حالت پرامیسکیوس روی آداپتور VPN اتصال را از کار می‌اندازد
ضبط بسته روی آداپتور تونل می‌تواند ارسال آن را متوقف کند. حالت پرامیسکیوس را خاموش کنید، لایه‌ای را که به پرسش پاسخ می‌دهد انتخاب کنید و فایل را مانند یک راز بدانید.
Wireshark روی یک رابط Ethernet بی‌نقص کار می‌کند و بعد، روی یک آداپتور VPN، همان لحظه‌ای که ضبط شروع می‌شود تونل از گذراندن ترافیک بازمی‌ایستد. پنجره ضبط همچنان پر می‌شود، پس ابزار سالم به نظر می‌رسد در حالی که اتصال زیر آن می‌میرد. حالت پرامیسکیوس علت معمول است، چون درایور تونلی که از آن هر فریم روی قطعه‌ای که ندارد خواسته می‌شود می‌تواند به وضعیتی برسد که هیچ چیز از آن بیرون نمی‌رود.
ابتدا آن گزینه را خاموش کنید، بعد تصمیم بگیرید کدام لایه را واقعاً لازم دارید ببینید.
دو آداپتور، دو نمای متفاوت
یک کلاینت VPN معمولاً دو رابط ارائه می‌کند: رابط فیزیکی که حمل‌ونقل رمزنگاری‌شده را حمل می‌کند و رابط مجازی که ترافیک داخلی رمزگشایی‌شده را حمل می‌کند. آنها به پرسش‌های متفاوتی پاسخ می‌دهند. ضبط فیزیکی نقاط پایانی، پورت‌ها و اندازه بسته‌ها را نشان می‌دهد، در حالی که رابط مجازی پروتکل‌های برنامه را نشان می‌دهد همان‌گونه که تونل تحویلشان می‌دهد. انتخاب یکی بدون دانستن اینکه چه پرسشی می‌کنید ضبط را هدر می‌دهد.
هیچ نمایی ابرمجموعه دیگری نیست و یک ضبط به‌ندرت هم‌زمان به هر دو پرسش پاسخ می‌دهد.
رابط را از روی پرسش انتخاب کنید نه از روی ترتیب فهرست، چون کلاینت به سبک PPP می‌تواند آداپتورش را به‌عنوان دستگاه Ethernet معرفی کند و نام نمایشی به شما نخواهد گفت کدام لایه را انتخاب کرده‌اید. ضبط روی یک دروازه یا پورت آینه‌ای نمای سومی اضافه می‌کند که مسیر پس از ارسال را نشان می‌دهد، و همان‌جاست که مسیریابی نامتقارن و فیلتر کردن قابل مشاهده می‌شوند.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
چرا حالت پرامیسکیوس آداپتور تونل را می‌شکند
حالت پرامیسکیوس از درایور می‌خواهد فریم‌هایی را تحویل دهد که به میزبان نشانی ندارند، کاری که در یک قطعه Ethernet اشتراکی معنا دارد و در یک تونل نقطه‌به‌نقطه معنای بسیار کمی. برخی درایورها درخواست را آرام مدیریت می‌کنند؛ برخی دیگر خروج ترافیک ارسال از صف را متوقف می‌کنند و رابط بی‌صدا به یک سیاه‌چاله تبدیل می‌شود. ضبط هنوز آنچه می‌رسد را ثبت می‌کند، پس فایل مانند مدرکی از یک پیوند سالم به نظر می‌رسد. همان شکاف میان آنچه فایل نشان می‌دهد و آنچه رابط انجام داده است، تمام تله است.
گزینه را پیش از نخستین بسته خاموش کنید، فیلتر ضبط را باریک نگه دارید و از بافر کوچکی استفاده کنید. بافر حلقه‌ای بزرگ روی رابطی شلوغ دقیقاً همان فریم‌هایی را می‌ریزد که اهمیت داشتند، و ضبطی به دست می‌دهد که همه‌جا کامل است جز جایی که خطا بود.
اگر پیوند در میانه ضبط گیر کند، آن را متوقف کنید و بهبود را بپایید. همان یک مشاهده اثر جانبی ضبط را از خطای واقعی تونل جدا می‌کند و کمتر از هر میزان تنظیم فیلتر وقت می‌گیرد.
خوانا کردن ضبط IPsec
ضبط IPsec به‌تنهایی خوانا نیست، چون ESP بار مفید را رمز می‌کند. Wireshark می‌تواند آن را رمزگشایی کند وقتی کلیدهای نشست را بدهید، یا وقتی بتواند مذاکره IKE را که آنها را ساخته دنبال کند، که یعنی دست‌دادن باید در همان فایل باشد.
کلیدها منقضی می‌شوند. پس از اینکه طرفین کلیدها را تازه کنند، مجموعه‌ای از کلیدهای قدیمی در میانه ضبط از کار می‌افتد و نتیجه به‌جای یک مرز زمانی شبیه باگ رمزگشا به نظر می‌رسد.
قالب کلید مستندشده فروشنده را دنبال کنید نه اینکه مواد را از منبعی بی‌ربط وارد کنید، و انتظار داشته باشید برخی بسترها این گردش کار را کاملاً رد کنند. وقتی دروازه کلیدها را تحویل نمی‌دهد یا اجازه ضبط نمی‌دهد، بپذیرید که بار مفید از جای شما قابل بررسی نیست. گزارش‌های نقاط پایانی و شمارنده‌های رابط شواهد باقی‌مانده‌اند و معمولاً برای یک پرسش مسیریابی کافی‌اند.
ضبطی که می‌توانید ایمن به اشتراک بگذارید
ضبط داخلی به تخلیه اعتبارنامه نزدیک‌تر است تا به گزارش. می‌تواند نام‌ها، نشانی‌ها و متن ساده پروتکل‌هایی را در خود داشته باشد که با این فرض نوشته شده‌اند که هیچ‌کس هرگز آنها را نمی‌خواند، و همین خود فایل را به اثر حساس تبدیل می‌کند نه تحلیل را.
مطمئن شوید میزبان و شبکه از جاهایی هستند که اجازه ضبط روی آنها را دارید، هم رابط و هم فیلتر را همراه نتیجه یادداشت کنید، جلسه را به همان چند دقیقه‌ای که به پرسش پاسخ می‌دهد محدود کنید و پس از پایان فایل را پاک کنید. اگر باید به اشتراک گذاشته شود، نخست جریان را توصیف کنید یا بار مفید را بردارید.
سپس وظیفه اصلی کاربر را تکرار کنید. ضبطی که ثابت می‌کند بسته‌ای رسیده مدرکی بر پذیرش پاسخ توسط برنامه نیست، و تفاوت میان این دو معمولاً همان جایی است که خطای واقعی آنجاست.