanji tok en sam par naslova in vrat v vsako smer, zato je zdrav tunel na eth0 videti skoraj dolgočasno. Prav ta en sam par je treba iskati najprej.

Zajemite en vmesnik naenkrat

Zajemite le en vmesnik naenkrat, kadar nameravate primerjati štetja. Psevdo vmesnik any zbira vse naprave hkrati, zato se posredovani paket pojavi na vhodu in izhodu, lokalno ustvarjeni pa dvakrat v dveh različnih oblikah. Enaka štetja paketov z neenakimi štetji bajtov so običajna, ker je ovoj večji od tega, kar nosi. ARP, DHCP in napovedi usmerjevalnika IPv6 spadajo na lokalno povezavo in o vaši aplikaciji ne povedo ničesar.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Zamenjajte naslov in vrata z vrednostmi iz samega profila. Če je ta tok stalen, tunel nekaj nosi.

Vprašajte jedro, katero napravo izbere

Vprašajte jedro, katero napravo bi izbralo, nato pa potrdite na žici. Iskanje poti je odločitev, zajem pa dokaz, da je bila odločitev upoštevana. Odgovarjata na različna vprašanja in potrebujete oboje.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Razdeljen rezultat je običajna najdba: IPv4 gre v tunel, IPv6 pa na fizični vmesnik, ker je profil potisnil le poti IPv4. To je resnično uhajanje in v zajemu samo z IPv4 je nevidno. Filtrirajte IPv6 in opazujte naslove, ki niso strežnik in niso link-local.

Zaženite oba iskanja pred povezavo in po njej, da vidite, kaj je odjemalec v resnici spremenil. Razlika med obema izvajanjema je resnični učinek odjemalca.

Ko je zajem resnično uhajanje

Včasih zajem govori resnico. Ožja pot, ki pošilja eno predpono mimo tunela, podomrežje, ki ga je odjemalec dobil navodilo izključiti, ali dovoljenje v požarnem zidu, ki se izvede pred politiko tunela, lahko vsi spravijo promet na žico odkrito. Pravilo, ki ustreza skupini procesov, je lahko tudi namerna izjema. Preberite njegov vmesnik in obseg cilja, preden to imenujete napaka.

Popravite pot ali izjemo, ne požarnega zidu. Nato znova zajemite iz nove povezave in preverite IPv4 in IPv6 ločeno, saj popravljanje enega ne pove ničesar o drugem. priročnik tcpdump pokriva izbirnike vmesnika in smeri, uporabljene zgoraj.