Kaj lahko in česa ne more dokazati zaslon iftop o VPN

Zaslon iftop odgovarja na eno vprašanje hkrati: katere pare gostiteljev si izmenjujejo bajte skozi vmesnik, na katerega ste ga usmerili. Ne odgovarja, ali vsaka aplikacija sledi politiki VPN, in prazen zaslon ne dokazuje, da ni nič ušlo. Prav v razliki med tema dvema trditvama se zmoti večina razprav o preskusih uhajanja. Kaj zaslon v resnici pomeni, določajo trije pogoji, in vsi trije so vidni v ukazni vrstici, ki ste jo uporabili.

Trije pogoji določajo, kaj zaslon pomeni

Pogoji so: kateri vmesnik je prikazan, kaj skrivata filter in samo orodje, in kaj je preskus dejansko izvedel. Odgovorite v tem vrstnem redu, ker napaka v prvem naredi druga dva nesmiselna.

Pogoj vmesnika je pomemben, ker pogled tunela in fizični pogled prikazujeta različne plasti istega prometa. Pogled na vmesnik tunela prikaže tokove znotraj tunela; pogled na fizični vmesnik prikaže nosilca tunela ter ves zakonit promet za nastavitev, nadzor ali lokalni promet, ki si deli to povezavo. Noben pogled ni napačen in noben ni celotna slika. Poimenovati, katerega gledate, je razlika med dokazom in vtisom.

Pogoj prvi: kateri vmesnik je prikazan

iftop prevzame vmesnik izrecno z -i, in njegov priročnik opisuje vedenje, ko tega ne storite: izbere enega, ki je lahko naprava, ki izgleda zunanja, in ne tunel. Ta privzeta izbira je smiselna za orodje pasovne širine in slaba za preskus uhajanja.

Vedno navedite vmesnik in ga zapišite ob rezultat. Zaslonska slika brez imena vmesnika ni ponovljiva.

Pogoj drugi: kaj skrivata filter in orodje

iftop sprejme izraz filtra, in tok, ki ga filter izloči, je neviden zaradi zgradbe in ne zaradi odsotnosti. Orodje tudi privzeto izvaja iskanja imen gostiteljev za označevanje naslovov, in ta iskanja ustvarjajo lasten promet DNS, torej promet, ki ga niste nameravali opazovati. -n izklopi iskanja in naredi prikaz številčen; skriti vrstice DNS pozneje ni isto kot ne ustvarjati poizvedb.

To razliko velja povedati neposredno, ker se pojavlja tudi v drugih orodjih: zatiranje prikaza dejavnosti ni isto kot preprečevanje. Če so iskanja DNS del tega, kar preizkušate, izvedite preskus z izklopljenimi iskanji, da opazovanja ne bo onesnažil opazovalec.

Pogoj tretji: kaj je preskus dejansko izvedel

Ena zahteva iz ene aplikacije, na en cilj, v eni družini naslovov dokazuje nekaj o tej zahtevi. Ne dokazuje ničesar o drugi aplikaciji, drugem cilju ali drugi družini naslovov, in IPv6 je družina, ki se prav pri tovrstnem preverjanju najpogosteje pozabi.

Zato zahtevo opredelite pred začetkom: neškodljiv cilj, iz aplikacije, ki vam je pomembna, v družini, ki vam je pomembna, s tunelom v njegovem odobrenem stanju. Nato preverite sprejemno stran ali lastno diagnostiko odjemalca, ker oddaljeni konec ve, kaj je prispelo, na način, ki ga lokalni zaslon ne more. Nato izvedite odobreni primer nedosegljivega tunela in poglejte, ali se promet ustavi, ker gre pri zahtevi običajno v resnici za to vedenje.

DNS si zasluži lastno opazovanje. Prejemnik poizvedbe in pot, ki jo je poizvedba opravila, sta dve dejstvi, in zaslon pasovne širine ne pokaže nobenega.

Uporaba iftop kot podpornega dokaza

Šele takrat iftop doda vrednost in jo doda kot potrditev. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" pokaže, ali se pričakovani tok pojavi na pričakovanem vmesniku, s štetji bajtov, ki naredijo trditev o mirovanju preverljivo.

Primerjajte to z ss -tnp za pogled na ravni vtičnice in ip route get za pot, ki bi jo izbralo jedro, in imate tri opazovanja ene zahteve namesto enega vtisa o stroju. Priročnik iftop dokumentira izbiro vmesnika, sintakso filtra in vedenje iskanja, kar so tri stvari, od katerih je odvisen preskus uhajanja. Zaslon pasovne širine lokalizira dejavnost; pot, izjeme in vedenje ob napaki odločajo, ali ta dejavnost izpolnjuje zahtevo.