Ang trapiko sa eth0 ay hindi ibig sabihin na tumatagas ang VPN tunnel

Ang makakita ng pampublikong address sa eth0 habang buhay ang tunnel ay parang patunay na may nakatakas. Karaniwan ay kabaligtaran: ang sariling mga packet ng tunnel ay kailangang tumawid sa adapter na iyon upang maabot ang server, at mukha silang ordinaryong daloy ng UDP o TCP. Ang panloob na packet ay lumilitaw lamang sa device ng tunnel. Ang pagkilala sa dalawa ay usapin ng pagbasa ng balot, hindi ng pagtitiwala sa bilang ng byte.

Bawat packet ng tunnel ay tumatawid pa rin sa kawad

Ang tunnel ay isang interface, hindi kawad. Kinukuha ng client ang panloob na packet, binabalot ito, at ipinapadala ang resulta sa address at port ng server mula sa profile. Sa pisikal na adapter nakikita mo ang balot; sa device ng tunnel nakikita mo ang nabalot.

Sa mode na UDP ang panlabas na daloy ay isang pares ng address at port sa bawat direksyon, kaya ang malusog na tunnel ay halos nakakabagot sa eth0. Ang nag-iisang pares na iyon ang unang dapat hanapin.

Kunin ang isang interface sa isang pagkakataon

Kunin lamang ang isang interface sa isang pagkakataon kapag balak mong ihambing ang mga bilang. Ang pseudo-interface na any ay nangongolekta ng bawat device nang sabay, kaya ang naipasang packet ay lumilitaw sa pasukan at labasan at ang ginawang lokal ay lumilitaw nang dalawang beses sa dalawang magkaibang anyo. Ang magkaparehong bilang ng packet na may magkaibang bilang ng byte ay normal, dahil ang balot ay mas malaki kaysa sa dinadala nito. Ang ARP, DHCP at mga anunsyo ng router na IPv6 ay kabilang sa lokal na link at wala silang sinasabi tungkol sa iyong application.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Palitan ang address at port ng sariling mga halaga ng profile. Kung ang daloy na iyon ay matatag, may dinadala ang tunnel.

Tanungin ang kernel kung aling device ang pipiliin nito

Tanungin ang kernel kung aling device ang pipiliin nito, pagkatapos ay kumpirmahin sa kawad. Ang paghahanap ng ruta ang desisyon, at ang pagkuha ng packet ang patunay na sinunod ang desisyon. Iba ang sinasagot nila at kailangan mo ang pareho.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Ang nahating resulta ang karaniwang natuklasan: ang IPv4 ay pumupunta sa tunnel at ang IPv6 ay pumupunta sa pisikal na adapter dahil ang profile ay nagtulak lamang ng mga rutang IPv4. Iyon ay tunay na pagtagas, at hindi ito nakikita sa pagkuha na IPv4 lamang. Salain ang IPv6 at bantayan ang mga address na hindi ang server at hindi link-local.

Patakbuhin ang dalawang paghahanap bago at pagkatapos kumonekta, upang makita mo kung ano talaga ang binago ng client. Ang pagkakaiba ng dalawang pagtakbo ang tunay na epekto ng client.

Kapag ang pagkuha ay tunay na pagtagas

Minsan ang pagkuha ay nagsasabi ng totoo. Ang mas makitid na ruta na nagpapadala ng isang prefix sa paligid ng tunnel, isang subnet na sinabihan ang client na ibukod, o isang pagpayag sa firewall na tumatakbo bago ang patakaran ng tunnel, lahat sila ay maaaring maglabas ng trapiko sa kawad nang lantad. Ang isang tuntunin na tumutugma sa isang pangkat ng proseso ay maaari ring maging sadyang pagbubukod. Basahin ang interface at saklaw ng destinasyon bago mo ito tawaging depekto.

Ayusin ang ruta o ang pagbubukod, hindi ang firewall. Pagkatapos ay kumuha muli mula sa bagong koneksyon at suriin ang IPv4 at IPv6 nang hiwalay, dahil ang pag-aayos ng isa ay walang sinasabi tungkol sa isa. Ang manwal ng tcpdump ay sumasaklaw sa mga tagapili ng interface at direksyon na ginamit sa itaas.