Promiskuitní režim na adaptéru VPN zabíjí připojení

Wireshark funguje na ethernetovém rozhraní bezchybně a pak na adaptéru VPN tunel ve chvíli, kdy začne zachytávání, přestane propouštět provoz. Okno zachytávání se dál plní, takže nástroj vypadá zdravě, zatímco spojení pod ním umírá. Promiskuitní režim je obvyklá příčina, protože ovladač tunelu, po kterém se chce každý rámec na segmentu, který nemá, může skončit ve stavu, kdy nic nevychází.

Nejdřív tuto volbu vypněte a potom se rozhodněte, kterou vrstvu vlastně potřebujete vidět.

Dva adaptéry, dva různé pohledy

Klient VPN obvykle představuje dvě rozhraní: fyzické, které nese šifrovaný transport, a virtuální, které nese dešifrovaný vnitřní provoz. Odpovídají na různé otázky. Fyzické zachytávání ukazuje koncové body, porty a velikosti paketů, zatímco virtuální ukazuje aplikační protokoly tak, jak je tunel doručuje. Vybrat jedno, aniž byste věděli, na kterou otázku odpovídáte, zachytávání promrhá.

Ani jeden pohled není nadmnožinou toho druhého a jedno zachytávání málokdy odpoví na obě otázky najednou.

Rozhraní vybírejte podle otázky, ne podle pořadí v seznamu, protože klient ve stylu PPP může svůj adaptér představit jako zařízení Ethernet a zobrazovaný název vám neřekne, kterou vrstvu jste vybrali. Zachytávání na bráně nebo zrcadlovém portu přidává třetí pohled, který ukazuje cestu po předání, a právě tam se stává viditelným asymetrické směrování a filtrování.

Proč promiskuitní režim rozbíjí adaptér tunelu

Promiskuitní režim žádá ovladač, aby doručoval rámce, které nejsou adresované hostiteli, což má smysl na sdíleném ethernetovém segmentu a velmi málo smyslu na tunelu bod-bod. Některé ovladače žádost zvládnou vlídně; jiné přestanou vyjímat z fronty odesílací provoz a rozhraní se tiše stane černou dírou. Zachytávání přesto zaznamenává, co přichází, takže soubor vypadá jako důkaz funkčního spoje. Právě tato propast mezi tím, co soubor ukazuje, a tím, co rozhraní udělalo, je celá past.

Vypněte volbu ještě před prvním paketem, držte zachytávací filtr úzký a použijte malý buffer. Velký kruhový buffer na vytíženém rozhraní zahazuje právě ty rámce, na kterých záleželo, takže zachytávání je úplné všude kromě místa, kde byla závada.

Pokud spojení uprostřed zachytávání zamrzne, zastavte ho a sledujte, zda se obnoví. Toto jediné pozorování odděluje vedlejší účinek zachytávání od skutečné závady tunelu a zabere méně času než jakékoli ladění filtrů.

Jak udělat zachytávání IPsec čitelné

Zachytávání IPsec samo o sobě čitelné není, protože ESP šifruje obsah. Wireshark ho dokáže dekódovat, když mu dodáte klíče relace, nebo když dokáže sledovat vyjednávání IKE, které je vytvořilo, což znamená, že handshake musí být ve stejném souboru.

Klíče vyprší. Poté co protistrany obnoví klíče, přestane sada starých klíčů uprostřed zachytávání fungovat a výsledek vypadá jako chyba dekodéru, nikoli jako časová hranice.

Držte se výrobcem dokumentovaného formátu klíčů a neimportujte materiál z nesouvisejícího zdroje, a počítejte s tím, že některé platformy tento postup úplně odmítnou. Když brána klíče nevydá nebo zachytávání nepovolí, přijměte, že obsah nelze z vašeho místa prohlédnout. Zbývajícím důkazem jsou protokoly koncových bodů a čítače rozhraní a pro otázku směrování obvykle stačí.

Zachytávání, které můžete bezpečně sdílet

Vnitřní zachytávání má blíž k výpisu pověření než k logu. Může obsahovat jména, adresy a otevřený text z protokolů psaných s předpokladem, že je nikdo nikdy nebude číst, což dělá citlivým artefaktem samotný soubor, ne analýzu.

Ujistěte se, že hostitel a síť jsou takové, na kterých smíte zachytávat, poznamenejte k výsledku rozhraní i filtr, omezte relaci na několik minut, které odpovídají na otázku, a po dokončení soubor odstraňte. Pokud ho musíte sdílet, nejdřív popište tok nebo odstraňte obsah.

Potom zopakujte původní uživatelský úkol. Zachytávání, které dokazuje, že paket dorazil, není důkazem, že aplikace odpověď přijala, a rozdíl mezi tím dvojím je obvykle místo, kde žije skutečná závada.