Η αδιάκριτη λειτουργία σε προσαρμογέα VPN σκοτώνει τη σύνδεση

Το Wireshark συμπεριφέρεται άψογα σε μια διεπαφή Ethernet και έπειτα, σε έναν προσαρμογέα VPN, το τούνελ σταματά να περνά κίνηση τη στιγμή που ξεκινά η καταγραφή. Το παράθυρο καταγραφής συνεχίζει να γεμίζει, οπότε το εργαλείο φαίνεται υγιές ενώ η σύνδεση από κάτω πεθαίνει. Η αδιάκριτη λειτουργία είναι η συνήθης αιτία, γιατί ένας οδηγός τούνελ από τον οποίο ζητείται κάθε πλαίσιο σε ένα τμήμα που δεν έχει μπορεί να καταλήξει σε κατάσταση όπου τίποτα δεν φεύγει.

Απενεργοποιήστε πρώτα αυτή την επιλογή και μετά αποφασίστε ποιο επίπεδο χρειάζεστε πραγματικά να δείτε.

Δύο προσαρμογείς, δύο διαφορετικές όψεις

Ένας πελάτης VPN παρουσιάζει συνήθως δύο διεπαφές: τη φυσική που μεταφέρει την κρυπτογραφημένη μεταφορά και μια εικονική που μεταφέρει την αποκρυπτογραφημένη εσωτερική κίνηση. Απαντούν σε διαφορετικές ερωτήσεις. Η φυσική καταγραφή δείχνει τελικά σημεία, θύρες και μεγέθη πακέτων, ενώ η εικονική δείχνει τα πρωτόκολλα εφαρμογών όπως τα παραδίδει το τούνελ. Η επιλογή της μίας χωρίς να γνωρίζετε ποια ερώτηση κάνετε σπαταλά την καταγραφή.

Καμία όψη δεν είναι υπερσύνολο της άλλης και μία καταγραφή σπάνια απαντά και στις δύο ερωτήσεις ταυτόχρονα.

Επιλέξτε τη διεπαφή από την ερώτηση και όχι από τη σειρά της λίστας, γιατί ένας πελάτης τύπου PPP μπορεί να παρουσιάσει τον προσαρμογέα του ως συσκευή Ethernet και το όνομα εμφάνισης δεν θα σας πει ποιο επίπεδο επιλέξατε. Μια καταγραφή σε πύλη ή σε θύρα κατόπτρου προσθέτει μια τρίτη όψη, που δείχνει τη διαδρομή μετά την προώθηση, και εκεί γίνονται ορατά η ασύμμετρη δρομολόγηση και το φιλτράρισμα.

Γιατί η αδιάκριτη λειτουργία χαλάει έναν προσαρμογέα τούνελ

Η αδιάκριτη λειτουργία ζητά από τον οδηγό να παραδίδει πλαίσια που δεν απευθύνονται στον υπολογιστή, κάτι που έχει νόημα σε ένα κοινόχρηστο τμήμα Ethernet και ελάχιστο νόημα σε ένα τούνελ σημείου προς σημείο. Μερικοί οδηγοί χειρίζονται το αίτημα ήρεμα, ενώ άλλοι σταματούν να βγάζουν από την ουρά την κίνηση αποστολής και η διεπαφή γίνεται σιωπηλά μια μαύρη τρύπα. Η καταγραφή εξακολουθεί να καταγράφει ό,τι φτάνει, οπότε το αρχείο μοιάζει με απόδειξη μιας ζεύξης που δουλεύει. Αυτό το χάσμα ανάμεσα σε ό,τι δείχνει το αρχείο και σε ό,τι έκανε η διεπαφή είναι ολόκληρη η παγίδα.

