El mode promiscu en un adaptador VPN mata la connexió
Una captura en un adaptador de túnel pot aturar-ne el reenviament. Desactiveu el mode promiscu, trieu la capa que respon la pregunta i tracteu el fitxer com un secret.
Wireshark funciona perfectament en una interfície Ethernet i, en un adaptador VPN, el túnel deixa de passar trànsit en el moment que comença la captura. La finestra de captura continua omplint-se, així que l’eina sembla sana mentre la connexió de sota mor. El mode promiscu és la causa habitual, perquè un controlador de túnel a qui es demana cada trama d’un segment que no té pot acabar en un estat en què no en surt res.
Desactiveu aquesta opció primer i després decidiu quina capa necessiteu veure realment.
Dos adaptadors, dues vistes diferents
Un client VPN sol presentar dues interfícies: la física, que transporta el trànsit xifrat, i una de virtual, que transporta el trànsit intern desxifrat. Responen preguntes diferents. La captura física mostra els extrems, els ports i les mides dels paquets, mentre que la virtual mostra els protocols d’aplicació tal com els lliura el túnel. Triar una sense saber quina pregunta feu malbarata la captura.
Cap vista no és un superconjunt de l’altra, i una captura poques vegades respon les dues preguntes alhora.
Trieu la interfície a partir de la pregunta i no de l’ordre de la llista, perquè un client d’estil PPP pot presentar el seu adaptador com un dispositiu Ethernet i el nom de visualització no us dirà quina capa heu seleccionat. Una captura en una passarel·la o en un port mirall afegeix una tercera vista, que mostra el camí després del reenviament, i és allà on l’encaminament asimètric i el filtratge es fan visibles.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Per què el mode promiscu trenca un adaptador de túnel
El mode promiscu demana al controlador que lliuri trames que no van adreçades a l’amfitrió, cosa que té sentit en un segment Ethernet compartit i molt poc sentit en un túnel punt a punt. Alguns controladors gestionen la petició amb calma; d’altres deixen de treure de la cua el trànsit de transmissió, i la interfície es converteix silenciosament en un forat negre. La captura continua enregistrant el que arriba, així que el fitxer sembla una prova d’un enllaç que funciona. Aquesta escletxa entre el que mostra el fitxer i el que va fer la interfície és tota la trampa.
Desactiveu l’opció abans del primer paquet, manteniu el filtre de captura estret i feu servir un búfer petit. Un búfer circular gran en una interfície ocupada descarta justament les trames que importaven, cosa que produeix una captura completa a tot arreu excepte on era la fallada.
Si l’enllaç s’atura a mig capturar, atureu-lo i observeu si es recupera. Aquesta única observació separa un efecte secundari de la captura d’una fallada real del túnel, i triga menys que qualsevol ajustament de filtres.
Fer llegible una captura d’IPsec
Una captura d’IPsec per si sola no és llegible, perquè ESP xifra la càrrega. Wireshark la pot descodificar quan li proporcioneu les claus de sessió, o quan pot seguir la negociació IKE que les va produir, cosa que vol dir que l’apretada de mans ha de ser al mateix fitxer.
Les claus caduquen. Després que els parells renovin les claus, un conjunt de claus velles deixa de funcionar a mig capturar, i el resultat sembla un error del descodificador en lloc d’una frontera temporal.
Seguiu el format de claus documentat pel proveïdor en lloc d’importar material d’una font no relacionada, i espereu que algunes plataformes rebutgin del tot aquest flux de treball. Quan la passarel·la no vulgui lliurar les claus ni permetre la captura, accepteu que la càrrega no es pot inspeccionar des d’on sou. Els registres dels extrems i els comptadors de la interfície són les proves restants, i normalment n’hi ha prou per a una pregunta d’encaminament.
Una captura que podeu compartir amb seguretat
Una captura interna s’assembla més a un abocament de credencials que a un registre. Pot contenir noms, adreces i text pla de protocols escrits amb el supòsit que ningú no els llegiria mai, cosa que fa que el fitxer mateix sigui l’artefacte sensible i no l’anàlisi.
Assegureu-vos que l’amfitrió i la xarxa siguin uns en què pugueu capturar, anoteu tant la interfície com el filtre amb el resultat, limiteu la sessió als pocs minuts que responen la pregunta i traieu el fitxer quan hàgiu acabat. Si s’ha de compartir, descriviu el flux o traieu primer la càrrega.
Després repetiu la tasca original de l’usuari. Una captura que demostra que un paquet ha arribat no és una prova que l’aplicació hagi acceptat la resposta, i la diferència entre les dues coses sol ser on viu la fallada real.