VPN অ্যাডাপ্টারে প্রমিসকিউয়াস মোড সংযোগ বন্ধ করে দেয়
টানেল অ্যাডাপ্টারে ক্যাপচার চালু করলে তা ফরওয়ার্ডিং বন্ধ করতে পারে। প্রমিসকিউয়াস মোড বন্ধ করুন, প্রশ্নের উত্তর দেয় এমন স্তর বেছে নিন, এবং ফাইলটিকে গোপনীয় হিসেবে ধরুন।
Wireshark একটি Ethernet ইন্টারফেসে নিখুঁতভাবে কাজ করে, তারপর একটি VPN অ্যাডাপ্টারে ক্যাপচার শুরু হওয়ার মুহূর্তেই টানেল ট্রাফিক পার করা বন্ধ করে দেয়। ক্যাপচার উইন্ডো ভরতেই থাকে, তাই টুলটি সুস্থ দেখায় অথচ তার নিচের সংযোগটি মারা যায়। প্রমিসকিউয়াস মোডই সাধারণ কারণ, কারণ যে টানেল ড্রাইভারকে এমন একটি সেগমেন্টের প্রতিটি ফ্রেম চাওয়া হয় যা তার নেই, সেটি এমন অবস্থায় পৌঁছাতে পারে যেখান থেকে কিছুই বেরোয় না।
প্রথমে ওই অপশনটি বন্ধ করুন, তারপর ঠিক করুন আপনার আসলে কোন স্তরটি দেখতে হবে।
দুটি অ্যাডাপ্টার, দুটি আলাদা দৃশ্য
একটি VPN ক্লায়েন্ট সাধারণত দুটি ইন্টারফেস উপস্থাপন করে: এনক্রিপ্টেড ট্রান্সপোর্ট বহনকারী শারীরিকটি, এবং ডিক্রিপ্ট করা ভেতরের ট্রাফিক বহনকারী ভার্চুয়ালটি। তারা ভিন্ন প্রশ্নের উত্তর দেয়। শারীরিক ক্যাপচার এন্ডপয়েন্ট, পোর্ট ও প্যাকেটের আকার দেখায়, আর ভার্চুয়ালটি অ্যাপ্লিকেশন প্রোটোকল দেখায় যেভাবে টানেল সেগুলো পৌঁছে দেয়। আপনি কোন প্রশ্ন করছেন না জেনে একটি বেছে নিলে ক্যাপচারটি নষ্ট হয়।
কোনো দৃশ্যই অন্যটির সুপারসেট নয়, এবং একটি ক্যাপচার খুব কমই একসাথে দুটি প্রশ্নের উত্তর দেয়।
তালিকার ক্রম নয়, প্রশ্ন থেকেই ইন্টারফেস বেছে নিন, কারণ PPP-ধাঁচের ক্লায়েন্ট তার অ্যাডাপ্টারকে Ethernet ডিভাইস হিসেবে উপস্থাপন করতে পারে এবং প্রদর্শিত নাম আপনাকে বলবে না আপনি কোন স্তর বেছেছেন। গেটওয়ে বা মিরর পোর্টে ক্যাপচার তৃতীয় একটি দৃশ্য যোগ করে, যা ফরওয়ার্ডিংয়ের পরের পথ দেখায়, এবং সেখানেই অপ্রতিসম রাউটিং ও ফিল্টারিং দৃশ্যমান হয়।
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
কেন প্রমিসকিউয়াস মোড টানেল অ্যাডাপ্টার ভেঙে দেয়
প্রমিসকিউয়াস মোড ড্রাইভারকে হোস্টে ঠিকানাহীন ফ্রেম পৌঁছে দিতে বলে, যা একটি শেয়ার করা Ethernet সেগমেন্টে অর্থপূর্ণ এবং পয়েন্ট-টু-পয়েন্ট টানেলে খুবই কম অর্থপূর্ণ। কিছু ড্রাইভার অনুরোধটি সহজভাবে সামলায়; অন্যরা ট্রান্সমিট ট্রাফিক কিউ থেকে বের করা বন্ধ করে দেয়, আর ইন্টারফেসটি নীরবে একটি কালো গর্তে পরিণত হয়। ক্যাপচার তখনও যা আসে তা রেকর্ড করে, তাই ফাইলটি একটি সচল লিংকের প্রমাণের মতো দেখায়। ফাইল যা দেখায় আর ইন্টারফেস যা করেছে তার মধ্যে এই ফাঁকটাই পুরো ফাঁদ।
