Promiskuøs tilstand på en VPN-adapter dræber forbindelsen
En optagelse på en tunneladapter kan standse dens videresendelse. Slå promiskuøs tilstand fra, vælg det lag, der besvarer spørgsmålet, og behandl filen som en hemmelighed.
Wireshark opfører sig perfekt på en Ethernet-grænseflade, og så, på en VPN-adapter, holder tunnelen op med at føre trafik i det øjeblik, optagelsen starter. Optagelsesvinduet bliver ved med at fyldes, så værktøjet ser sundt ud, mens forbindelsen nedenunder dør. Promiskuøs tilstand er den sædvanlige årsag, fordi en tunneldriver, der bliver bedt om hver ramme på et segment, den ikke har, kan ende i en tilstand, hvor intet forlader den.
Slå den indstilling fra først, og afgør derefter, hvilket lag du faktisk har brug for at se.
To adaptere, to forskellige visninger
En VPN-klient præsenterer normalt to grænseflader: den fysiske, der bærer den krypterede transport, og en virtuel, der bærer den dekrypterede indre trafik. De besvarer forskellige spørgsmål. Den fysiske optagelse viser endepunkter, porte og pakkestørrelser, mens den virtuelle viser applikationsprotokollerne, som tunnelen leverer dem. At vælge én uden at vide, hvilket spørgsmål du stiller, spilder optagelsen.
Ingen af visningerne er en overmængde af den anden, og én optagelse besvarer sjældent begge spørgsmål på én gang.
Vælg grænsefladen ud fra spørgsmålet i stedet for ud fra listens rækkefølge, fordi en klient i PPP-stil kan præsentere sin adapter som en Ethernet-enhed, og visningsnavnet vil ikke fortælle dig, hvilket lag du valgte. En optagelse på en gateway eller en spejlport tilføjer en tredje visning, der viser vejen efter videresendelsen, og det er der, asymmetrisk routing og filtrering bliver synlige.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Hvorfor promiskuøs tilstand ødelægger en tunneladapter
Promiskuøs tilstand beder driveren om at levere rammer, der ikke er adresseret til værten, hvilket giver mening på et delt Ethernet-segment og meget lidt mening på en punkt-til-punkt-tunnel. Nogle drivere håndterer anmodningen roligt; andre holder op med at tage sendetrafik ud af køen, og grænsefladen bliver stille et sort hul. Optagelsen registrerer stadig, hvad der ankommer, så filen ser ud som bevis på et fungerende link. Det gab mellem hvad filen viser, og hvad grænsefladen gjorde, er hele fælden.
Slå indstillingen fra før den første pakke, hold optagelsesfiltret smalt, og brug en lille buffer. En stor ringbuffer på en travl grænseflade taber netop de rammer, der betød noget, hvilket giver en optagelse, der er komplet overalt undtagen der, hvor fejlen var.
Hvis linket går i stå midt i optagelsen, stop det og se efter genopretning. Den ene observation skiller en bivirkning af optagelsen fra en ægte fejl i tunnelen, og den tager mindre tid end nogen mængde filterjustering.
At gøre en IPsec-optagelse læsbar
En IPsec-optagelse er ikke læsbar i sig selv, fordi ESP krypterer nyttelasten. Wireshark kan afkode den, når du leverer sessionsnøglerne, eller når den kan følge den IKE-forhandling, der frembragte dem, hvilket betyder, at håndtrykket skal være i samme fil.
Nøgler udløber. Når parterne har udskiftet nøgler, holder et sæt gamle nøgler op med at virke midt i optagelsen, og resultatet ser ud som en dekoderfejl snarere end en tidsgrænse.
Følg leverandørens dokumenterede nøgleformat i stedet for at importere materiale fra en uvedkommende kilde, og forvent at nogle platforme afviser arbejdsgangen helt. Når gatewayen ikke vil udlevere nøgler eller tillade optagelsen, må du acceptere, at nyttelasten ikke kan undersøges der, hvor du sidder. Endepunktslogfiler og grænsefladetællere er de resterende beviser, og de er normalt nok til et routing-spørgsmål.
En optagelse, du kan dele sikkert
En indre optagelse er tættere på en lækage af loginoplysninger end på en log. Den kan indeholde navne, adresser og klartekst fra protokoller skrevet ud fra den antagelse, at ingen nogensinde ville læse dem, hvilket gør selve filen til det følsomme artefakt frem for analysen.
Sørg for, at værten og netværket er nogle, du må optage på, noter både grænsefladen og filtret sammen med resultatet, begræns sessionen til de få minutter, der besvarer spørgsmålet, og fjern filen, når du er færdig. Hvis den skal deles, så beskriv flowet eller fjern nyttelasten først.
Gentag derefter den oprindelige brugeropgave. En optagelse, der beviser, at en pakke ankom, er ikke bevis for, at applikationen accepterede svaret, og forskellen mellem de to er sædvanligvis der, hvor den egentlige fejl ligger.