Promiskuiteettitila VPN-sovittimessa katkaisee yhteyden
Tunnelisovittimella tehty kaappaus voi pysäyttää sen edelleenlähetyksen. Kytke promiskuiteettitila pois, valitse kerros, joka vastaa kysymykseen, ja kohtele tiedostoa salaisuutena.
Wireshark toimii moitteettomasti Ethernet-liitännässä, ja sitten VPN-sovittimessa tunneli lakkaa välittämästä liikennettä sinä hetkenä, kun kaappaus alkaa. Kaappausikkuna täyttyy edelleen, joten työkalu näyttää terveeltä samalla kun sen alla oleva yhteys kuolee. Promiskuiteettitila on tavallinen syy, sillä tunneliajurilta, jolta pyydetään jokaista kehystä segmentillä, jota sillä ei ole, voi päätyä tilaan, jossa mitään ei lähde ulos.
Kytke tämä valinta pois ensin ja päätä sitten, minkä kerroksen todella tarvitset nähdä.
Kaksi sovitinta, kaksi eri näkymää
VPN-asiakasohjelma esittää yleensä kaksi liitäntää: fyysisen, joka kuljettaa salatun siirron, ja virtuaalisen, joka kuljettaa puretun sisäisen liikenteen. Ne vastaavat eri kysymyksiin. Fyysinen kaappaus näyttää päätepisteet, portit ja pakettikoot, kun taas virtuaalinen näyttää sovellusprotokollat sellaisina kuin tunneli ne toimittaa. Toisen valitseminen tietämättä, mitä kysymystä esität, tuhlaa kaappauksen.
Kumpikaan näkymä ei ole toisen yläjoukko, ja yksi kaappaus vastaa harvoin molempiin kysymyksiin yhtä aikaa.
Valitse liitäntä kysymyksen enkä luettelon järjestyksen perusteella, sillä PPP-tyylinen asiakasohjelma voi esittää sovittimensa Ethernet-laitteena eikä näyttönimi kerro, minkä kerroksen valitsit. Kaappaus yhdyskäytävällä tai peiliportilla lisää kolmannen näkymän, joka näyttää reitin edelleenlähetyksen jälkeen, ja juuri siellä epäsymmetrinen reititys ja suodatus tulevat näkyviin.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Miksi promiskuiteettitila rikkoo tunnelisovittimen
Promiskuiteettitila pyytää ajuria toimittamaan kehyksiä, joita ei ole osoitettu isännälle, mikä on järkevää jaetussa Ethernet-segmentissä ja hyvin vähän järkevää pisteestä pisteeseen -tunnelissa. Jotkut ajurit hoitavat pyynnön rauhallisesti; toiset lakkaavat ottamasta lähetysliikennettä jonosta, ja liitännästä tulee hiljaa musta aukko. Kaappaus tallentaa silti saapuvan liikenteen, joten tiedosto näyttää todisteelta toimivasta yhteydestä. Juuri tuo kuilu tiedoston näyttämän ja liitännän tekemän välillä on koko ansa.
Kytke valinta pois ennen ensimmäistä pakettia, pidä kaappaussuodatin kapeana ja käytä pientä puskuria. Suuri rengaspuskuri kiireisessä liitännässä pudottaa juuri ne kehykset, joilla oli merkitystä, ja tuloksena on kaappaus, joka on täydellinen kaikkialla paitsi siellä, missä vika oli.
Jos yhteys pysähtyy kesken kaappauksen, pysäytä se ja seuraa palautumista. Tämä yksi havainto erottaa kaappauksen sivuvaikutuksen tunnelin todellisesta viasta, ja se vie vähemmän aikaa kuin mikään suodattimien säätö.
IPsec-kaappauksen lukukelpoiseksi tekeminen
IPsec-kaappaus yksinään ei ole lukukelpoinen, koska ESP salaa hyötykuorman. Wireshark voi purkaa sen, kun annat istuntoavaimet, tai kun se voi seurata IKE-neuvottelun, joka ne loi, mikä tarkoittaa, että kättely on oltava samassa tiedostossa.
Avaimet vanhenevat. Kun osapuolet ovat uusineet avaimet, joukko vanhoja avaimia lakkaa toimimasta kesken kaappauksen, ja tulos näyttää purkimen vialta eikä aikarajalta.
Noudata toimittajan dokumentoimaa avainmuotoa sen sijaan, että toisit materiaalia asiattomasta lähteestä, ja odota joidenkin alustojen hylkäävän koko työnkulku kokonaan. Kun yhdyskäytävä ei luovuta avaimia tai salli kaappausta, hyväksy, että hyötykuormaa ei voi tarkastella sinun sijaintiisi nähden. Päätepisteiden lokit ja liitännän laskurit ovat jäljellä olevat todisteet, ja ne riittävät yleensä reitityskysymykseen.
Kaappaus, jonka voit jakaa turvallisesti
Sisäinen kaappaus on lähempänä tunnistetietojen vuotoa kuin lokia. Se voi sisältää nimiä, osoitteita ja selkokielistä tekstiä protokollista, jotka kirjoitettiin olettaen, ettei kukaan koskaan lukisi niitä, mikä tekee itse tiedostosta arkaluontoisen artefaktin eikä analyysistä.
Varmista, että isäntä ja verkko ovat sellaisia, joilla sinulla on lupa kaapata, kirjaa sekä liitäntä että suodatin tuloksen yhteyteen, rajaa istunto kysymykseen vastaaviin minuutteihin ja poista tiedosto, kun olet valmis. Jos se on pakko jakaa, kuvaile ensin virtaus tai poista hyötykuorma.
Toista sitten alkuperäinen käyttäjän tehtävä. Kaappaus, joka todistaa paketin saapuneen, ei ole todiste siitä, että sovellus hyväksyi vastauksen, ja näiden kahden ero on yleensä siellä, missä todellinen vika asuu.