Paquets interns i externs en una captura de VPN: per què difereixen les mides

Captures paquets de 1400 bytes a la interfície del túnel, tornes a capturar a la física i els números no quadren. Les adreces difereixen, les mides difereixen i el segon fitxer sembla una altra conversa. No hi ha res trencat. Dos paquets diferents seuen en dues capes diferents, i l'escletxa entre ells és el que el túnel fa al teu trànsit. Llegeix les dues vistes abans de culpar l'MTU.

Dos punts de vista i el paquet que mostra cadascun

Una captura feta a la interfície del túnel mostra el paquet intern: la càrrega de l'aplicació amb el seu origen i destí originals, abans que s'apliqui cap protecció. Una captura a la interfície física mostra el paquet extern: una capçalera IP, una capçalera de transport, l'encapsulació i després el paquet intern xifrat com a càrrega. Mateixa conversa, objectes diferents. Un cop anomenes quin dels dos conté el fitxer, la discrepància deixa de ser un misteri.

La diferència de mida és sobrecost, i la diferència d'adreça és disseny. Gira-ho i la confusió es torna predictible: la gent compara un paquet intern de 1400 bytes amb un paquet extern de 1450 bytes, decideix que alguna cosa va malament i comença a canviar paràmetres d'MTU que mai no tenien la culpa. Etiqueta el fitxer amb la interfície i la capa, perquè aquesta etiqueta és el primer que necessita un lector i el primer que la gent omet.

Decideix la capa abans de començar la captura

Decideix quina capa respon la teva pregunta abans que s'escrigui el primer paquet. Una pregunta d'MTU normalment necessita la vista externa, perquè és on s'acumulen les capçaleres i on es veu el límit del camí. Una pregunta d'aplicació normalment necessita la vista interna, perquè és on encara existeix la càrrega que t'importa. Capturar les dues sense un pla produeix dos fitxers i cap conclusió.

Fes servir una prova innòcua i autoritzada i filtra per l'origen, el destí i el moment que t'importen. Llegeix la interfície i les opcions de filtre de l'eina de captura abans de recollir, perquè les metadades solen ser suficients i són molt més fàcils de compartir que la càrrega. Tracta la captura interna com a sensible per defecte, perquè conté dades d'aplicació no xifrades que només es protegeixen més endavant al camí.

Què conté realment la diferència de mida

El paquet extern porta capçaleres addicionals i material de protecció, i quant en porta depèn del protocol i de les seves opcions. La fragmentació, l'agregació o la reordenació al llarg del camí poden trencar l'aparent relació un a un entre un paquet intern i els paquets externs que el porten, així que una comparació mida a mida no sempre és possible. Per a una sospita de fallada d'MTU, busca retroalimentació de mida i el punt on s'atura el trànsit, i després compara-ho amb el que informa l'aplicació. Un patró de retransmissió sense resposta és un senyal diferent d'un error ICMP que porta la mida del següent salt.

Un sol paquet que surt de l'amfitrió no demostra res sobre si l'extrem remot l'ha rebut. Si la teva captura acaba a la teva pròpia interfície, has demostrat que el nucli ha emès alguna cosa, que és l'evidència més feble disponible sobre el camí. Combina la captura amb un símptoma repetible: mateix destí, mateixa operació, mateixa mida, executat dues vegades amb una variable canviada.

Llegir l'offload dins dels números

La segmentació a l'amfitrió i altres offloads afegeixen una segona distorsió, i és la que fa que les captures locals no coincideixin amb el cable. Una captura local pot mostrar buffers que l'adaptador després divideix, així que les trames a l'enllaç són més petites i més nombroses del que suggereix el fitxer. Per això un buffer gran al fitxer de captura no demostra que una trama massa gran hagi travessat tots els enllaços. Si les mides importen per a la teva conclusió, registra on es va fer la captura i si l'offload era actiu en aquella interfície.

Altrament estàs mesurant la comoditat de l'amfitrió i no el comportament del camí. Dos fitxers etiquetats amb la seva interfície i estat d'offload resolen la majoria d'aquestes discussions en un minut.

On la captura deixa de ser evidència

Veure paquets externs xifrats mostra que hi ha una frontera de protecció en aquestes condicions de prova, i no diu res sobre altres aplicacions del dispositiu, la gestió de l'operador o l'estat del propi extrem. Veure text pla dins del túnel tampoc no vol dir que el túnel estigui trencat; vol dir que has capturat per sobre del punt de xifratge, que és un lloc legítim on mirar. Una captura és evidència sobre un lloc, no un veredicte sobre un sistema, i el tiquet ha de descriure-ho així. Mantén la frase d'abast a l'informe, perquè és el que impedeix que una sola observació es converteixi en una afirmació d'auditoria.

Anomena cada fitxer amb la seva interfície, filtre i marca de temps, i esborra'l quan acabi la investigació. El manual de tcpdump documenta els indicadors d'interfície i filtre usats aquí, inclosos els que mantenen petita una captura.

Si has de compartir evidència, comparteix mides, marques de temps i indicadors en lloc de la càrrega. La pregunta era sobre la mida del paquet, i la resposta poques vegades necessita les dades de ningú.