بسته‌های درونی و بیرونی در یک ضبط VPN: چرا اندازه‌ها متفاوت است

بسته‌های 1400 بایتی را روی واسط تونل ضبط می‌کنید، دوباره روی واسط فیزیکی ضبط می‌کنید، و اعداد با هم جور درنمی‌آیند. نشانی‌ها متفاوت‌اند، اندازه‌ها متفاوت‌اند، و فایل دوم شبیه گفتگویی دیگر است. هیچ چیز خراب نیست. دو بستهٔ متفاوت در دو لایهٔ متفاوت نشسته‌اند، و شکاف میان آن‌ها همان کاری است که تونل با ترافیک شما می‌کند. پیش از سرزنش MTU هر دو نما را بخوانید.

دو نقطهٔ دید و بسته‌ای که هر کدام نشان می‌دهد

ضبطی که روی واسط تونل گرفته شود بستهٔ درونی را نشان می‌دهد: بار دادهٔ برنامه با مبدأ و مقصد اصلی‌اش، پیش از آنکه هرگونه حفاظتی اعمال شود. ضبط روی واسط فیزیکی بستهٔ بیرونی را نشان می‌دهد: یک سرآیند IP، یک سرآیند انتقال، کپسوله‌سازی، و سپس بستهٔ درونی رمزگذاری‌شده به‌عنوان بار داده. همان گفتگو، اشیای متفاوت. به‌محض اینکه نام ببرید کدام‌یک در فایل است، ناسازگاری دیگر معما نیست.

تفاوت اندازه سرباری است، و تفاوت نشانی طراحی. آن را برگردانید و سردرگمی قابل پیش‌بینی می‌شود: مردم یک بستهٔ درونی 1400 بایتی را با یک بستهٔ بیرونی 1450 بایتی مقایسه می‌کنند، تصمیم می‌گیرند چیزی اشتباه است، و شروع می‌کنند به تغییر تنظیمات MTU که هرگز مقصر نبوده‌اند. فایل را با واسط و لایه برچسب بزنید، چون آن برچسب نخستین چیزی است که خواننده لازم دارد و نخستین چیزی که مردم جا می‌اندازند.

پیش از آغاز ضبط، لایه را تعیین کنید

پیش از نوشته شدن نخستین بسته تصمیم بگیرید کدام لایه به پرسش شما پاسخ می‌دهد. پرسش MTU معمولاً نمای بیرونی را می‌خواهد، چون سرآیندها همان‌جا جمع می‌شوند و محدودیت مسیر همان‌جا دیده می‌شود. پرسش برنامه معمولاً نمای درونی را می‌خواهد، چون بار داده‌ای که برایتان مهم است هنوز همان‌جا هست. ضبط هر دو بدون نقشه دو فایل و هیچ نتیجه‌ای می‌دهد.

از یک آزمون بی‌زیان و مجاز استفاده کنید و بر مبدأ، مقصد و زمانی که برایتان مهم است فیلتر بگذارید. پیش از گردآوری، واسط و گزینه‌های فیلتر ابزار ضبط را بخوانید، چون فراداده معمولاً کافی است و به‌مراتب آسان‌تر از بار داده قابل اشتراک است. ضبط درونی را به‌طور پیش‌فرض حساس بدانید، چون دادهٔ برنامهٔ رمزنگاری‌نشده‌ای دارد که تنها در ادامهٔ مسیر محافظت می‌شود.

تفاوت اندازه در واقع چه چیزی در خود دارد

بستهٔ بیرونی سرآیندهای اضافی و مواد حفاظتی حمل می‌کند، و مقدار آن به پروتکل و گزینه‌هایش بستگی دارد. قطعه‌بندی، تجمیع یا بازآرایی در طول مسیر می‌تواند رابطهٔ ظاهراً یک‌به‌یک میان بستهٔ درونی و بسته‌های بیرونی که آن را حمل می‌کنند بشکند، بنابراین مقایسهٔ اندازه با اندازه همیشه در دسترس نیست. برای نقص مشکوک MTU، به دنبال بازخورد اندازه و نقطه‌ای باشید که ترافیک در آن می‌ایستد، سپس آن را با آنچه برنامه گزارش می‌کند مقایسه کنید. الگوی ارسال دوبارهٔ بی‌پاسخ نشانه‌ای متفاوت از خطای ICMP است که اندازهٔ گام بعدی را حمل می‌کند.

یک بستهٔ تنها که میزبان را ترک می‌کند چیزی را دربارهٔ دریافت آن در انتهای دور اثبات نمی‌کند. اگر ضبط شما روی واسط خودتان تمام شود، نشان داده‌اید که هسته چیزی فرستاده است، و این ضعیف‌ترین شاهد موجود دربارهٔ مسیر است. ضبط را با یک نشانهٔ تکرارپذیر ترکیب کنید: همان مقصد، همان عملیات، همان اندازه، دو بار با تغییر یک متغیر اجرا شود.

خواندن offload در میان اعداد

قطعه‌بندی سمت میزبان و دیگر offloadها اعوجاج دومی می‌افزایند، و همان است که ضبط‌های محلی را با سیم ناسازگار می‌کند. یک ضبط محلی می‌تواند بافرهایی را نشان دهد که آداپتور بعداً تقسیم می‌کند، بنابراین قاب‌های روی پیوند کوچک‌تر و پرشمارتر از آن هستند که فایل القا می‌کند. به همین دلیل یک بافر بزرگ در فایل ضبط اثبات نمی‌کند که قابی بزرگ‌تر از حد مجاز از هر پیوند گذشته است. اگر اندازه‌ها برای نتیجه‌گیری شما مهم‌اند، ثبت کنید ضبط کجا گرفته شده و آیا offload روی آن واسط فعال بوده است.

در غیر این صورت راحتی میزبان را اندازه می‌گیرید نه رفتار مسیر را. دو فایل که با واسط و وضعیت offload برچسب خورده‌اند بیشتر این بحث‌ها را در یک دقیقه حل می‌کنند.

آنجا که ضبط دیگر شاهد نیست

دیدن بسته‌های بیرونی رمزگذاری‌شده نشان می‌دهد که در این شرایط آزمون مرز حفاظتی وجود دارد، و دربارهٔ برنامه‌های دیگر روی دستگاه، رفتار اپراتور یا وضعیت خود نقطهٔ پایانی چیزی نمی‌گوید. دیدن متن ساده درون تونل هم به معنای خراب بودن تونل نیست؛ یعنی بالای نقطهٔ رمزنگاری ضبط کرده‌اید، که جای مشروعی برای نگاه کردن است. ضبط شاهد دربارهٔ یک مکان است، نه حکم دربارهٔ یک سامانه، و تیکت باید آن را همین‌طور توصیف کند. جملهٔ دامنه را در گزارش نگه دارید، چون همان است که نمی‌گذارد یک مشاهدهٔ واحد به ادعای ممیزی تبدیل شود.

هر فایل را با واسط، فیلتر و برچسب زمانی‌اش نام‌گذاری کنید و وقتی بررسی تمام شد آن را حذف کنید. راهنمای tcpdump پرچم‌های واسط و فیلتر استفاده‌شده در اینجا را مستند می‌کند، از جمله آن‌هایی که ضبط را کوچک نگه می‌دارند.

اگر باید شواهد را به اشتراک بگذارید، اندازه‌ها، برچسب‌های زمانی و پرچم‌ها را به اشتراک بگذارید نه بار داده را. پرسش دربارهٔ اندازهٔ بسته بود، و پاسخ به‌ندرت به دادهٔ کسی نیاز دارد.