Trafiki kwenye eth0 haimaanishi kuwa handaki la VPN linavuja

Kuona anwani za umma kwenye eth0 wakati handaki liko juu huhisi kama uthibitisho kwamba kitu kilitoka. Kwa kawaida ni kinyume: pakiti za handaki lenyewe lazima zivuke adapta hiyo ili kufikia seva, na zinaonekana kama mitiririko ya kawaida ya UDP au TCP. Pakiti ya ndani inaonekana tu kwenye kifaa cha handaki. Kutofautisha hizi mbili ni suala la kusoma kifuniko, si la kuamini hesabu ya baiti.

Kila pakiti ya handaki bado inavuka waya

Handaki ni violesura, si waya. Mteja huchukua pakiti ya ndani, anaifunga, na kutuma matokeo kwenye anwani na bandari ya seva kutoka kwa wasifu. Kwenye adapta ya kimwili unaona kifuniko; kwenye kifaa cha handaki unaona kile kilichofungwa.

Katika hali ya UDP mtiririko wa nje ni jozi moja ya anwani na bandari katika kila mwelekeo, ndiyo sababu handaki lenye afya huonekana karibu kuwa la kuchosha kwenye eth0. Jozi hiyo moja ndiyo kitu cha kwanza cha kutafuta.

Nasa violesura kimoja kwa wakati

Nasa violesura kimoja tu kwa wakati unapokusudia kulinganisha hesabu. Kiolesura bandia any hukusanya kila kifaa kwa wakati mmoja, kwa hiyo pakiti iliyopelekwa huonekana kwenye kiingilio na kitokeo na ile iliyoundwa kienyeji huonekana mara mbili katika maumbo mawili tofauti. Hesabu sawa za pakiti na hesabu zisizosawa za baiti ni kawaida, kwa sababu kifuniko ni kikubwa kuliko kile kinachobeba. ARP, DHCP na matangazo ya kipanga njia ya IPv6 ni za kiungo cha ndani na hazisemi chochote kuhusu programu yako.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Badilisha anwani na bandari kwa thamani za wasifu wenyewe. Ikiwa mtiririko huo ni thabiti, handaki linabeba kitu.

Muulize kernel kifaa kipi kinachochagua

Muulize kernel kifaa kipi kingechagua, kisha thibitisha kwenye waya. Utafutaji wa njia ni uamuzi, na kunasa ni uthibitisho kwamba uamuzi ulifuatwa. Wanajibu maswali tofauti na unahitaji yote mawili.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Matokeo yaliyogawanyika ni ugunduzi wa kawaida: IPv4 huenda kwenye handaki na IPv6 huenda kwenye adapta ya kimwili kwa sababu wasifu ulisukuma njia za IPv4 pekee. Hiyo ni uvujaji wa kweli, na hauonekani katika kunasa kwa IPv4 pekee. Chuja IPv6 na uangalie anwani ambazo si seva na si link-local.

Endesha utafutaji wote wawili kabla na baada ya kuunganisha, ili uone mteja alibadilisha nini hasa. Tofauti kati ya uendeshaji huo miwili ni athari halisi ya mteja.

Wakati kunasa ni uvujaji kweli

Wakati mwingine kunasa husema ukweli. Njia nyembamba inayotuma kiambishi awali kimoja kuzunguka handaki, subnet iliyoambiwa mteja aiondoe, au ruhusa ya firewall inayoendesha kabla ya sera ya handaki, zote zinaweza kuweka trafiki kwenye waya wazi. Sheria inayolingana na kundi la michakato inaweza pia kuwa msamaha wa kukusudia. Soma violesura na wigo wa lengo kabla ya kuiita hitilafu.

Rekebisha njia au msamaha, si firewall. Kisha nasa tena kutoka muunganisho mpya na uangalie IPv4 na IPv6 kivyake, kwa sababu kurekebisha kimoja hakisemi chochote kuhusu kingine. mwongozo wa tcpdump unashughulikia vichaguzi vya violesura na mwelekeo vilivyotumika juu.