Indre og ydre pakker i en VPN-optagelse: hvorfor størrelserne er forskellige

Du optager pakker på 1400 byte på tunnelegrænsefladen, optager igen på den fysiske, og tallene vil ikke stemme. Adresserne er forskellige, størrelserne er forskellige, og den anden fil ligner en anden samtale. Intet er i stykker. To forskellige pakker sidder på to forskellige lag, og forskellen mellem dem er det, tunnelen gør ved din trafik. Læs begge visninger, før du giver MTU skylden.

To synsvinkler og den pakke, hver af dem viser

En optagelse taget på tunnelegrænsefladen viser den indre pakke: applikationens nyttelast med sin oprindelige kilde og destination, før nogen beskyttelse anvendes. En optagelse på den fysiske grænseflade viser den ydre pakke: et IP-hoved, et transporthoved, indkapslingen og derefter den krypterede indre pakke som nyttelast. Samme samtale, forskellige objekter. Når du navngiver, hvilken af dem filen indeholder, holder uoverensstemmelsen op med at være en gåde.

Størrelsesforskellen er overhead, og adresseforskellen er design. Vend det om, og forvirringen bliver forudsigelig: folk sammenligner en indre pakke på 1400 byte med en ydre på 1450 byte, beslutter at noget er galt og begynder at ændre MTU-indstillinger, der aldrig var skyld i noget. Mærk filen med grænsefladen og laget, for den etiket er det første, en læser har brug for, og det første, folk udelader.

Beslut laget, før du starter optagelsen

Beslut, hvilket lag der besvarer dit spørgsmål, før den første pakke skrives. Et MTU-spørgsmål kræver normalt den ydre visning, fordi det er der, hoveder hober sig op, og der vejens grænse viser sig. Et applikationsspørgsmål kræver normalt den indre visning, fordi det er der, den nyttelast, du bekymrer dig om, stadig findes. Optagelse af begge uden en plan giver to filer og ingen konklusion.

Brug en uskadelig, autoriseret test, og filtrer på den kilde, destination og tid, du bekymrer dig om. Læs optageværktøjets grænseflade- og filtervalg, før du indsamler, fordi metadata normalt er nok og er langt lettere at dele end nyttelast. Behandl den indre optagelse som følsom som standard, fordi den indeholder ukrypterede applikationsdata, som først bliver beskyttet længere fremme på vejen.

Hvad størrelsesforskellen egentlig indeholder

Den ydre pakke bærer ekstra hoveder og beskyttelsesmateriale, og hvor meget den bærer afhænger af protokollen og dens valgmuligheder. Fragmentering, aggregering eller omarrangering langs vejen kan bryde det tilsyneladende en-til-en-forhold mellem en indre pakke og de ydre pakker, der bærer den, så en størrelse-for-størrelse-sammenligning er ikke altid mulig. Ved mistanke om en MTU-fejl, se efter størrelsesfeedback og det punkt, hvor trafikken stopper, og sammenlign det derefter med det, applikationen rapporterer. Et gentransmissionsmønster uden svar er et andet signal end en ICMP-fejl, der bærer næste hops størrelse.

En enkelt pakke, der forlader værten, beviser intet om, hvorvidt den fjerneste ende modtog den. Hvis din optagelse slutter ved din egen grænseflade, har du vist, at kernen sendte noget, hvilket er det svageste bevis, der findes om vejen. Kombiner optagelsen med et gentageligt symptom: samme destination, samme handling, samme størrelse, kørt to gange med én variabel ændret.

At læse offload ind i tallene

Segmentering på værten og anden offload tilføjer en anden forvrængning, og det er den, der får lokale optagelser til at være uenige med ledningen. En lokal optagelse kan vise buffere, som adapteren senere deler, så rammerne på linket er mindre og flere, end filen antyder. Derfor beviser en stor buffer i optagelsesfilen ikke, at en for stor ramme har krydset hvert link. Hvis størrelserne betyder noget for din konklusion, skal du registrere, hvor optagelsen blev taget, og om offload var aktiv på den grænseflade.

Ellers måler du værtens bekvemmelighed frem for vejens adfærd. To filer mærket med deres grænseflade og offload-tilstand afgør de fleste af disse diskussioner på et minut.

Hvor optagelsen holder op med at være bevis

At se krypterede ydre pakker viser, at der under disse testbetingelser findes en beskyttelsesgrænse, og det siger intet om andre applikationer på enheden, operatørens håndtering eller slutpunktets egen tilstand. At se klartekst inde i tunnelen betyder heller ikke, at tunnelen er i stykker; det betyder, at du optog over krypteringspunktet, hvilket er et legitimt sted at kigge. En optagelse er bevis om et sted, ikke en dom om et system, og sagen bør beskrive det sådan. Behold omfangssætningen i rapporten, fordi den er det, der forhindrer en enkelt observation i at blive en revisionspåstand.

Navngiv hver fil med dens grænseflade, filter og tidsstempel, og slet den, når undersøgelsen slutter. tcpdump-manualen dokumenterer de grænseflade- og filterflag, der bruges her, inklusive dem, der holder en optagelse lille.

Hvis du skal dele beviser, så del størrelser, tidsstempler og flag i stedet for nyttelast. Spørgsmålet handlede om pakkestørrelse, og svaret kræver sjældent nogens data.