Безразборен режим на VPN адаптер убива връзката
Прихващането на тунелен адаптер може да спре препредаването му. Изключете безразборния режим, изберете слоя, който отговаря на въпроса, и третирайте файла като тайна.
Wireshark работи безупречно на Ethernet интерфейс, а после на VPN адаптер тунелът спира да пропуска трафик в момента, в който прихващането започне. Прозорецът на прихващането продължава да се пълни, така че инструментът изглежда здрав, докато връзката под него умира. Безразборният режим е обичайната причина, защото драйвер на тунел, от когото се иска всеки кадър в сегмент, който не притежава, може да попадне в състояние, в което нищо не излиза.
Изключете тази опция първо, после решете кой слой всъщност трябва да видите.
Два адаптера, два различни изгледа
VPN клиент обикновено представя два интерфейса: физическия, който носи шифрования транспорт, и виртуален, който носи дешифрирания вътрешен трафик. Те отговарят на различни въпроси. Физическото прихващане показва крайни точки, портове и размери на пакетите, докато виртуалният показва протоколите на приложенията така, както тунелът ги доставя. Избирането на един, без да знаете на кой въпрос отговаряте, прахосва прихващането.
Нито един изглед не е надмножество на другия и едно прихващане рядко отговаря на двата въпроса наведнъж.
Изберете интерфейса от въпроса, а не от реда в списъка, защото клиент в стил PPP може да представи адаптера си като Ethernet устройство и показваното име няма да ви каже кой слой сте избрали. Прихващане на шлюз или на огледален порт добавя трети изглед, който показва пътя след препредаването, и именно там стават видими асиметричното маршрутизиране и филтрирането.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Защо безразборният режим чупи тунелен адаптер
Безразборният режим иска от драйвера да доставя кадри, които не са адресирани до хоста, което има смисъл в споделен Ethernet сегмент и много малко смисъл в тунел точка-точка. Някои драйвери понасят заявката благосклонно; други спират да изваждат от опашката трафика за предаване и интерфейсът тихо се превръща в черна дупка. Прихващането все още записва какво пристига, така че файлът изглежда като доказателство за работеща връзка. Тази разлика между това, което файлът показва, и това, което интерфейсът е направил, е целият капан.
Изключете опцията преди първия пакет, дръжте филтъра за прихващане тесен и използвайте малък буфер. Големият пръстеновиден буфер на натоварен интерфейс изпуска точно кадрите, които са имали значение, и така се получава прихващане, пълно навсякъде, освен там, където е била повредата.
Ако връзката заседне по време на прихващането, спрете го и следете за възстановяване. Това единствено наблюдение отделя страничен ефект от прихващането от истинска повреда на тунела и отнема по-малко време от всяко настройване на филтри.
Как да направим прихващане на IPsec четливо
Прихващане на IPsec само по себе си не е четливо, защото ESP шифрова полезния товар. Wireshark може да го декодира, когато предоставите ключовете на сесията или когато може да проследи IKE договарянето, което ги е създало, а това означава, че ръкостискането трябва да е в същия файл.
Ключовете изтичат. След като страните сменят ключовете, набор от стари ключове спира да работи по средата на прихващането и резултатът изглежда като дефект в декодера, а не като времева граница.
Следвайте документирания от доставчика формат на ключовете, вместо да внасяте материал от несвързан източник, и очаквайте някои платформи да откажат целия работен процес. Когато шлюзът не предава ключове или не разрешава прихващането, приемете, че полезният товар не може да се инспектира от вашето място. Дневниците на крайните точки и броячите на интерфейса са останалите доказателства и обикновено са достатъчни за въпрос за маршрутизиране.
Прихващане, което можете да споделите безопасно
Вътрешното прихващане е по-близо до източване на идентификационни данни, отколкото до дневник. То може да съдържа имена, адреси и чист текст от протоколи, писани с допускането, че никой никога няма да ги прочете, което прави самия файл чувствителния артефакт, а не анализа.
Уверете се, че хостът и мрежата са такива, на които ви е позволено да прихващате, запишете и интерфейса, и филтъра заедно с резултата, ограничете сесията до няколко минути, които отговарят на въпроса, и изтрийте файла, след като приключите. Ако трябва да бъде споделен, първо опишете потока или извадете полезния товар.
После повторете първоначалната задача на потребителя. Прихващане, което доказва, че пакет е пристигнал, не е доказателство, че приложението е приело отговора, и разликата между тези две неща обикновено е там, където живее истинската повреда.