Sisemmät ja ulommat paketit VPN-kaappauksessa: miksi koot eroavat

Kaappaat 1400 tavun paketteja tunnelin rajapinnalla, kaappaat uudelleen fyysisellä, eivätkä luvut suostu täsmäämään. Osoitteet eroavat, koot eroavat, ja toinen tiedosto näyttää toiselta keskustelulta. Mikään ei ole rikki. Kaksi eri pakettia istuu kahdella eri kerroksella, ja niiden välinen ero on se, mitä tunneli tekee liikenteellesi. Lue molemmat näkymät ennen kuin syytät MTU:ta.

Kaksi näkökulmaa ja paketti, jonka kumpikin näyttää

Tunnelin rajapinnalta otettu kaappaus näyttää sisemmän paketin: sovelluksen hyötykuorman alkuperäisine lähteineen ja kohteineen, ennen kuin mitään suojausta sovelletaan. Fyysiseltä rajapinnalta otettu kaappaus näyttää ulomman paketin: IP-otsikko, kuljetusotsikko, kapselointi ja sitten salattu sisempi paketti hyötykuormana. Sama keskustelu, eri oliot. Kun nimeät, kumman tiedosto sisältää, epäjohdonmukaisuus lakkaa olemasta arvoitus.

Kokoero on ylimääräistä kuormaa, ja osoite-ero on suunnittelua. Käännä se toisin päin, ja hämmennys muuttuu ennustettavaksi: ihmiset vertaavat 1400 tavun sisempää pakettia 1450 tavun ulompaan pakettiin, päättävät että jokin on vialla ja alkavat muuttaa MTU-asetuksia, jotka eivät koskaan olleet syyllisiä. Merkitse tiedosto rajapinnalla ja kerroksella, sillä se merkintä on ensimmäinen asia, jonka lukija tarvitsee, ja ensimmäinen, jonka ihmiset jättävät pois.

Päätä kerros ennen kaappauksen aloittamista

Päätä, mikä kerros vastaa kysymykseesi, ennen kuin ensimmäinen paketti kirjoitetaan. MTU-kysymys tarvitsee yleensä ulomman näkymän, koska sinne otsikot kertyvät ja siellä polun raja näkyy. Sovelluskysymys tarvitsee yleensä sisemmän näkymän, koska siellä hyötykuorma, josta välität, on vielä olemassa. Molempien kaappaaminen ilman suunnitelmaa tuottaa kaksi tiedostoa eikä yhtään johtopäätöstä.

Käytä vaaratonta, valtuutettua testiä ja suodata lähteen, kohteen ja ajan mukaan, joista välität. Lue kaappausohjelman rajapinta- ja suodatinasetukset ennen keräämistä, sillä metatiedot riittävät yleensä ja ovat paljon helpompia jakaa kuin hyötykuorma. Kohtele sisempää kaappausta oletusarvoisesti arkaluontoisena, sillä se sisältää salaamatonta sovellusdataa, joka suojataan vasta myöhemmin polulla.

Mitä kokoero todella sisältää

Ulompi paketti kantaa ylimääräisiä otsikoita ja suojausmateriaalia, ja se, kuinka paljon se kantaa, riippuu protokollasta ja sen asetuksista. Pirstominen, yhdistäminen tai uudelleenjärjestäminen polun varrella voi rikkoa näennäisen yhden suhde yhteen -suhteen sisemmän paketin ja sitä kantavien ulompien pakettien välillä, joten koko koon vertailu ei ole aina mahdollista. Epäiltyyn MTU-vikaan etsi kokopalautetta ja kohta, jossa liikenne pysähtyy, ja vertaa sitä sitten siihen, mitä sovellus raportoi. Vastaamaton uudelleenlähetyskuvio on eri signaali kuin ICMP-virhe, joka kantaa seuraavan hypyn koon.

Yksi isännästä lähtevä paketti ei todista mitään siitä, saapuiko se kauimpana olevalle päälle. Jos kaappauksesi päättyy omaan rajapintaasi, olet osoittanut, että ydin lähetti jotain, mikä on heikoin saatavilla oleva todiste polusta. Yhdistä kaappaus toistuvaan oireeseen: sama kohde, sama toiminto, sama koko, ajettuna kahdesti yhden muuttujan muuttuessa.

Offloadin lukeminen lukuihin

Isäntäpuolen segmentointi ja muu offload lisäävät toisen vääristymän, ja juuri se saa paikalliset kaappaukset eri mieltä johdon kanssa. Paikallinen kaappaus voi näyttää puskureita, jotka sovitin jakaa myöhemmin, joten linkin kehykset ovat pienempiä ja lukuisampia kuin tiedosto antaa ymmärtää. Siksi suuri puskuri kaappaustiedostossa ei todista, että liian suuri kehys olisi kulkenut jokaisen linkin läpi. Jos ko'oilla on merkitystä johtopäätöksellesi, kirjaa, missä kaappaus otettiin ja oliko offload aktiivinen kyseisellä rajapinnalla.

Muuten mittaat isännän mukavuutta etkä polun käytöstä. Kaksi tiedostoa, merkittynä rajapinnalla ja offload-tilalla, ratkaisevat useimmat näistä väittelyistä minuutissa.

Missä kaappaus lakkaa olemasta todiste

Salattujen ulompien pakettien näkeminen osoittaa, että näissä testiolosuhteissa on suojausraja, eikä se kerro mitään muista laitteen sovelluksista, operaattorin käsittelystä tai päätepisteen omasta tilasta. Selkokielisen tekstin näkeminen tunnelin sisällä ei sekään tarkoita, että tunneli on rikki, vaan että kaappasit salauspisteen yläpuolelta, mikä on laillinen paikka katsoa. Kaappaus on todiste paikasta, ei tuomio järjestelmästä, ja tiketin pitäisi kuvata se niin. Pidä laajuuslause raportissa, sillä juuri se estää yksittäistä havaintoa muuttumasta auditointiväitteeksi.

Nimeä jokainen tiedosto rajapinnallaan, suodattimellaan ja aikaleimallaan ja poista se, kun tutkinta päättyy. tcpdumpin käsikirja dokumentoi tässä käytetyt rajapinta- ja suodatinvalitsimet, mukaan lukien ne, jotka pitävät kaappauksen pienenä.

Jos sinun on jaettava todisteita, jaa koot, aikaleimat ja valitsimet hyötykuorman sijaan. Kysymys oli paketin koosta, ja vastaus tarvitsee harvoin kenenkään dataa.