VPN adapterində qarışıq rejim bağlantını kəsir
Tunel adapterində paket tutma onun trafiki ötürməsini dayandıra bilər. Qarışıq rejimi söndürün, suala cavab verən qatı seçin və faylı sirr kimi qəbul edin.
Wireshark Ethernet interfeysində qüsursuz işləyir, sonra VPN adapterində tunel paket tutma başlayan anda trafiki ötürməyi dayandırır. Tutma pəncərəsi dolmağa davam edir, yəni alət sağlam görünür, altındakı bağlantı isə ölür. Qarışıq rejim adi səbəbdir, çünki sahibi olmadığı seqmentdə hər kadrı tələb edən tunel sürücüsü heç nəyin çıxmadığı vəziyyətə düşə bilər.
Əvvəlcə həmin seçimi söndürün, sonra hansı qatı həqiqətən görmək istədiyinizə qərar verin.
İki adapter, iki fərqli görünüş
VPN klienti adətən iki interfeys təqdim edir: şifrələnmiş nəqli daşıyan fiziki interfeys və şifrədən çıxarılmış daxili trafiki daşıyan virtual interfeys. Onlar fərqli suallara cavab verir. Fiziki tutma son nöqtələri, portları və paket ölçülərini göstərir, virtual interfeys isə tətbiq protokollarını tunelin çatdırdığı kimi göstərir. Hansı sualı verdiyinizi bilmədən birini seçmək tutmanı boşa xərcləyir.
Heç bir görünüş digərinin üst çoxluğu deyil və bir tutma nadir hallarda hər iki suala eyni vaxtda cavab verir.
İnterfeysi siyahı sırasına görə deyil, suala görə seçin, çünki PPP üslublu klient adapterini Ethernet cihazı kimi təqdim edə bilər və göstərilən ad hansı qatı seçdiyinizi deməyəcək. Şlüz və ya güzgü portundakı tutma üçüncü görünüş əlavə edir və ötürmədən sonrakı yolu göstərir; asimmetrik marşrutlaşdırma və filtrləmə məhz orada görünür.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Qarışıq rejim tunel adapterini niyə sındırır
Qarışıq rejim sürücüdən hosta ünvanlanmamış kadrları çatdırmağı tələb edir, bu paylaşılan Ethernet seqmentində məntiqlidir və nöqtədən-nöqtəyə tuneldə çox az məntiq kəsb edir. Bəzi sürücülər tələbi nəzakətlə yerinə yetirir; digərləri göndərmə trafikini növbədən çıxarmağı dayandırır və interfeys səssizcə qara dəliyə çevrilir. Tutma yenə də gələni qeyd edir, yəni fayl işlək əlaqənin sübutu kimi görünür. Faylın göstərdiyi ilə interfeysin etdiyi arasındakı həmin boşluq bütün tələdir.
Seçimi ilk paketdən əvvəl söndürün, tutma filtrini dar saxlayın və kiçik bufer istifadə edin. Məşğul interfeysdə böyük halqa buferi məhz vacib olan kadrları atır və nəticədə tutma hər yerdə tam olur, ancaq nasazlığın olduğu yerdə yox.
Əgər əlaqə tutma zamanı dayanarsa, onu saxlayın və bərpanı izləyin. Bu tək müşahidə tutmanın yan təsirini həqiqi tunel nasazlığından ayırır və hər hansı filtr sazlamasından az vaxt aparır.
IPsec tutmasını oxunaqlı etmək
IPsec tutması tək başına oxunaqlı deyil, çünki ESP yükü şifrələyir. Wireshark onu sessiya açarlarını verdikdə və ya onları yaradan IKE danışığını izləyə bildikdə deşifrə edə bilər, bu isə əl sıxmanın eyni faylda olması deməkdir.
Açarlar vaxtı bitir. Tərəflər açarları yenilədikdən sonra köhnə açarlar dəsti tutmanın ortasında işləməyi dayandırır və nəticə zaman sərhədi kimi deyil, dekoder xətası kimi görünür.
Təchizatçının sənədləşdirilmiş açar formatına əməl edin, əlaqəsiz mənbədən material idxal etməyin və bəzi platformaların bu iş axınını tamamilə rədd edəcəyini gözləyin. Şlüz açarları vermədikdə və ya tutmaya icazə vermədikdə, yükün sizin oturduğunuz yerdən yoxlanıla bilmədiyini qəbul edin. Son nöqtə jurnalları və interfeys sayğacları qalan sübutlardır və onlar adətən marşrutlaşdırma sualı üçün kifayətdir.
Təhlükəsiz paylaşa biləcəyiniz tutma
Daxili tutma jurnaldan çox etimadnamə boşaltmasına yaxındır. O, adlar, ünvanlar və heç kimin oxumayacağı fərziyyəsi ilə yazılmış protokollardan açıq mətn ehtiva edə bilər, bu isə təhlili deyil, faylın özünü həssas artefakta çevirir.
Hostun və şəbəkənin tutmağa icazə verdiyiniz olanlardan olduğuna əmin olun, həm interfeysi, həm filtri nəticə ilə birlikdə qeyd edin, seansı suala cavab verən bir neçə dəqiqə ilə məhdudlaşdırın və bitirdikdən sonra faylı silin. Əgər onu paylaşmaq lazımdırsa, əvvəlcə axını təsvir edin və ya yükü çıxarın.
Sonra ilkin istifadəçi tapşırığını təkrarlayın. Paketin gəldiyini sübut edən tutma tətbiqin cavabı qəbul etdiyinin sübutu deyil və bu ikisi arasındakı fərq adətən əsl nasazlığın yerləşdiyi yerdir.