Colled Ping ar VPN: grwpio'r ceisiadau Echo cyn y ganran

Mae un cipiad yn cynnwys chwe chais Echo a thri ateb, ac mae rhywun yn ysgrifennu colled pecynnau o 50 y cant yn y tocyn. Gallai'r rhif hwnnw fod yn wir am y cipiad ac yn anwir am y tiwnel. Efallai bod y chwe chais yn perthyn i ddau sgwrs wahanol gyda dau gontract cyflwyno gwahanol. Grwpiwch nhw cyn rhannu, a bydd y gymhareb yn peidio â bod yn rhan ddiddorol yr adroddiad.

Cam 1: gwahanwch y ffrydiau yn ôl ffynhonnell a chyrchfan

Mae cais Echo yn cario ffynhonnell a chyrchfan, ac mae'r dau faes hynny yn diffinio pa sgwrs y mae'n perthyn iddi. Mae archwiliad a gynhyrchir gan y giât yn defnyddio cyfeiriad tiwnel y giât, tra bod archwiliad a anfonir ar ran gwesteiwr LAN yn cadw cyfeiriad y gwesteiwr hwnnw. Gall yr ochr bellaf fod â llwybr dychwelyd ar gyfer un ac nid y llall, sy'n gwneud i'r ddau grŵp ymddwyn yn wahanol am resymau sydd ddim yn gysylltiedig â'r tiwnel.

Rhannwch y cipiad ar y meysydd hynny cyn cyfrif unrhyw beth, a chadwch y gyrchfan yn rhan o'r allwedd. Nid yw dwy ffrwd i wahanol gyfoedion yn gymharadwy hyd yn oed pan fyddant yn rhannu ffynhonnell.

Ysgrifennwch y grwpiau gyda'u cyfrifon, oherwydd mae'r cam nesaf yn penderfynu pa atebion sy'n perthyn i ba grŵp. Mae grŵp â thri chais heb ateb cyfatebol yn ganfyddiad. Mae grŵp â thri chais a thri ateb yn llinell sylfaen.

Cam 2: cyfatebwch ar y dynodydd a'r dilyniant

Mae fformat Echo yn RFC 792 yn cario dynodydd a rhif dilyniant, ac mae'n eu trin fel y meysydd sy'n paru ateb â'i gais. Mae angen y ddau ar gyfer y gwaith hwnnw. Nid yw rhif dilyniant ar ei ben ei hun yn unigryw, gan y gall gwahanol anfonwyr neu brosesau ailddefnyddio'r un gwerth o fewn un ffenestr cipio. Mae'r dynodydd yn culhau'r anfonydd a'r dilyniant yn culhau'r safle, a'r pâr gyda'i gilydd sy'n gwneud cyfatebiaeth yn amddiffynadwy.

Mae ateb yn gwrthdroi cyfeiriad cyfeiriadau ei gais, felly pâr cais-ateb yw cyfatebiaeth yn hytrach na dau dupl llawn yn union yr un fath. Cymharwch ffynhonnell y cais â chyrchfan yr ateb a chyrchfan y cais â ffynhonnell yr ateb, yna cadarnhewch fod y dynodydd a'r dilyniant yn cytuno.

Cadwch y ffenestr arsylwi hefyd, oherwydd gall cipiad hir gynnwys ailddefnydd dilys o'r ddau faes. Mae tocio'r ffenestr i un ffrwydrad yn dileu'r rhan fwyaf o'r amwysedd hwnnw. Mae hefyd yn gwneud y cyfrifon yn atgynhyrchadwy i bawb sy'n darllen y tocyn.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Cam 3: cymharwch y tuplau ar yr un ffin

Os yw cyfieithu cyfeiriadau rhwydwaith yn gorwedd rhwng y pwynt cipio a'r pâr, bydd y cyfeiriadau yn y cais a'r ateb yn wahanol yn ôl cynllun. Cymharwch y tuplau ar un ffin, neu cludwch y mapio'n benodol fel bod y gwahaniaeth yn cael ei gyfrif. Mae cymysgu ceisiadau cyn cyfieithu ag atebion ar ôl cyfieithu yn dyfeisio anghysondebau na fuont erioed ar y weiren.

Penderfynwch ar y ffin cyn dechrau cyfrif, a nodwch hi yn yr adroddiad fel y gall y person nesaf atgynhyrchu'r grwpio. Mae un cipiad ar ochr y cleient a'r llall ar ochr y gweinydd yn ddwy ffin wahanol. Mae pob un yn ateb cwestiwn gwahanol ynghylch ble aeth yr ateb.

Mae grŵp o archwiliadau wedi'u cyfieithu hefyd yn etifeddu cyflwr y ddyfais gyfieithu ei hun, a allai fod y rheswm gwirioneddol pam na fydd ateb byth yn cyrraedd. Gwiriwch y cyflwr hwnnw cyn beio'r llwybr y tu hwnt iddo.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Cam 4: dywedwch beth y gall y cipiad ei brofi a beth na all

Nid yw bwlch a arsylwyd yn profi bod y gwesteiwr pell wedi aros yn dawel. Efallai nad yw'r pwynt cipio yn gweld ond un cyfeiriad, gall hidlwr ollwng yr ateb, neu efallai bod y byffer wedi gorlifo yn ystod y ffenestr. Mae pob un ohonynt yn cynhyrchu'r un absenoldeb a chasgliad gwahanol.

Cofnodwch leoliad y cipiad, mynegiad y hidlwr a'r cyfrifwyr gollwng ochr yn ochr â'r cyfrifon, oherwydd ni ellir archwilio cymhareb hebddyn nhw. Y tair llinell hynny sy'n gwneud y rhif yn amddiffynadwy yn ddiweddarach.

Yna gwahanwch yr hyn y mae'r arsylwi yn ei sefydlu oddi wrth yr hyn y mae'n ei awgrymu, mewn dwy frawddeg yn hytrach nag un. Mae'r frawddeg gyntaf yn nodi'r cyfrifon a'r ffin. Mae'r ail yn nodi'r rhagdybiaeth a'r hyn a fyddai'n ei chadarnhau.

Lle'r cwestiwn yw a yw llwybr penodol yn gollwng pecynnau, mae archwiliad rheoledig â chyfeiriad ffynhonnell benodol yn dystiolaeth gryfach na chyfrif goddefol o draffig cymysg. Anfonwch ef o'r un peiriant, ar yr un amser, i'r un pâr. Newidiwch un newidyn ac mae'r gymhariaeth yn dal.

Adroddwch y grwpiau a'r ffin nesaf

Mae gan yr adroddiad dair llinell: diffiniad y grŵp, y cyfrifon cyfatebol o fewn pob grŵp, a'r ffin lle gwnaed y gymhariaeth. Yna gall y darllenydd weld bod un grŵp wedi ateb yn llwyr ac un arall heb wneud, sy'n cyfeirio at lwybr neu ganiatâd yn hytrach nag at golled hap.

Atodwch y ffeil cipio a'r mynegiadau hidlwr fel y gellir atgynhyrchu'r grwpio. Mae crynodeb heb y ffeil yn haeriad yn hytrach na chanlyniad.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Pan fydd un grŵp yn dangos pump ateb a'r llall yn dangos dim, y canfyddiad yw bod gan un ffynhonnell lwybr dychwelyd gweithredol a'r llall heb. Mae hwnnw'n docyn llawer gwell na chanran gymysg, ac mae'n cyfeirio'r gwiriad nesaf at y llwybr dychwelyd yn hytrach nag at achos VPN di-gysylltiad.