Promiskuitetni režim na VPN adapteru ubija vezu

Wireshark savršeno radi na Ethernet interfejsu, a zatim na VPN adapteru tunel prestane propuštati saobraćaj u trenutku kada snimanje počne. Prozor snimanja se nastavlja puniti, pa alat izgleda zdravo dok veza ispod njega umire. Promiskuitetni režim je uobičajen uzrok, jer upravljački program tunela od kojeg se traži svaki okvir na segmentu koji nema može završiti u stanju u kojem ništa ne izlazi.

Prvo isključite tu opciju, a zatim odlučite koji sloj zaista trebate vidjeti.

Dva adaptera, dva različita pogleda

VPN klijent obično predstavlja dva interfejsa: fizički koji nosi šifrovani transport i virtuelni koji nosi dešifrovani unutrašnji saobraćaj. Oni odgovaraju na različita pitanja. Fizičko snimanje pokazuje krajnje tačke, portove i veličine paketa, dok virtuelni prikazuje aplikacijske protokole onako kako ih tunel dostavlja. Odabir jednog bez znanja na koje pitanje odgovarate troši snimanje.

Nijedan pogled nije nadskup onog drugog, a jedno snimanje rijetko odgovara na oba pitanja odjednom.

Odaberite interfejs prema pitanju, a ne prema redoslijedu na listi, jer klijent u PPP stilu može svoj adapter predstaviti kao Ethernet uređaj i prikazno ime vam neće reći koji ste sloj odabrali. Snimanje na gatewayu ili zrcalnom portu dodaje treći pogled koji pokazuje putanju nakon prosljeđivanja, i tu asimetrično rutiranje i filtriranje postaju vidljivi.

Zašto promiskuitetni režim kvari adapter tunela

Promiskuitetni režim traži od upravljačkog programa da dostavlja okvire koji nisu adresirani na host, što ima smisla na dijeljenom Ethernet segmentu i vrlo malo smisla na tunelu od tačke do tačke. Neki upravljački programi zahtjev prihvataju mirno; drugi prestanu izbacivati iz reda saobraćaj za slanje i interfejs tiho postane crna rupa. Snimanje i dalje bilježi ono što stiže, pa datoteka izgleda kao dokaz ispravne veze. Taj jaz između onoga što datoteka pokazuje i onoga što je interfejs uradio jeste cijela zamka.

Isključite opciju prije prvog paketa, držite filtar snimanja uskim i koristite mali bafer. Veliki prstenasti bafer na zauzetom interfejsu ispušta upravo okvire koji su bili važni, što daje snimanje koje je potpuno svuda osim tamo gdje je bila greška.

Ako veza stane usred snimanja, zaustavite je i pratite oporavak. To jedno zapažanje razdvaja nuspojavu snimanja od stvarne greške tunela, i traje kraće od bilo kakvog podešavanja filtera.

Kako snimanje IPsec-a učiniti čitljivim

Snimanje IPsec-a samo po sebi nije čitljivo, jer ESP šifruje sadržaj. Wireshark ga može dekodirati kada mu date sesijske ključeve ili kada može pratiti IKE pregovaranje koje ih je stvorilo, što znači da rukovanje mora biti u istoj datoteci.

Ključevi ističu. Nakon što strane zamijene ključeve, skup starih ključeva prestane raditi na pola snimanja, a rezultat izgleda kao greška u dekoderu, a ne kao vremenska granica.

Slijedite proizvođačev dokumentovani format ključeva umjesto da uvozite materijal iz nepovezanog izvora, i očekujte da će neke platforme u potpunosti odbiti taj postupak. Kada gateway ne želi predati ključeve ili dopustiti snimanje, prihvatite da se sadržaj ne može pregledati s vašeg mjesta. Dnevnici krajnjih tačaka i brojači interfejsa preostali su dokazi i obično su dovoljni za pitanje o rutiranju.

Snimanje koje možete sigurno podijeliti

Unutrašnje snimanje bliže je izručenju akreditiva nego dnevniku. Može sadržavati imena, adrese i čisti tekst iz protokola pisanih pod pretpostavkom da ih nikada nitko neće čitati, što samu datoteku čini osjetljivim artefaktom, a ne analizu.

Provjerite da su host i mreža oni na kojima smijete snimati, zapišite i interfejs i filtar uz rezultat, ograničite sesiju na nekoliko minuta koji odgovaraju na pitanje i uklonite datoteku kada završite. Ako se mora podijeliti, prvo opišite tok ili uklonite sadržaj.

Zatim ponovite izvorni korisnički zadatak. Snimanje koje dokazuje da je paket stigao nije dokaz da je aplikacija prihvatila odgovor, a razlika između to dvoje obično je mjesto gdje leži stvarna greška.