El modo promiscuo en un adaptador VPN mata la conexión
Una captura en un adaptador de túnel puede detener su reenvío. Desactive el modo promiscuo, elija la capa que responde a la pregunta y trate el archivo como un secreto.
Wireshark se comporta perfectamente en una interfaz Ethernet y luego, en un adaptador VPN, el túnel deja de pasar tráfico en el momento en que empieza la captura. La ventana de captura sigue llenándose, así que la herramienta parece sana mientras la conexión de debajo muere. El modo promiscuo es la causa habitual, porque un controlador de túnel al que se le pide cada trama de un segmento que no tiene puede acabar en un estado en el que no sale nada.
Desactive esa opción primero y luego decida qué capa necesita ver realmente.
Dos adaptadores, dos vistas diferentes
Un cliente VPN suele presentar dos interfaces: la física, que transporta el tráfico cifrado, y una virtual, que transporta el tráfico interno descifrado. Responden a preguntas distintas. La captura física muestra extremos, puertos y tamaños de paquete, mientras que la virtual muestra los protocolos de aplicación tal como los entrega el túnel. Elegir una sin saber qué pregunta se hace desperdicia la captura.
Ninguna vista es un superconjunto de la otra, y una captura rara vez responde a las dos preguntas a la vez.
Elija la interfaz a partir de la pregunta y no del orden de la lista, porque un cliente de estilo PPP puede presentar su adaptador como un dispositivo Ethernet y el nombre mostrado no le dirá qué capa seleccionó. Una captura en una puerta de enlace o en un puerto espejo añade una tercera vista, que muestra el camino después del reenvío, y es ahí donde el enrutamiento asimétrico y el filtrado se vuelven visibles.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Por qué el modo promiscuo rompe un adaptador de túnel
El modo promiscuo pide al controlador que entregue tramas que no van dirigidas al host, lo que tiene sentido en un segmento Ethernet compartido y muy poco sentido en un túnel punto a punto. Algunos controladores manejan la petición con calma; otros dejan de sacar de la cola el tráfico de transmisión, y la interfaz se convierte en silencio en un agujero negro. La captura sigue registrando lo que llega, así que el archivo parece la prueba de un enlace que funciona. Esa brecha entre lo que muestra el archivo y lo que hizo la interfaz es toda la trampa.
Desactive la opción antes del primer paquete, mantenga estrecho el filtro de captura y use un búfer pequeño. Un búfer circular grande en una interfaz ocupada descarta justo las tramas que importaban, lo que produce una captura completa en todas partes menos donde estaba la avería.
Si el enlace se atasca a mitad de la captura, deténgala y observe si se recupera. Esa única observación separa un efecto secundario de la captura de una avería real del túnel, y lleva menos tiempo que cualquier ajuste de filtros.
Hacer legible una captura de IPsec
Una captura de IPsec por sí sola no es legible, porque ESP cifra la carga útil. Wireshark puede descodificarla cuando se le facilitan las claves de sesión, o cuando puede seguir la negociación IKE que las produjo, lo que significa que el apretón de manos tiene que estar en el mismo archivo.
Las claves caducan. Después de que los pares renueven las claves, un conjunto de claves viejas deja de funcionar a mitad de la captura, y el resultado parece un error del descodificador en lugar de un límite temporal.
Siga el formato de claves documentado por el proveedor en lugar de importar material de una fuente no relacionada, y espere que algunas plataformas rechacen por completo este flujo de trabajo. Cuando la puerta de enlace no entrega las claves ni permite la captura, acepte que la carga útil no se puede inspeccionar desde donde está. Los registros de los extremos y los contadores de la interfaz son las pruebas restantes, y suelen bastar para una pregunta de enrutamiento.
Una captura que puede compartir con seguridad
Una captura interna se parece más a un volcado de credenciales que a un registro. Puede contener nombres, direcciones y texto plano de protocolos escritos con el supuesto de que nadie los leería nunca, lo que convierte el propio archivo en el artefacto sensible y no el análisis.
Asegúrese de que el host y la red sean unos en los que pueda capturar, anote tanto la interfaz como el filtro junto con el resultado, limite la sesión a los pocos minutos que responden a la pregunta y elimine el archivo cuando termine. Si tiene que compartirse, describa el flujo o quite primero la carga útil.
Después repita la tarea original del usuario. Una captura que demuestra que un paquete llegó no es prueba de que la aplicación aceptara la respuesta, y la diferencia entre ambas cosas suele ser donde vive la avería real.