Binne- en buitepakkies in 'n VPN-opname: waarom groottes verskil

Jy neem 1400-greep-pakkies op die tonnelkoppelvlak waar, neem weer op die fisiese een waar, en die syfers wil net nie klop nie. Die adresse verskil, die groottes verskil, en die tweede lêer lyk soos 'n ander gesprek. Niets is fout nie. Twee verskillende pakkies sit op twee verskillende lae, en die verskil tussen hulle is wat die tonnel aan jou verkeer doen. Lees albei aansigte voordat jy die MTU blameer.

Twee uitkykpunte, en die pakkie wat elkeen wys

'n Opname wat op die tonnelkoppelvlak geneem word, wys die binnepakkie: die toepassing se vrag met sy oorspronklike bron en bestemming, voordat enige beskerming toegepas word. 'n Opname op die fisiese koppelvlak wys die buitepakkie: 'n IP-opskrif, 'n vervoeropskrif, die enkapsulering, en dan die geënkripteerde binnepakkie as vrag. Dieselfde gesprek, verskillende objekte. Sodra jy noem watter een die lêer bevat, is die wanverhouding nie meer 'n raaisel nie.

Die verskil in grootte is oorhoofs, en die verskil in adres is ontwerp. Draai dit om en die verwarring word voorspelbaar: mense vergelyk 'n binnepakkie van 1400 grepe met 'n buitepakkie van 1450 grepe, besluit iets is verkeerd, en begin MTU-instellings verander wat nooit skuldig was nie. Merk die lêer met die koppelvlak en die laag, want daardie etiket is die eerste ding wat 'n leser nodig het en die eerste ding wat mense weglaat.

Besluit die laag voordat jy die opname begin

Besluit watter laag jou vraag beantwoord voordat die eerste pakkie geskryf word. 'n MTU-vraag het gewoonlik die buitenste aansig nodig, want dit is waar opskrifte ophoop en waar die pad se limiet sigbaar word. 'n Toepassingsvraag het gewoonlik die binnerste aansig nodig, want dit is waar die vrag waaroor jy sorg nog bestaan. Om albei sonder 'n plan op te neem lewer twee lêers en geen gevolgtrekking nie.

Gebruik 'n onskadelike, gemagtigde toets en filter op die bron, bestemming en tyd wat vir jou saak maak. Lees die opnameprogram se koppelvlak- en filteropsies voordat jy versamel, want metadata is gewoonlik genoeg en is baie makliker om te deel as die vrag. Behandel die binne-opname by verstek as sensitief, want dit hou onversleutelde toepassingsdata wat eers verder langs die pad beskerm word.

Wat die grootteverskil werklik bevat

Die buitepakkie dra ekstra opskrifte en beskermingsmateriaal, en hoeveel dit dra hang van die protokol en sy opsies af. Fragmentering, samevoeging of herordening langs die pad kan die oënskynlike een-tot-een-verhouding tussen 'n binnepakkie en die buitepakkies wat dit dra, verbreek, so 'n vergelyking van grootte tot grootte is nie altyd beskikbaar nie. Vir 'n vermoede MTU-fout, soek na grootte-terugvoer en die punt waar verkeer stop, en vergelyk dit dan met wat die toepassing rapporteer. 'n Herstuurpatroon sonder antwoord is 'n ander sein as 'n ICMP-fout wat 'n volgende-hop-grootte dra.

'n Enkele pakkie wat die gasheer verlaat, bewys niks oor of die verre kant dit ontvang het nie. As jou opname by jou eie koppelvlak eindig, het jy gewys dat die kernel iets uitgestuur het, wat die swakste bewys oor die pad is wat beskikbaar is. Kombineer die opname met 'n herhaalbare simptoom: dieselfde bestemming, dieselfde bewerking, dieselfde grootte, twee keer uitgevoer met een veranderlike verander.

Aflading in die syfers inlees

Gasheer-segmentering en ander aflading voeg 'n tweede vervorming by, en dit is die een wat plaaslike opnames met die draad laat verskil. 'n Plaaslike opname kan buffers wys wat die adapter later opdeel, so die rame op die skakel is kleiner en talryker as wat die lêer voorstel. Daarom bewys 'n groot buffer in die opnamelêer nie dat 'n oorgrote raam elke skakel oorgesteek het nie. As die groottes vir jou gevolgtrekking saak maak, teken op waar die opname geneem is en of aflading op daardie koppelvlak aktief was.

Anders meet jy die gerief van die gasheer eerder as die gedrag van die pad. Twee lêers gemerk met hul koppelvlak en aflading-toestand besleg die meeste van hierdie argumente in 'n minuut.

Waar die opname ophou bewys wees

Om geënkripteerde buitepakkies te sien wys dat daar onder hierdie toetstoestande 'n beskermingsgrens bestaan, en dit sê niks oor ander toepassings op die toestel, die operateur se hantering of die eindpunt se eie toestand nie. Om gewone teks binne die tonnel te sien beteken ook nie die tonnel is stukkend nie; dit beteken jy het bokant die enkripsiepunt opgeneem, wat 'n wettige plek is om te kyk. 'n Opname is bewys oor 'n plek, nie 'n uitspraak oor 'n stelsel nie, en die kaartjie moet dit so beskryf. Hou die omvattingsin in die verslag, want dit is wat verhoed dat 'n enkele waarneming 'n ouditbewering word.

Noem elke lêer met sy koppelvlak, filter en tydstempel, en verwyder dit wanneer die ondersoek eindig. Die tcpdump-handleiding dokumenteer die koppelvlak- en filtervlae wat hier gebruik word, insluitend die wat 'n opname klein hou.

As jy bewyse moet deel, deel groottes, tydstempels en vlae eerder as die vrag. Die vraag het oor pakkiegrootte gegaan, en die antwoord het selde iemand se data nodig.