Απενεργοποιήστε την επιλογή πριν από το πρώτο πακέτο, κρατήστε το φίλτρο καταγραφής στενό και χρησιμοποιήστε έναν μικρό καταχωρητή. Ένας μεγάλος κυκλικός καταχωρητής σε μια πολυσύχναστη διεπαφή πετά ακριβώς τα πλαίσια που είχαν σημασία, παράγοντας μια καταγραφή πλήρη παντού εκτός από το σημείο όπου ήταν η βλάβη.

Αν ο σύνδεσμος κολλήσει στη μέση της καταγραφής, σταματήστε την και παρατηρήστε την ανάκαμψη. Αυτή η μία παρατήρηση χωρίζει μια παρενέργεια της καταγραφής από μια πραγματική βλάβη του τούνελ, και παίρνει λιγότερο χρόνο από οποιαδήποτε ρύθμιση φίλτρων.

Κάνοντας μια καταγραφή IPsec αναγνώσιμη

Μια καταγραφή IPsec από μόνη της δεν είναι αναγνώσιμη, γιατί το ESP κρυπτογραφεί το φορτίο. Το Wireshark μπορεί να την αποκωδικοποιήσει όταν του δώσετε τα κλειδιά συνεδρίας, ή όταν μπορεί να ακολουθήσει τη διαπραγμάτευση IKE που τα παρήγαγε, πράγμα που σημαίνει ότι η χειραψία πρέπει να βρίσκεται στο ίδιο αρχείο.

Τα κλειδιά λήγουν. Αφού τα δύο μέρη ανανεώσουν τα κλειδιά, ένα σύνολο παλιών κλειδιών σταματά να λειτουργεί στη μέση της καταγραφής, και το αποτέλεσμα μοιάζει με σφάλμα αποκωδικοποιητή παρά με χρονικό όριο.

Ακολουθήστε τη μορφή κλειδιών που τεκμηριώνει ο κατασκευαστής αντί να εισάγετε υλικό από άσχετη πηγή, και περιμένετε ότι ορισμένες πλατφόρμες θα αρνηθούν εντελώς τη ροή εργασίας. Όταν η πύλη δεν παραδίδει κλειδιά ούτε επιτρέπει την καταγραφή, δεχτείτε ότι το φορτίο δεν είναι ελεγχόμενο από εκεί που βρίσκεστε. Τα αρχεία καταγραφής τελικών σημείων και οι μετρητές διεπαφής είναι τα υπόλοιπα στοιχεία, και συνήθως αρκούν για ένα ερώτημα δρομολόγησης.

Μια καταγραφή που μπορείτε να μοιραστείτε με ασφάλεια

Μια εσωτερική καταγραφή είναι πιο κοντά σε διαρροή διαπιστευτηρίων παρά σε αρχείο καταγραφής. Μπορεί να περιέχει ονόματα, διευθύνσεις και απλό κείμενο από πρωτόκολλα γραμμένα με την παραδοχή ότι κανείς δεν θα τα διαβάσει ποτέ, κάτι που κάνει το ίδιο το αρχείο το ευαίσθητο τεκμήριο και όχι την ανάλυση.

Βεβαιωθείτε ότι ο κεντρικός υπολογιστής και το δίκτυο είναι τέτοια στα οποία επιτρέπεται να καταγράψετε, σημειώστε και τη διεπαφή και το φίλτρο μαζί με το αποτέλεσμα, περιορίστε τη συνεδρία στα λίγα λεπτά που απαντούν στην ερώτηση, και αφαιρέστε το αρχείο όταν τελειώσετε. Αν πρέπει να κοινοποιηθεί, περιγράψτε πρώτα τη ροή ή αφαιρέστε το φορτίο.

Έπειτα επαναλάβετε την αρχική εργασία του χρήστη. Μια καταγραφή που αποδεικνύει ότι ένα πακέτο έφτασε δεν είναι απόδειξη ότι η εφαρμογή δέχτηκε την απάντηση, και η διαφορά μεταξύ των δύο είναι συνήθως εκεί όπου ζει η πραγματική βλάβη.