Promiskue modus op ’n VPN-adapter laat die verbinding sterf

Wireshark werk heeltemal reg op ’n Ethernet-koppelvlak, en dan, op ’n VPN-adapter, hou die tonnel op om verkeer deur te gee die oomblik wanneer die opname begin. Die opnamevenster hou aan vol raak, so die hulpmiddel lyk gesond terwyl die verbinding daaronder beswyk. Promiskue modus is die gewone oorsaak, want ’n tonneldrywer wat versoek word vir elke raam op ’n segment wat hy nie het nie, kan in ’n toestand beland waar niks uitgaan nie.

Skakel daardie opsie eerste af, en besluit dan watter laag jy werklik moet sien.

Twee adapters, twee verskillende sienings

’n VPN-kliënt bied gewoonlik twee koppelvlakke: die fisiese een wat die versleutelde vervoer dra, en ’n virtuele een wat die ontsleutelde binneste verkeer dra. Hulle beantwoord verskillende vrae. Die fisiese opname wys eindpunte, poorte en pakketgroottes, terwyl die virtuele een die toepassingprotokolle wys soos die tonnel dit aflewer. Om een te kies sonder om te weet watter vraag jy vra, mors die opname.

Nie een siening is ’n superset van die ander nie, en een opname beantwoord selde albei vrae gelyktydig.

Kies die koppelvlak op grond van die vraag eerder as die lysorde, want ’n PPP-agtige kliënt kan sy adapter as ’n Ethernet-toestel voorstel, en die vertoonnaam sal jou nie sê watter laag jy gekies het nie. ’n Opname op ’n Gateway of ’n spieëlpoort voeg ’n derde siening by, wat die pad ná deurgee wys, en dit is waar asimmetriese roetering en filtering sigbaar word.

Waarom promiskue modus ’n tonnel-adapter breek

Promiskue modus vra die drywer om rame te lewer wat nie aan die gasheer gerig is nie, wat sin maak op ’n gedeelde Ethernet-segment en baie min sin op ’n punt-tot-punt-tonnel. Sommige drywers hanteer die versoek genadig; ander hou op om stuurverkeer uit die ry te haal, en die koppelvlak word stilweg ’n swart gat. Die opname teken steeds dit aan wat aankom, so die lêer lyk soos bewys van ’n werkende skakel. Daardie gaping tussen wat die lêer wys en wat die koppelvlak gedoen het, is die hele lokval.

Skakel die opsie af voor die eerste pakket, hou die opnamefilter smal en gebruik ’n klein buffer. ’n Groot ringbuffer op ’n besige koppelvlak laat juis die rame val wat saak gemaak het, wat ’n opname lewer wat oral volledig is behalwe waar die fout was.

As die skakel midde-in die opname stol, stop dit en kyk of dit herstel. Daardie enkele waarneming skei ’n newe-effek van die opname van ’n werklike tonnelfout, en dit neem minder tyd as enige hoeveelheid filterinstelling.

Om ’n IPsec-opname leesbaar te maak

’n IPsec-opname op sy eie is nie leesbaar nie, want ESP versleutel die vrag. Wireshark kan dit dekodeer wanneer jy die sessiesleutels verskaf, of wanneer dit die IKE-onderhandeling kan volg wat hulle voortgebring het, wat beteken die handskud moet in dieselfde lêer wees.

Sleutels verval. Nadat die eweknieë van sleutels verwissel het, hou ’n stel ou sleutels op om te werk halfpad deur die opname, en die resultaat lyk soos ’n dekodeerderfout eerder as ’n tydsgrens.

Volg die verskaffer se gedokumenteerde sleutelformaat eerder as om materiaal uit ’n onverwante bron in te voer, en verwag dat sommige platforms die werkwyse heeltemal sal weier. Wanneer die Gateway nie sleutels wil oorhandig of die opname wil toelaat nie, aanvaar dat die vrag nie van waar jy sit inspekteerbaar is nie. Eindpuntlogboeke en koppelvlaktoonbanke is die oorblywende bewyse, en hulle is gewoonlik genoeg vir ’n roeteringsvraag.

’n Opname wat jy veilig kan deel

’n Binneste opname is nader aan ’n storting van geloofsbriewe as aan ’n log. Dit kan name, adresse en gewone teks bevat uit protokolle wat geskryf is op die aanname dat niemand dit ooit sou lees nie, wat die lêer self die sensitiewe artefak maak eerder as die ontleding.

Maak seker die gasheer en die netwerk is dié waarop jy mag opneem, skryf beide die koppelvlak en die filter by die resultaat neer, beperk die sessie tot die paar minute wat die vraag beantwoord, en verwyder die lêer nadat jy die opname beëindig het. As dit gedeel moet word, beskryf die vloei of stroop eers die vrag.

Herhaal dan die oorspronklike gebruikerstaak. ’n Opname wat bewys dat ’n pakket aangekom het, is nie bewys dat die toepassing die antwoord aanvaar het nie, en die verskil tussen dié twee is gewoonlik waar die werklike fout sit.