Vnitřní a vnější pakety v zachycení VPN: proč se velikosti liší

Zachytáváte pakety o velikosti 1400 bajtů na rozhraní tunelu, pak znovu na fyzickém rozhraní, a čísla se nechtějí shodovat. Adresy se liší, velikosti se liší a druhý soubor vypadá jako jiná konverzace. Nic není rozbité. Dva různé pakety sedí na dvou různých vrstvách a mezera mezi nimi je to, co tunel dělá s vaším provozem. Přečtěte si oba pohledy, než obviníte MTU.

Dva pohledy a paket, který každý ukazuje

Zachycení pořízené na rozhraní tunelu ukazuje vnitřní paket: užitečné zatížení aplikace s jeho původním zdrojem a cílem, než je použita jakákoli ochrana. Zachycení na fyzickém rozhraní ukazuje vnější paket: IP hlavičku, transportní hlavičku, zapouzdření a potom šifrovaný vnitřní paket jako užitečné zatížení. Stejná konverzace, jiné objekty. Jakmile pojmenujete, který z nich soubor obsahuje, nesoulad přestane být záhadou.

Rozdíl ve velikosti je režie a rozdíl v adrese je design. Otočte to a zmatek se stane předvídatelným: lidé porovnají vnitřní paket o 1400 bajtech s vnějším o 1450 bajtech, rozhodnou, že je něco špatně, a začnou měnit nastavení MTU, která nikdy nebyla vinna. Označte soubor rozhraním a vrstvou, protože tento štítek je první věc, kterou čtenář potřebuje, a první, kterou lidé vynechají.

Rozhodněte vrstvu, než začnete zachytávat

Rozhodněte, která vrstva odpovídá na vaši otázku, než se zapíše první paket. Otázka MTU obvykle potřebuje vnější pohled, protože tam se hromadí hlavičky a tam se ukazuje limit cesty. Otázka aplikace obvykle potřebuje vnitřní pohled, protože tam ještě existuje užitečné zatížení, které vás zajímá. Zachycení obou bez plánu přinese dva soubory a žádný závěr.

Použijte neškodný, povolený test a filtrujte podle zdroje, cíle a času, které vás zajímají. Přečtěte si rozhraní a možnosti filtrování nástroje pro zachytávání před sběrem, protože metadata obvykle stačí a sdílejí se mnohem snadněji než užitečné zatížení. Považujte vnitřní zachycení ve výchozím nastavení za citlivé, protože obsahuje nešifrovaná data aplikace, která se chrání až dále na cestě.

Co rozdíl ve velikosti skutečně obsahuje

Vnější paket nese další hlavičky a ochranný materiál a kolik toho nese závisí na protokolu a jeho volbách. Fragmentace, agregace nebo přeskupení podél cesty mohou narušit zdánlivý vztah jedna ku jedné mezi vnitřním paketem a vnějšími pakety, které jej nesou, takže srovnání velikosti s velikostí není vždy k dispozici. Při podezření na závadu MTU hledejte zpětnou vazbu o velikosti a bod, kde se provoz zastaví, a poté to porovnejte s tím, co hlásí aplikace. Vzor opakovaného přenosu bez odpovědi je jiný signál než chyba ICMP nesoucí velikost dalšího skoku.

Jediný paket, který opustí hostitele, nic nedokazuje o tom, zda jej vzdálený konec přijal. Pokud vaše zachycení končí na vašem vlastním rozhraní, ukázali jste, že jádro něco vyslalo, což je nejslabší dostupný důkaz o cestě. Spojte zachycení s opakovatelným příznakem: stejný cíl, stejná operace, stejná velikost, spuštěno dvakrát s jednou změněnou proměnnou.

Jak číst offload v číslech

Segmentace na straně hostitele a další offload přidávají druhé zkreslení a právě to způsobuje, že místní zachycení nesouhlasí s drátem. Místní zachycení může ukázat buffery, které adaptér později rozdělí, takže rámce na lince jsou menší a početnější, než soubor naznačuje. Proto velký buffer v souboru zachycení nedokazuje, že každou linku prošel příliš velký rámec. Pokud na velikostech záleží pro váš závěr, zaznamenejte, kde bylo zachycení pořízeno a zda byl na tomto rozhraní aktivní offload.

Jinak měříte pohodlí hostitele, nikoli chování cesty. Dva soubory označené rozhraním a stavem offloadu vyřeší většinu těchto sporů za minutu.

Kde zachycení přestává být důkazem

Vidět šifrované vnější pakety ukazuje, že za těchto testovacích podmínek existuje ochranná hranice, a neříká nic o jiných aplikacích v zařízení, o jednání operátora ani o stavu samotného koncového bodu. Vidět otevřený text uvnitř tunelu také neznamená, že je tunel rozbitý; znamená to, že jste zachytávali nad bodem šifrování, což je legitimní místo, kam se dívat. Zachycení je důkaz o místě, ne verdikt o systému, a tiket by to tak měl popisovat. Ponechte ve zprávě větu o rozsahu, protože právě ta brání tomu, aby se jediné pozorování stalo tvrzením o auditu.

Pojmenujte každý soubor jeho rozhraním, filtrem a časovým razítkem a po skončení vyšetřování jej smažte. Manuál tcpdump dokumentuje zde použité přepínače rozhraní a filtru, včetně těch, které drží zachycení malé.

Pokud musíte sdílet důkazy, sdílejte velikosti, časová razítka a přepínače místo užitečného zatížení. Otázka byla o velikosti paketu a odpověď jen zřídka potřebuje něčí data.