Неразборлівы рэжым на адаптары VPN забівае злучэнне
Захоп пакетаў на адаптары тунеля можа спыніць перадачу. Адключыце неразборлівы рэжым, выберыце ўзровень, які адказвае на пытанне, і абыходзьцеся з файлам як з сакрэтам.
Wireshark бездакорна працуе на інтэрфейсе Ethernet, а затым на адаптары VPN тунель перастае прапускаць трафік у той момант, калі пачынаецца захоп. Акно захопу працягвае запаўняцца, таму інструмент выглядае здаровым, пакуль злучэнне пад ім памірае. Неразборлівы рэжым — звычайная прычына, бо драйвер тунеля, у якога просяць кожны кадр на сегменце, якога ў яго няма, можа апынуцца ў стане, калі нічога не выходзіць.
Спачатку адключыце гэтую опцыю, потым вырашыце, які ўзровень вам сапраўды трэба бачыць.
Два адаптары, два розныя выгляды
Кліент VPN звычайна прадстаўляе два інтэрфейсы: фізічны, які нясе зашыфраваны транспарт, і віртуальны, які нясе расшыфраваны ўнутраны трафік. Яны адказваюць на розныя пытанні. Фізічны захоп паказвае канчатковыя пункты, порты і памеры пакетаў, а віртуальны паказвае пратаколы прыкладанняў так, як іх дастаўляе тунель. Выбар аднаго без ведання, на якое пытанне вы адказваеце, марнуе захоп.
Ні адзін выгляд не з'яўляецца надмноствам другога, і адзін захоп рэдка адказвае на абодва пытанні адначасова.
Выбірайце інтэрфейс зыходзячы з пытання, а не з парадку спісу, бо кліент у стылі PPP можа прадставіць свой адаптар як прыладу Ethernet, і адлюстраванае імя не скажа вам, які ўзровень вы выбралі. Захоп на шлюзе або люстраным порце дадае трэці выгляд, які паказвае шлях пасля перадачы, і менавіта там становяцца бачнымі асіметрычная маршрутызацыя і фільтраванне.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Чаму неразборлівы рэжым ламае адаптар тунеля
Неразборлівы рэжым просіць драйвер дастаўляць кадры, не адрасаваныя хосту, што мае сэнс на агульным сегменце Ethernet і вельмі мала сэнсу на тунелі пункт-пункт. Некаторыя драйверы ставяцца да запыту спакойна; іншыя перастаюць вымаць з чаргі трафік перадачы, і інтэрфейс ціха становіцца чорнай дзіркай. Захоп усё яшчэ запісвае тое, што прыходзіць, таму файл выглядае як доказ працуючага канала. Менавіта гэтая прорва паміж тым, што паказвае файл, і тым, што зрабіў інтэрфейс, і ёсць пасткай.
Адключыце опцыю да першага пакета, трымайце фільтр захопу вузкім і выкарыстоўвайце невялікі буфер. Вялікі кальцавы буфер на загружаным інтэрфейсе скідвае менавіта тыя кадры, якія мелі значэнне, і ў выніку захоп поўны ўсюды, акрамя месца, дзе была няспраўнасць.
Калі канал застыне падчас захопу, спыніце яго і назірайце за аднаўленнем. Гэта адно назіранне аддзяляе пабочны эфект захопу ад сапраўднай няспраўнасці тунеля, і яно займае менш часу, чым любое наладжванне фільтраў.
Як зрабіць захоп IPsec чытэльным
Захоп IPsec сам па сабе не чытэльны, бо ESP шыфруе карысную нагрузку. Wireshark можа дэкадаваць яго, калі вы дасцё ключы сеансу або калі ён можа прасачыць перамовы IKE, якія іх стварылі, а гэта значыць, што рукапоціск павінен быць у тым самым файле.
Ключы сканчаюцца. Пасля таго як бакі абмяняюцца новымі ключамі, набор старых спыняе працу на сярэдзіне захопу, і вынік выглядае як памылка дэкадавання, а не часавая мяжа.
Трымайцеся дакументаванага фармату ключоў пастаўшчыка, а не імпартуйце матэрыял з непавязанай крыніцы, і чакайце, што некаторыя платформы цалкам адмовяцца ад гэтага працэсу. Калі шлюз не аддае ключы і не дазваляе захоп, прыміце, што карысная нагрузка не даследуецца з вашага месца. Журналы канчатковых пунктаў і лічыльнікі інтэрфейса — гэта рэштка доказаў, і іх звычайна дастаткова для пытання пра маршрутызацыю.
Захоп, якім можна бяспечна падзяліцца
Унутраны захоп бліжэй да выгрузкі ўліковых даных, чым да журнала. Ён можа ўтрымліваць імёны, адрасы і адкрыты тэкст з пратаколаў, напісаных з меркаваннем, што іх ніхто ніколі не прачытае, і гэта робіць сам файл адчувальным артэфактам, а не аналіз.
Пераканайцеся, што хост і сетка — тыя, на якіх вам можна рабіць захоп, запішыце і інтэрфейс, і фільтр разам з вынікам, абмяжуйце сеанс некалькімі хвілінамі, якія адказваюць на пытанне, і выдаліце файл пасля завяршэння. Калі ім трэба падзяліцца, спачатку апішыце паток або выдаліце карысную нагрузку.
Затым паўтарыце першапачатковую задачу карыстальніка. Захоп, які даказвае, што пакет прыйшоў, не з'яўляецца доказам таго, што прыкладанне прыняло адказ, і розніца паміж гэтымі двума звычайна і ёсць месцам сапраўднай няспраўнасці.