Innere und äußere Pakete in einem VPN-Mitschnitt: Warum die Größen abweichen

Sie schneiden 1400-Byte-Pakete auf der Tunnel-Schnittstelle mit, schneiden erneut auf der physischen mit, und die Zahlen wollen nicht zusammenpassen. Die Adressen unterscheiden sich, die Größen unterscheiden sich, und die zweite Datei sieht aus wie ein anderes Gespräch. Nichts ist kaputt. Zwei verschiedene Pakete sitzen auf zwei verschiedenen Schichten, und die Lücke zwischen ihnen ist das, was der Tunnel mit Ihrem Verkehr macht. Lesen Sie beide Ansichten, bevor Sie die MTU beschuldigen.

Zwei Blickwinkel und das Paket, das jeder zeigt

Ein Mitschnitt auf der Tunnel-Schnittstelle zeigt das innere Paket: die Nutzlast der Anwendung mit ihrem ursprünglichen Quell- und Zielpunkt, bevor irgendein Schutz angewendet wird. Ein Mitschnitt auf der physischen Schnittstelle zeigt das äußere Paket: einen IP-Header, einen Transport-Header, die Kapselung und dann das verschlüsselte innere Paket als Nutzlast. Dasselbe Gespräch, verschiedene Objekte. Sobald Sie benennen, welches von beiden die Datei enthält, ist die Abweichung kein Rätsel mehr.

Die Größendifferenz ist Overhead, und die Adressdifferenz ist Design. Drehen Sie das um, und die Verwirrung wird vorhersehbar: Leute vergleichen ein inneres Paket mit 1400 Byte mit einem äußeren mit 1450 Byte, entscheiden, dass etwas falsch ist, und beginnen, MTU-Einstellungen zu ändern, die nie schuld waren. Beschriften Sie die Datei mit Schnittstelle und Schicht, denn dieses Etikett ist das Erste, was ein Leser braucht, und das Erste, was Leute weglassen.

Entscheiden Sie die Schicht, bevor der Mitschnitt beginnt

Entscheiden Sie, welche Schicht Ihre Frage beantwortet, bevor das erste Paket geschrieben wird. Eine MTU-Frage braucht meist die äußere Ansicht, denn dort sammeln sich Header, und dort zeigt sich die Grenze des Pfades. Eine Anwendungsfrage braucht meist die innere Ansicht, denn dort existiert die Nutzlast, die Sie interessiert, noch. Beides ohne Plan mitzuschneiden ergibt zwei Dateien und keine Schlussfolgerung.

Verwenden Sie einen harmlosen, autorisierten Test und filtern Sie nach Quelle, Ziel und Zeitpunkt, die Sie interessieren. Lesen Sie Schnittstelle und Filteroptionen des Mitschnittwerkzeugs vor dem Sammeln, denn Metadaten reichen meist aus und lassen sich viel leichter teilen als Nutzlast. Behandeln Sie den inneren Mitschnitt standardmäßig als sensibel, denn er enthält unverschlüsselte Anwendungsdaten, die erst weiter hinten auf dem Pfad geschützt werden.

Was die Größendifferenz tatsächlich enthält

Das äußere Paket trägt zusätzliche Header und Schutzmaterial, und wie viel es trägt, hängt vom Protokoll und seinen Optionen ab. Fragmentierung, Aggregation oder Umordnung entlang des Pfades können die scheinbare Eins-zu-eins-Beziehung zwischen einem inneren Paket und den äußeren Paketen, die es tragen, aufbrechen, sodass ein Größenvergleich nicht immer möglich ist. Bei einem vermuteten MTU-Fehler suchen Sie nach Größenrückmeldung und dem Punkt, an dem der Verkehr stoppt, und vergleichen Sie das dann mit dem, was die Anwendung meldet. Ein Wiederholungsmuster ohne Antwort ist ein anderes Signal als ein ICMP-Fehler, der die Größe des nächsten Hops trägt.

Ein einzelnes Paket, das den Host verlässt, beweist nichts darüber, ob das ferne Ende es empfangen hat. Wenn Ihr Mitschnitt an Ihrer eigenen Schnittstelle endet, haben Sie gezeigt, dass der Kernel etwas gesendet hat, was der schwächste verfügbare Beweis über den Pfad ist. Kombinieren Sie den Mitschnitt mit einem wiederholbaren Symptom: dasselbe Ziel, dieselbe Operation, dieselbe Größe, zweimal ausgeführt mit einer geänderten Variablen.

Offload in die Zahlen einlesen

Host-seitige Segmentierung und anderes Offload fügen eine zweite Verzerrung hinzu, und sie ist es, die lokale Mitschnitte mit der Leitung uneinig macht. Ein lokaler Mitschnitt kann Puffer zeigen, die der Adapter später aufteilt, sodass die Frames auf der Strecke kleiner und zahlreicher sind als die Datei vermuten lässt. Deshalb beweist ein großer Puffer in der Mitschnittdatei nicht, dass ein übergroßer Frame jede Strecke passiert hat. Wenn die Größen für Ihre Schlussfolgerung zählen, halten Sie fest, wo der Mitschnitt entstand und ob Offload auf dieser Schnittstelle aktiv war.

Andernfalls messen Sie den Komfort des Hosts statt das Verhalten des Pfades. Zwei Dateien, beschriftet mit Schnittstelle und Offload-Zustand, klären die meisten dieser Streitfragen in einer Minute.

Wo der Mitschnitt aufhört, Beweis zu sein

Verschlüsselte äußere Pakete zu sehen zeigt, dass unter diesen Testbedingungen eine Schutzgrenze existiert, und es sagt nichts über andere Anwendungen auf dem Gerät, den Umgang des Betreibers oder den Zustand des Endpunkts selbst. Klartext im Tunnel zu sehen bedeutet auch nicht, dass der Tunnel kaputt ist; es bedeutet, dass Sie oberhalb des Verschlüsselungspunkts mitgeschnitten haben, was ein legitimer Ort zum Nachsehen ist. Ein Mitschnitt ist ein Beweis über einen Ort, kein Urteil über ein System, und das Ticket sollte ihn so beschreiben. Behalten Sie den Umfangssatz im Bericht, denn er verhindert, dass eine einzelne Beobachtung zu einer Auditbehauptung wird.

Benennen Sie jede Datei mit ihrer Schnittstelle, ihrem Filter und ihrem Zeitstempel, und löschen Sie sie, wenn die Untersuchung endet. Das tcpdump-Handbuch dokumentiert die hier verwendeten Schnittstellen- und Filter-Flags, einschließlich derer, die einen Mitschnitt klein halten.

Wenn Sie Beweise teilen müssen, teilen Sie Größen, Zeitstempel und Flags statt der Nutzlast. Die Frage betraf die Paketgröße, und die Antwort braucht selten jemandes Daten.