Promiska reĝimo sur VPN-adaptilo mortigas la konekton
Kaptado sur tunela adaptilo povas haltigi ĝian plusendadon. Malŝaltu la promiskan reĝimon, elektu la tavolon kiu respondas la demandon, kaj traktu la dosieron kiel sekreton.
Wireshark kondutas perfekte sur Ethernet-interfaco, kaj poste, sur VPN-adaptilo, la tunelo ĉesas pasigi trafikon en la momento kiam la kaptado komenciĝas. La kaptfenestro daŭre pleniĝas, do la ilo aspektas sana dum la konekto sub ĝi mortas. La promiska reĝimo estas la kutima kaŭzo, ĉar tunela pelilo petata pri ĉiu kadro sur segmento kiun ĝi ne havas povas fini en stato kie nenio eliras.
Unue malŝaltu tiun opcion, poste decidu kiun tavolon vi vere bezonas vidi.
Du adaptiloj, du malsamaj vidpunktoj
VPN-kliento kutime prezentas du interfacojn: la fizikan, kiu portas la ĉifritan transporton, kaj virtualan, kiu portas la deĉifritan internan trafikon. Ili respondas al malsamaj demandoj. La fizika kaptado montras finpunktojn, pordojn kaj pakaĵgrandojn, dum la virtuala montras la aplikaĵprotokolojn tiel kiel la tunelo liveras ilin. Elekti unu sen scii kiun demandon vi faras malŝparas la kaptadon.
Neniu vidpunkto estas superaro de la alia, kaj unu kaptado malofte respondas ambaŭ demandojn samtempe.
Elektu la interfacon laŭ la demando anstataŭ laŭ la listordo, ĉar kliento laŭ PPP-stilo povas prezenti sian adaptilon kiel Ethernet-aparaton kaj la montrata nomo ne diros al vi kiun tavolon vi elektis. Kaptado sur enirejo aŭ spegula pordo aldonas trian vidpunkton, kiu montras la vojon post plusendado, kaj ĝuste tie malsimetria enkursigado kaj filtrado fariĝas videblaj.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Kial la promiska reĝimo rompas tunelan adaptilon
La promiska reĝimo petas la pelilon liveri kadrojn ne adresitajn al la gastiganto, kio havas sencon sur komuna Ethernet-segmento kaj tre malmultan sencon sur punkto-al-punkta tunelo. Kelkaj peliloj traktas la peton trankvile; aliaj ĉesas eligi sendotrafikon el la atendovico, kaj la interfaco silente fariĝas nigra truo. La kaptado ankoraŭ registras tion kio alvenas, do la dosiero aspektas kiel pruvo de funkcianta ligo. Ĝuste tiu breĉo inter tio kion montras la dosiero kaj tio kion faris la interfaco estas la tuta kaptilo.
Malŝaltu la opcion antaŭ la unua pakaĵo, tenu la kaptan filtron mallarĝa, kaj uzu malgrandan bufron. Granda ringbufro sur okupata interfaco faligas ĝuste la kadrojn kiuj gravis, kio produktas kaptadon kompletan ĉie krom tie kie estis la fuŝo.
Se la ligo haltas meze de la kaptado, haltigu ĝin kaj observu la reakiron. Tiu sola observo apartigas flankan efekton de la kaptado disde vera tunela fuŝo, kaj ĝi bezonas malpli da tempo ol ajna agordado de filtriloj.
Fari IPsec-kaptadon legebla
IPsec-kaptado sola ne estas legebla, ĉar ESP ĉifras la utilŝarĝon. Wireshark povas malkodi ĝin kiam vi liveras la seancklavojn, aŭ kiam ĝi povas sekvi la IKE-prilaboradon kiu produktis ilin, kio signifas ke la manpremo devas esti en la sama dosiero.
Klavoj eksvalidiĝas. Post kiam la partneroj renovigas la klavojn, aro da malnovaj klavoj ĉesas funkcii duone tra la kaptado, kaj la rezulto aspektas kiel malkodila fuŝo anstataŭ kiel tempa limo.
Sekvu la dokumentitan klavoformon de la vendisto anstataŭ importi materialon el nekoncerna fonto, kaj atendu ke kelkaj platformoj tute rifuzos la laborfluon. Kiam la enirejo ne transdonas klavojn aŭ ne permesas la kaptadon, akceptu ke la utilŝarĝo ne estas inspektebla de kie vi sidas. Protokoloj de finpunktoj kaj interfacaj nombriloj estas la restantaj pruvoj, kaj ili kutime sufiĉas por enkursiga demando.
Kaptado kiun vi povas sekure kunhavigi
Interna kaptado estas pli proksima al elfluigo de akreditaĵoj ol al protokolo. Ĝi povas enhavi nomojn, adresojn kaj klartekston el protokoloj verkitaj laŭ la supozo ke neniu iam legus ilin, kio faras la dosieron mem la delikata artefakto anstataŭ la analizo.
Certiĝu ke la gastiganto kaj la reto estas tiaj sur kiuj vi rajtas kapti, notu kaj la interfacon kaj la filtrilon kune kun la rezulto, limigu la seancon al la kelkaj minutoj kiuj respondas la demandon, kaj forigu la dosieron kiam vi finos. Se ĝi devas esti kunhavigita, priskribu la fluon aŭ forigu la utilŝarĝon unue.
Poste ripetu la originan uzantotaskon. Kaptado kiu pruvas ke pakaĵo alvenis ne estas pruvo ke la aplikaĵo akceptis la respondon, kaj la diferenco inter tiuj du estas kutime tie kie loĝas la vera fuŝo.