الوضع المختلط على محول VPN يقتل الاتصال
قد يوقف التقاط الحزم على محول النفق تمرير الحركة. أوقف الوضع المختلط، واختر الطبقة التي تجيب عن السؤال، وتعامل مع الملف كسرّ.
يعمل Wireshark بشكل مثالي على واجهة Ethernet، ثم على محول VPN يتوقف النفق عن تمرير الحركة في اللحظة التي يبدأ فيها الالتقاط. تظل نافذة الالتقاط تمتلئ، فيبدو الأداة سليمة بينما الاتصال تحتها يموت. والوضع المختلط هو السبب المعتاد، لأن سائق النفق الذي يُطلب منه كل إطار على مقطع لا يملكه قد ينتهي إلى حالة لا يخرج منها شيء.
أوقف ذلك الخيار أولاً، ثم قرر أي طبقة تحتاج فعلاً إلى رؤيتها.
محولان، رؤيتان مختلفتان
عادةً ما يقدم عميل VPN واجهتين: واجهة مادية تحمل النقل المشفر، وواجهة افتراضية تحمل الحركة الداخلية بعد فك التشفير. وهما تجيبان عن سؤالين مختلفين. يُظهر الالتقاط المادي نقاط النهاية والمنافذ وأحجام الحزم، بينما تُظهر الواجهة الافتراضية بروتوكولات التطبيقات كما يسلمها النفق. واختيار واحدة دون معرفة السؤال الذي تطرحه يهدر الالتقاط.
لا توجد رؤية تحتوي الأخرى، ونادراً ما يجيب التقاط واحد عن السؤالين معاً.
اختر الواجهة انطلاقاً من السؤال لا من ترتيب القائمة، لأن عميلاً بأسلوب PPP قد يقدم محوله كجهاز Ethernet، ولن يخبرك اسم العرض بالطبقة التي اخترتها. والالتقاط على بوابة أو منفذ مرآة يضيف رؤية ثالثة تُظهر المسار بعد التمرير، وهناك يصبح التوجيه غير المتماثل والتصفية مرئيين.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
لماذا يكسر الوضع المختلط محول النفق
يطلب الوضع المختلط من السائق تسليم إطارات ليست موجهة إلى المضيف، وهو أمر منطقي على مقطع Ethernet مشترك وقليل المنطق جداً على نفق نقطة إلى نقطة. بعض السائقين يتعاملون مع الطلب بلطف؛ وآخرون يتوقفون عن إخراج حركة الإرسال من الطابور، فتصبح الواجهة ثقباً أسود بصمت. ومع ذلك يستمر الالتقاط في تسجيل ما يصل، فيبدو الملف دليلاً على وصلة عاملة. وتلك الفجوة بين ما يظهره الملف وما فعلته الواجهة هي الفخ كله.
أوقف الخيار قبل أول حزمة، وأبقِ مرشح الالتقاط ضيقاً، واستخدم مخزن مؤقت صغير. المخزن الحلقي الكبير على واجهة مزدحمة يُسقط بالتحديد الإطارات التي كانت مهمة، فينتج التقاط كامل في كل مكان إلا حيث كان العطل.
إذا توقفت الوصلة أثناء الالتقاط، فأوقفها وراقب التعافي. تلك الملاحظة الواحدة تفصل بين أثر جانبي للالتقاط وعطل حقيقي في النفق، وتستغرق وقتاً أقل من أي قدر من ضبط المرشحات.
جعل التقاط IPsec قابلاً للقراءة
التقاط IPsec وحده غير قابل للقراءة، لأن ESP يشفر الحمولة. ويستطيع Wireshark فك ترميزه عندما تزوده بمفاتيح الجلسة، أو عندما يستطيع متابعة تفاوض IKE الذي أنتجها، وهذا يعني أن المصافحة يجب أن تكون في الملف نفسه.
المفاتيح تنتهي. بعد أن يتبادل الطرفان المفاتيح من جديد، تتوقف مجموعة من المفاتيح القديمة عن العمل في منتصف الالتقاط، فتبدو النتيجة خللاً في فك الترميز لا حداً زمنياً.
اتبع صيغة المفاتيح الموثقة لدى المورد بدلاً من استيراد مادة من مصدر غير ذي صلة، وتوقع أن ترفض بعض المنصات هذا الأسلوب تماماً. وعندما لا تسلم البوابة المفاتيح أو لا تسمح بالالتقاط، فاقبل أن الحمولة غير قابلة للفحص من موقعك. سجلات نقاط النهاية وعدادات الواجهة هي الأدلة المتبقية، وهي عادة كافية لسؤال يتعلق بالتوجيه.
التقاط يمكنك مشاركته بأمان
الالتقاط الداخلي أقرب إلى تفريغ بيانات اعتماد منه إلى سجل. قد يحتوي على أسماء وعناوين ونص واضح من بروتوكولات كُتبت على افتراض أن لا أحد سيقرأها أبداً، وهذا يجعل الملف نفسه هو الأثر الحساس لا التحليل.
تأكد أن المضيف والشبكة مما يجوز لك الالتقاط عليهما، ودوّن الواجهة والمرشح مع النتيجة، وقصر الجلسة على الدقائق القليلة التي تجيب عن السؤال، واحذف الملف بعد الانتهاء. وإذا كان لا بد من مشاركته، فصف التدفق أو انزع الحمولة أولاً.
ثم أعد مهمة المستخدم الأصلية. الالتقاط الذي يثبت وصول حزمة ليس دليلاً على أن التطبيق قبل الجواب، والفرق بين الأمرين هو عادة موضع العطل الحقيقي.