Саобраћај на eth0 не значи да VPN тунел цури

Видети јавне адресе на eth0 док је тунел подигнут изгледа као доказ да је нешто побегло. Обично је обрнуто: сопствени пакети тунела морају да пређу тај адаптер да би стигли до сервера, и изгледају као обични токови UDP или TCP. Унутрашњи пакет се појављује само на уређају тунела. Разликовати то двоје ствар је читања омота, а не поверења у број бајтова.

Сваки пакет тунела ипак прелази жицу

Тунел је интерфејс, а не жица. Клијент узима унутрашњи пакет, умотава га и шаље резултат на адресу и порт сервера из профила. На физичком адаптеру видите омот; на уређају тунела видите оно што је било умотано.

У режиму UDP спољни ток је један пар адресе и порта у сваком смеру, зато здрав тунел изгледа готово досадно на eth0. Тај једини пар је прво што треба тражити.

Снимајте један интерфејс одједном

Снимајте један интерфејс одједном када намеравате да упоредите бројања. any псеудо-интерфејс прикупља сваки уређај одједном, па се прослеђени пакет појављује на улазу и излазу, а локално генерисани двапут у два различита облика. Једнаки бројеви пакета уз неједнаке бројеве бајтова су нормални, јер је омот већи од онога што носи. ARP, DHCP и објаве IPv6 рутера припадају локалној вези и не говоре ништа о вашој апликацији.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Замените адресу и порт вредностима из самог профила. Ако је тај ток сталан, тунел нешто носи.

Питајте језгро који уређај бира

Питајте језгро који би уређај изабрало, па потврдите на жици. Претрага руте је одлука, а снимак је доказ да је одлука испраћена. Они одговарају на различита питања и потребни су вам обоје.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Подељен резултат је уобичајен налаз: IPv4 иде у тунел, а IPv6 иде на физички адаптер јер је профил гурнуо само IPv4 руте. То је стварно цурење и оно је невидљиво у снимку само са IPv4. Филтрирајте IPv6 и пазите на адресе које нису сервер и нису link-local.

Покрените обе претраге пре и после повезивања, да видите шта је клијент заиста променио. Разлика између два покретања је стварни ефекат клијента.

Када је снимак заиста цурење

Понекад снимак говори истину. Ужа рута која шаље један префикс около тунела, подмрежа коју је клијент добио налог да искључи, или пропуштање на заштитном зиду које се извршава пре политике тунела, све то може да изведе саобраћај на жицу отворено. Правило које одговара групи процеса такође може бити намерни изузетак. Прочитајте његов интерфејс и обим одредишта пре него што то назовете грешком.

Поправите руту или изузетак, не заштитни зид. Затим поново снимите из нове везе и проверите IPv4 и IPv6 одвојено, јер поправка једног не говори ништа о другом. приручник за tcpdump описује селекторе интерфејса и смера коришћене горе.