eth0 üzerindeki trafik VPN tünelinin sızdığı anlamına gelmez

Tünel açıkken eth0 üzerinde genel adresler görmek, bir şeyin kaçtığına dair kanıt gibi hissettirir. Genellikle tersi olur: tünelin kendi paketleri sunucuya ulaşmak için o bağdaştırıcıyı geçmek zorundadır ve sıradan UDP veya TCP akışları gibi görünürler. İç paket yalnızca tünel aygıtında görünür. İkisini ayırmak zarfı okuma meselesidir, bayt sayısına güvenme meselesi değil.

Her tünel paketi yine de kablodan geçer

Tünel bir arayüzdür, kablo değil. İstemci bir iç paket alır, onu sarar ve sonucu profildeki sunucu adresine ve bağlantı noktasına gönderir. Fiziksel bağdaştırıcıda sargıyı görürsünüz; tünel aygıtında sarılanı görürsünüz.

UDP kipinde dış akış her yönde tek bir adres ve bağlantı noktası çiftidir, bu yüzden sağlıklı bir tünel eth0 üzerinde neredeyse sıkıcı görünür. İlk aranması gereken şey tam da o tek çift.

Her seferinde tek bir arayüz yakalayın

Sayıları karşılaştırmayı düşünüyorsanız her seferinde yalnızca bir arayüz yakalayın. any sözde arayüzü her aygıtı aynı anda toplar, bu yüzden iletilen bir paket girişte ve çıkışta görünür, yerelde üretilen paket ise iki farklı biçimde iki kez görünür. Paket sayıları eşit, bayt sayıları eşit değilse bu normaldir, çünkü sargı taşıdığından büyüktür. ARP, DHCP ve IPv6 yönlendirici duyuruları yerel bağlantıya aittir ve uygulamanız hakkında hiçbir şey söylemez.

sudo tcpdump -i eth0 -n host 203.0.113.10 and udp port 1194

Adresi ve bağlantı noktasını profilin kendi değerleriyle değiştirin. O akış düzenliyse tünel bir şey taşıyor.

Çekirdeğe hangi aygıtı seçtiğini sorun

Çekirdeğe hangi aygıtı seçeceğini sorun, sonra kabloda doğrulayın. Yol sorgusu karardır, yakalama ise karara uyulduğunun kanıtıdır. Farklı soruları yanıtlarlar ve ikisine de ihtiyacınız var.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Bölünmüş sonuç yaygın bulgudur: profil yalnızca IPv4 yollarını ittiği için IPv4 tünele gider ve IPv6 fiziksel bağdaştırıcıya gider. Bu gerçek bir sızıntıdır ve yalnızca IPv4 içeren bir yakalamada görünmez. IPv6 için süzün ve sunucu olmayan, link-local olmayan adreslere dikkat edin.

Bağlanmadan önce ve sonra iki sorguyu da çalıştırın, böylece istemcinin gerçekte neyi değiştirdiğini görürsünüz. İki çalıştırma arasındaki fark istemcinin gerçek etkisidir.

Yakalama gerçekten bir sızıntıysa

Bazen yakalama doğruyu söyler. Bir öneki tünelin etrafından gönderen daha dar bir yol, istemciye hariç tutması söylenen bir alt ağ veya tünel ilkesinden önce çalışan bir güvenlik duvarı izni, hepsi trafiği açık biçimde kabloya çıkarabilir. Bir süreç grubuyla eşleşen kural da kasıtlı bir istisna olabilir. Arıza demeden önce arayüzünü ve hedef kapsamını okuyun.

Yolu veya istisnayı düzeltin, güvenlik duvarını değil. Sonra yeni bir bağlantıdan yeniden yakalayın ve IPv4 ile IPv6'yı ayrı ayrı denetleyin, çünkü birini düzeltmek diğeri hakkında hiçbir şey söylemez. tcpdump el kitabı yukarıda kullanılan arayüz ve yön seçicilerini kapsar.