Шта екран iftop може, а шта не може да докаже о VPN-у

Екран iftop одговара на једно питање истовремено: који парови домаћина размењују бајтове кроз интерфејс на који сте га усмерили. Не одговара да ли свака апликација следи VPN политику, а празан екран не доказује да ништа није исцурело. Управо у разлици између те две тврдње греши већина расправа о тестовима цурења. Шта приказ заиста значи одређују три услова, и сва три су видљива у командној линији коју сте користили.

Три услова одређују значење екрана

Услови су који интерфејс се приказује, шта скривају филтер и сам алат, и шта је тест заиста извео. Одговорите тим редом, јер грешка у првом чини друга два бесмисленим.

Услов интерфејса је важан јер приказ тунела и физички приказ показују различите слојеве истог саобраћаја. Гледање у интерфејс тунела показује токове унутар тунела; гледање у физички интерфејс показује носиоца тунела, плус сав легитиман саобраћај подешавања, контроле или локални саобраћај који дели ту везу. Ниједан приказ није погрешан и ниједан није цела слика. Именовање оног у који гледате разлика је између доказа и утиска.

Први услов: који интерфејс се приказује

iftop преузима интерфејс експлицитно преко -i, а његов приручник описује понашање када то не учините: бира један, који може бити уређај који изгледа спољашњи, а не тунел. Та подразумевана поставка разумна је за алат пропусног опсега, а лоша за тест цурења.

Увек наведите интерфејс и запишите га поред резултата. Снимак екрана без имена интерфејса није поновљив.

Други услов: шта скривају филтер и алат

iftop прихвата израз филтера, а ток који филтер искључи невидљив је због конструкције, а не због одсуства. Алат такође подразумевано обавља претраге имена домаћина ради означавања адреса, и те претраге стварају сопствени DNS саобраћај, односно саобраћај који нисте намеравали да посматрате. -n искључује претраге и чини приказ нумеричким; сакрити DNS редове касније није исто као не стварати упите.

Ту разлику вреди рећи директно, јер се појављује и у другим алатима: потискивање приказа неке активности није исто као њено спречавање. Ако су DNS претраге део онога што тестирате, покрените тест са искљученим претрагама, да посматрање не би загадио посматрач.

Трећи услов: шта је тест заиста извео

Један захтев из једне апликације, ка једном одредишту, у једној фамилији адреса доказује нешто о том захтеву. Не доказује ништа о другој апликацији, другом одредишту или другој фамилији адреса, а IPv6 је фамилија која се најчешће заборавља управо у овој врсти провере.

Зато дефинишите захтев пре почетка: безопасно одредиште, из апликације која вам је важна, у фамилији која вам је важна, са тунелом у његовом одобреном стању. Затим проверите страну која прима или сопствену дијагностику клијента, јер далеки крај зна шта је стигло на начин на који локални екран не може. Затим изведите одобрени случај недоступног тунела и погледајте да ли се саобраћај зауставља, јер то је понашање на које се захтев обично заиста односи.

DNS заслужује сопствено посматрање. Прималац упита и путања коју је упит прошао две су чињенице, а екран пропусног опсега не показује ниједну.

Коришћење iftop-а као поткрепљујућег доказа

Тек тада iftop додаје вредност, и то је додаје као потврду. sudo iftop -i wg0 -n -B -P -f "host 203.0.113.9" показује да ли се очекивани ток појављује на очекиваном интерфејсу, са бројањима бајтова која тврдњу о мировању чине проверљивом.

Упоредите то са ss -tnp за приказ на нивоу сокета и ip route get за путању коју би језгро изабрало, и имате три посматрања једног захтева уместо једног утиска о машини. Приручник iftop-а документује избор интерфејса, синтаксу филтера и понашање претраге, што су три ствари од којих зависи тест цурења. Екран пропусног опсега лоцира активност; путања, изузеци и понашање при отказу одређују да ли та активност испуњава захтев.