Вътрешни и външни пакети в прихващане на VPN: защо размерите се различават

Прихващате пакети от 1400 байта на интерфейса на тунела, прихващате отново на физическия интерфейс и числата не се връзват. Адресите се различават, размерите се различават, а вторият файл изглежда като друг разговор. Нищо не е счупено. Два различни пакета стоят на два различни слоя и разликата между тях е това, което тунелът прави с трафика ви. Прочетете и двете гледни точки, преди да обвините MTU.

Две гледни точки и пакетът, който всяка показва

Прихващането, направено на интерфейса на тунела, показва вътрешния пакет: полезния товар на приложението с неговия оригинален източник и дестинация, преди да е приложена каквато и да е защита. Прихващането на физическия интерфейс показва външния пакет: IP заглавка, транспортна заглавка, инкапсулацията и след това криптирания вътрешен пакет като полезен товар. Същият разговор, различни обекти. Щом назовете кой от двата съдържа файлът, несъответствието престава да бъде мистерия.

Разликата в размера е допълнителни разходи, а разликата в адреса е дизайн. Обърнете го и объркването става предвидимо: хората сравняват вътрешен пакет от 1400 байта с външен от 1450 байта, решават, че нещо е сбъркано, и започват да променят MTU настройки, които никога не са били виновни. Обозначете файла с интерфейса и слоя, защото този етикет е първото, което читателят има нужда, и първото, което хората пропускат.

Решете слоя, преди да започнете прихващането

Решете кой слой отговаря на въпроса ви, преди да бъде записан първият пакет. Въпросът за MTU обикновено изисква външната гледна точка, защото там се натрупват заглавките и там се вижда границата на пътя. Въпросът за приложението обикновено изисква вътрешната гледна точка, защото там все още съществува полезният товар, който ви интересува. Прихващането на двете без план дава два файла и никакво заключение.

Използвайте безвреден, разрешен тест и филтрирайте по източника, дестинацията и времето, които ви интересуват. Прочетете интерфейса и опциите за филтриране на инструмента за прихващане преди събирането, защото метаданните обикновено са достатъчни и се споделят много по-лесно от полезния товар. Отнасяйте се към вътрешното прихващане като чувствително по подразбиране, защото то съдържа нешифровани данни на приложението, които стават защитени едва по-нататък по пътя.

Какво всъщност съдържа разликата в размера

Външният пакет носи допълнителни заглавки и защитен материал и колко носи зависи от протокола и неговите опции. Фрагментирането, агрегирането или пренареждането по пътя могат да нарушат привидната връзка едно към едно между вътрешния пакет и външните пакети, които го носят, така че сравнение размер по размер не винаги е възможно. При съмнение за повреда на MTU търсете обратна връзка за размера и точката, в която трафикът спира, след което сравнете това с това, което приложението съобщава. Модел на повторно предаване без отговор е различен сигнал от ICMP грешка, носеща размера на следващия хоп.

Един пакет, който напуска хоста, не доказва нищо за това дали далечният край го е получил. Ако прихващането ви завършва на собствения ви интерфейс, вие сте показали, че ядрото е изпратило нещо, което е най-слабото налично доказателство за пътя. Комбинирайте прихващането с повтарящ се симптом: същата дестинация, същата операция, същият размер, пуснати два пъти с една променена променлива.

Отчитане на offload в числата

Сегментирането от страна на хоста и другите offload добавят второ изкривяване и именно то кара локалните прихващания да не съвпадат с кабела. Локално прихващане може да покаже буфери, които адаптерът по-късно разделя, така че кадрите по връзката са по-малки и по-многобройни, отколкото файлът подсказва. Затова голям буфер във файла на прихващането не доказва, че прекалено голям кадър е преминал през всяка връзка. Ако размерите са важни за заключението ви, запишете къде е направено прихващането и дали offload е бил активен на този интерфейс.

Иначе измервате удобството на хоста, а не поведението на пътя. Два файла, обозначени с интерфейса и състоянието на offload, решават повечето от тези спорове за минута.

Къде прихващането престава да бъде доказателство

Виждането на криптирани външни пакети показва, че при тези тестови условия съществува граница на защита, и не казва нищо за други приложения на устройството, за работата на оператора или за състоянието на самата крайна точка. Виждането на открит текст вътре в тунела също не означава, че тунелът е счупен; означава, че сте прихванали над точката на криптиране, което е законно място за поглед. Прихващането е доказателство за място, не присъда за система, и тикетът трябва да го описва така. Запазете изречението за обхвата в доклада, защото именно то пречи едно наблюдение да се превърне в твърдение за одит.

Наименувайте всеки файл с неговия интерфейс, филтър и времева марка и го изтрийте, когато разследването приключи. Ръководството на tcpdump документира използваните тук флагове за интерфейс и филтър, включително тези, които поддържат прихващането малко.

Ако трябва да споделите доказателства, споделете размери, времеви марки и флагове, а не полезния товар. Въпросът беше за размера на пакета и отговорът рядко се нуждае от нечии данни.