Trafiku në eth0 nuk do të thotë që tuneli VPN rrjedh

Të shohësh adresa publike në eth0 ndërsa tuneli është aktiv duket si provë se diçka ka shpëtuar. Zakonisht është e kundërta: paketat e vetë tunelit duhet të kalojnë atë përshtatës për të arritur serverin, dhe ato duken si rrjedha të zakonshme UDP ose TCP. Paketa e brendshme shfaqet vetëm në pajisjen e tunelit. Të dallosh të dyja është çështje leximi i mbështjelljes, jo besimi në një numërim bajtësh.

Çdo paketë e tunelit gjithsesi kalon telin

Tuneli është një ndërfaqe, jo një tel. Klienti merr një paketë të brendshme, e mbështjell dhe dërgon rezultatin në adresën dhe portën e serverit nga profili. Në përshtatësin fizik shihni mbështjelljen; në pajisjen e tunelit shihni atë që u mbështoll.

Në modalitetin UDP rrjedha e jashtme është një çift i vetëm adrese dhe porte në secilin drejtim, prandaj një tunel i shëndoshë duket pothuajse i mërzitshëm në eth0. Pikërisht ai çift i vetëm është gjëja e parë që duhet kërkuar.

Kapni një ndërfaqe në një herë

Kapni vetëm një ndërfaqe në një herë kur keni ndërmend të krahasoni numërimet. Pseudo-ndërfaqja any mbledh çdo pajisje përnjëherë, kështu që një paketë e përcjellë shfaqet në hyrje dhe në dalje, dhe një e krijuar lokalisht shfaqet dy herë në dy forma të ndryshme. Numërime të barabarta paketash me numërime të pabarabarta bajtësh janë normale, sepse mbështjellja është më e madhe se ajo që mbart. ARP, DHCP dhe njoftimet e ruterit IPv6 i përkasin lidhjes lokale dhe nuk thonë asgjë për aplikacionin tuaj.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Zëvendësoni adresën dhe portën me vlerat e vetë profilit. Nëse ajo rrjedhë është e qëndrueshme, tuneli mbart diçka.

Pyesni kernelin cilën pajisje zgjedh

Pyesni kernelin cilën pajisje do të zgjidhte, më pas konfirmoni në tel. Kërkimi i rrugës është vendimi, dhe kapja është prova se vendimi u ndoq. Ata përgjigjen pyetjeve të ndryshme dhe ju i doni të dyja.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Një rezultat i ndarë është gjetja e zakonshme: IPv4 shkon në tunel dhe IPv6 shkon në përshtatësin fizik, sepse profili shtyu vetëm rrugë IPv4. Ky është një rrjedhje e vërtetë, dhe është e padukshme në një kapje vetëm me IPv4. Filtroni për IPv6 dhe vëzhgoni adresat që nuk janë serveri dhe nuk janë link-local.

Ekzekutoni të dy kërkimet para dhe pas lidhjes, që të shihni çfarë ndryshoi vërtet klienti. Diferenca midis dy ekzekutimeve është efekti i vërtetë i klientit.

Kur kapja është vërtet një rrjedhje

Ndonjëherë kapja thotë të vërtetën. Një rrugë më e ngushtë që dërgon një prefiks rreth tunelit, një nënrrjetë që klientit iu tha ta përjashtojë, ose një lejim në firewall që ekzekutohet para politikës së tunelit, të gjitha mund ta nxjerrin trafikun në tel hapur. Edhe një rregull që përputhet me një grup procesesh mund të jetë përjashtim i qëllimshëm. Lexoni ndërfaqen dhe shtrirjen e destinacionit para se ta quani defekt.

Rregulloni rrugën ose përjashtimin, jo firewall-in. Më pas kapni përsëri nga një lidhje e re dhe kontrolloni IPv4 dhe IPv6 veçmas, sepse rregullimi i njërës nuk thotë asgjë për tjetrën. manualin e tcpdump mbulon përzgjedhësit e ndërfaqes dhe të drejtimit të përdorur më sipër.