Унутраныя і знешнія пакеты ў захопе VPN: чаму памеры розныя

Вы захопліваеце пакеты памерам 1400 байт на інтэрфейсе тунеля, потым яшчэ раз на фізічным інтэрфейсе, і лічбы ніяк не сыходзяцца. Адрасы розныя, памеры розныя, і другі файл выглядае як іншая размова. Нішто не зламана. Два розныя пакеты знаходзяцца на двух розных узроўнях, і прамежак паміж імі — гэта тое, што тунель робіць з вашым трафікам. Прачытайце абодва выгляды, перш чым вінаваціць MTU.

Дзве кропкі гледжання і пакет, які паказвае кожная

Захоп, зроблены на інтэрфейсе тунеля, паказвае ўнутраны пакет: карысная нагрузка праграмы з яе зыходнымі крыніцай і прызначэннем, перш чым ужываецца любая абарона. Захоп на фізічным інтэрфейсе паказвае знешні пакет: загаловак IP, транспартны загаловак, інкапсуляцыя, а затым зашыфраваны ўнутраны пакет як нагрузка. Тая ж размова, розныя аб'екты. Як толькі вы назавяце, які з іх утрымлівае файл, няўзгодненасць перастае быць загадкай.

Розніца ў памеры — гэта дадатковыя накладныя выдаткі, а розніца ў адрасе — дызайн. Павярніце гэта іначай, і блытаніна становіцца прадказальнай: людзі параўноўваюць унутраны пакет у 1400 байт са знешнім у 1450 байт, вырашаюць, што нешта не так, і пачынаюць мяняць налады MTU, якія ніколі не былі вінаватыя. Пазначце файл інтэрфейсам і ўзроўнем, бо гэтая пазнака — першае, што патрэбна чытачу, і першае, што людзі забываюць.

Вырашыце ўзровень, перш чым пачаць захоп

Вырашыце, які ўзровень адказвае на ваша пытанне, перш чым будзе запісаны першы пакет. Пытанне MTU звычайна патрабуе знешняга выгляду, бо менавіта там назапашваюцца загалоўкі і там выяўляецца мяжа шляху. Пытанне праграмы звычайна патрабуе ўнутранага выгляду, бо менавіта там яшчэ існуе нагрузка, якая вас цікавіць. Захоп абодвух без плана дае два файлы і ніякай высновы.

Выкарыстоўвайце бясшкодны, дазволены тэст і фільтруйце па крыніцы, прызначэнні і часе, якія вас цікавяць. Прачытайце інтэрфейс і параметры фільтрацыі інструмента захопу перад зборам, бо метаданых звычайна дастаткова і імі значна лягчэй дзяліцца, чым нагрузкай. Стаўцеся да ўнутранага захопу як да канфідэнцыйнага па змаўчанні, бо ён утрымлівае незашыфраваныя даныя праграм, якія становяцца абароненымі толькі далей на шляху.

Што насамрэч утрымлівае розніца ў памеры

Знешні пакет нясе дадатковыя загалоўкі і матэрыял абароны, і колькі ён нясе, залежыць ад пратакола і яго параметраў. Фрагментацыя, агрэгацыя або пераўпарадкаванне ўздоўж шляху могуць разбурыць бачныя адносіны адзін-да-аднаго паміж унутраным пакетам і знешнімі пакетамі, якія яго нясуць, таму параўнанне памеру з памерам даступна не заўсёды. Пры падазрэнні на няспраўнасць MTU шукайце зваротную інфармацыю аб памеры і кропку, дзе трафік спыняецца, потым параўнайце гэта з тым, што паведамляе праграма. Карціна паўторнай перадачы без адказу — іншы сігнал, чым памылка ICMP, якая нясе памер наступнага кроку.

Адзін пакет, які пакідае хост, нічога не даказвае пра тое, ці атрымаў яго далёкі бок. Калі ваш захоп сканчаецца на ўласным інтэрфейсе, вы паказалі, што ядро нешта адправіла, а гэта самае слабое сведчанне пра шлях, якое ёсць. Спалучайце захоп з паўторным сімптомам: тое ж прызначэнне, тая ж аперацыя, той жа памер, запушчаныя двойчы з адной змененай зменнай.

Як улічыць offload у лічбах

Сегментацыя на баку хоста і іншыя offload дадаюць другое скажэнне, і менавіта яно робіць лакальныя захопы нязгоднымі з дротам. Лакальны захоп можа паказаць буферы, якія адаптар пазней дзеліць, таму кадры на звяне меншыя і шматлічэйшыя, чым мяркуе файл. Таму вялікі буфер у файле захопу не даказвае, што завялікі кадр прайшоў кожнае звяно. Калі памеры важныя для вашай высновы, запішыце, дзе быў зроблены захоп і ці быў offload актыўны на гэтым інтэрфейсе.

Інакш вы вымяраеце зручнасць хоста, а не паводзіны шляху. Два файлы, пазначаныя сваім інтэрфейсам і станам offload, вырашаюць большасць гэтых спрэчак за хвіліну.

Дзе захоп перастае быць доказам

Бачанне зашыфраваных знешніх пакетаў паказвае, што ў гэтых умовах існуе мяжа абароны, і нічога не кажа пра іншыя праграмы на прыладзе, пра абыходжанне аператара або пра стан самай канчатковай кропкі. Бачанне адкрытага тэксту ўнутры тунеля таксама не азначае, што тунель зламаны; гэта азначае, што вы зрабілі захоп вышэй за кропку шыфравання, што з'яўляецца законным месцам для погляду. Захоп — гэта сведчанне пра месца, а не вырак пра сістэму, і тыкет павінен апісваць яго менавіта так. Трымайце сказ пра абсяг у справаздачы, бо менавіта ён не дае аднаму назіранню стаць заявай аб аўдыце.

Назвайце кожны файл яго інтэрфейсам, фільтрам і адзнакай часу і выдаліце яго, калі расследаванне скончыцца. Дапаможнік tcpdump дакументуе сцягі інтэрфейса і фільтра, выкарыстаныя тут, уключаючы тыя, што захоўваюць захоп малым.

Калі трэба падзяліцца доказамі, дзяліцеся памерамі, адзнакамі часу і сцягамі, а не нагрузкай. Пытанне было пра памер пакета, і адказ рэдка патрабуе чыіхсьці даных.