প্রথম প্যাকেটের আগেই অপশনটি বন্ধ করুন, ক্যাপচার ফিল্টার সংকীর্ণ রাখুন এবং ছোট বাফার ব্যবহার করুন। ব্যস্ত ইন্টারফেসে বড় রিং বাফার ঠিক সেই ফ্রেমগুলোই ফেলে দেয় যেগুলো গুরুত্বপূর্ণ ছিল, ফলে ক্যাপচার সর্বত্র সম্পূর্ণ হয় কেবল যেখানে ত্রুটি ছিল সেখানে নয়।
ক্যাপচারের মাঝপথে লিংক আটকে গেলে এটি থামান এবং পুনরুদ্ধারের দিকে নজর দিন। ওই একটি পর্যবেক্ষণই ক্যাপচারের পার্শ্বপ্রতিক্রিয়া আর টানেলের প্রকৃত ত্রুটির মধ্যে পার্থক্য করে, এবং এটি যেকোনো ফিল্টার টিউনিংয়ের চেয়ে কম সময় নেয়।
IPsec ক্যাপচার পাঠযোগ্য করা
IPsec ক্যাপচার একা পাঠযোগ্য নয়, কারণ ESP পেলোড এনক্রিপ্ট করে। আপনি সেশন কী দিলে Wireshark এটি ডিকোড করতে পারে, অথবা যে IKE আলোচনা সেগুলো তৈরি করেছে তা অনুসরণ করতে পারলে, যার মানে হ্যান্ডশেকটি একই ফাইলে থাকতে হবে।
কী মেয়াদোত্তীর্ণ হয়। দুই পক্ষ নতুন কী বিনিময় করার পর পুরোনো কীয়ের একটি সেট ক্যাপচারের মাঝপথে কাজ করা বন্ধ করে, আর ফলাফলটি সময়সীমার বদলে ডিকোডারের বাগের মতো দেখায়।
অসম্পর্কিত উৎস থেকে উপাদান আমদানি না করে ভেন্ডরের নথিভুক্ত কী ফরম্যাট অনুসরণ করুন, এবং কিছু প্ল্যাটফর্ম পুরো কর্মপ্রবাহটি সম্পূর্ণভাবে প্রত্যাখ্যান করবে বলে আশা রাখুন। গেটওয়ে কী দিতে বা ক্যাপচারের অনুমতি দিতে অস্বীকার করলে মেনে নিন যে আপনি যেখানে বসে আছেন সেখান থেকে পেলোড পরীক্ষা করা যাবে না। এন্ডপয়েন্ট লগ আর ইন্টারফেস কাউন্টারই অবশিষ্ট প্রমাণ, এবং রাউটিং সংক্রান্ত প্রশ্নের জন্য সেগুলো সাধারণত যথেষ্ট।
নিরাপদে শেয়ার করা যায় এমন ক্যাপচার
ভেতরের ক্যাপচার একটি লগের চেয়ে ক্রেডেনশিয়াল ডাম্পের বেশি কাছাকাছি। এতে নাম, ঠিকানা এবং এমন প্রোটোকলের প্লেইনটেক্সট থাকতে পারে যা কেউ কখনো পড়বে না এই ধারণায় লেখা হয়েছিল, ফলে বিশ্লেষণ নয়, ফাইলটিই সংবেদনশীল নিদর্শন হয়ে ওঠে।
হোস্ট ও নেটওয়ার্ক এমন কি না যেখানে ক্যাপচার করা আপনার জন্য অনুমোদিত তা নিশ্চিত করুন, ফলাফলের সাথে ইন্টারফেস ও ফিল্টার দুটোই লিখে রাখুন, সেশনটি প্রশ্নের উত্তর দেয় এমন কয়েক মিনিটে সীমিত রাখুন, এবং কাজ শেষ হলে ফাইলটি মুছে ফেলুন। শেয়ার করতেই হলে আগে ফ্লো বর্ণনা করুন বা পেলোড সরিয়ে ফেলুন।
তারপর মূল ব্যবহারকারীর কাজটি আবার করুন। প্যাকেট এসেছে তা প্রমাণ করা ক্যাপচার অ্যাপ্লিকেশন উত্তরটি গ্রহণ করেছে তার প্রমাণ নয়, আর এই দুইয়ের পার্থক্যই সাধারণত আসল ত্রুটির জায়গা।