Ping-kadu VPN-is: rühmitage Echo-päringud enne protsenti

Üks salvestis sisaldab kuut Echo-päringut ja kolme vastust ning keegi kirjutab piletisse 50 protsenti paketikadu. See arv võib olla salvestise kohta tõene ja tunneli kohta vale. Need kuus päringut võivad kuuluda kahele erinevale vestlusele kahe erineva tarnekokkuleppega. Rühmitage need enne jagamist ja suhe lakkab olemast aruande huvitav osa.

Samm 1: eraldage vood allika ja sihtkoha järgi

Echo-päring kannab allikat ja sihtkohta ning need kaks välja määravad, millisesse vestlusesse see kuulub. Lüüsi loodud sond kasutab lüüsi tunneliaadressi, samal ajal kui LAN-hostide nimel edastatud sond säilitab selle hosti aadressi. Kaugemal poolel võib olla tagasitee ühe jaoks, kuid mitte teise jaoks, mistõttu kaks rühma käituvad erinevalt põhjustel, millel pole tunneliga mingit pistmist.

Jagage salvestis nende väljade järgi enne, kui midagi loendate, ja hoidke sihtkoht võtme osana. Kaks voogu erinevate peeride juurde ei ole võrreldavad isegi siis, kui nad jagavad allikat.

Kirjutage rühmad koos nende arvudega üles, sest järgmine samm otsustab, millised vastused millisesse rühma kuuluvad. Kolme päringuga ja ühegi sobiva vastuseta rühm on leid. Kolme päringu ja kolme vastusega rühm on baasjoon.

Samm 2: sobitage identifikaatori ja järjestuse järgi

RFC 792 Echo-vorming kannab identifikaatorit ja järjekorranumbrit ning kohtleb neid väljadena, mis seovad vastuse oma päringuga. Selle töö jaoks on vaja mõlemat. Üksi järjekorranumber ei ole unikaalne, sest erinevad saatjad või protsessid võivad sama väärtust ühe salvestusakna jooksul uuesti kasutada. Identifikaator kitsendab saatjat ja järjestus positsiooni ning paar koos teeb kokkulangevuse kaitstavaks.

Vastus pöörab oma päringu aadressisuuna ümber, seega on kokkulangevus päringu ja vastuse paar, mitte kaks identset korteeži. Võrrelge päringu allikat vastuse sihtkohaga ja päringu sihtkohta vastuse allikaga ning seejärel kinnitage, et identifikaator ja järjestus ühtivad.

Hoidke ka vaatlusakent, sest pikk salvestis võib sisaldada mõlema välja seaduslikku korduskasutust. Akna kärpimine üheks purskeks kõrvaldab suurema osa sellest mitmetähenduslikkusest. See muudab loendused ka piletit lugejale korratavaks.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Samm 3: võrrelge korteeže samal piiril

Kui võrgu aadressitõlge asub salvestuspunkti ja peeri vahel, erinevad päringu ja vastuse aadressid projekteeritult. Võrrelge korteeže ühel piiril, või kandke vastendust selgelt, et erinevus oleks arvesse võetud. Tõlkimiseelseid päringuid tõlkimisjärgsete vastustega segades luuakse lahknevusi, mida juhtmel kunagi ei olnud.

Otsustage piir enne loendamist ja märkige see aruandes, et järgmine inimene saaks rühmitamist korrata. Üks salvestis kliendi poolel ja teine serveri poolel on kaks erinevat piiri. Kumbki vastab erinevale küsimusele selle kohta, kuhu vastus kadus.

Tõlgitud sondide rühm pärineb ka tõlkimisseadme enda oleku, mis võib olla tegelik põhjus, miks vastus kunagi ei saabu. Kontrollige seda olekut enne, kui süüdistate teed sellest kaugemal.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Samm 4: öelge, mida salvestis suudab ja mida mitte tõestada

Vaadeldud lünk ei tõesta, et kauge host vaikis. Salvestuspunkt võib näha ainult ühte suunda, filter võib vastuse maha visata või puhver võis akna jooksul üle voolata. Igaüks neist annab sama puudumise ja erineva järelduse.

Märkige salvestuskoha, filtriavaldise ja kõrvalejätmiste loendurid loenduste kõrvale, sest ilma nendeta ei saa suhet auditeerida. Just need kolm rida teevad arvu hiljem kaitstavaks.

Seejärel eraldage, mida vaatlus tuvastab, sellest, mida see vihjab, kahes lauses ühe asemel. Esimene lause esitab loendused ja piiri. Teine esitab hüpoteesi ja selle, mis seda kinnitaks.

Kui küsimus on, kas konkreetne tee pakette maha viskab, on selge allikaaadressiga kontrollitud sond tugevam tõend kui segatud liikluse passiivne loendus. Saatke see samast masinast, samal ajal, samale peerile. Muutke ühte muutujat ja võrdlus kehtib.

Teatage rühmad ja järgmine piir

Aruandel on kolm rida: rühma määratlus, sobitatud loendused iga rühma sees ja piir, kus võrdlus tehti. Siis näeb lugeja, et üks rühm vastas täielikult ja teine mitte, mis viitab marsruudile või õigusele, mitte juhuslikule kaole.

Lisage salvestusfail ja filtriavaldised, et rühmitamist saaks korrata. Kokkuvõte ilma failita on väide, mitte tulemus.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Kui üks rühm näitab viit vastust ja teine mitte ühtegi, on leid, et ühel allikal on toimiv tagasitee ja teisel mitte. See on palju parem pilet kui segatud protsent, ja see suunab järgmise kontrolli tagasiteele, mitte kõrvalisele VPN-i eksemplarile.