Pingferlies op in VPN: groepearje Echo-oanfragen foar it persintaazje

In opname befettet seis Echo-oanfragen en trije antwurden, en immen skriuwt 50 persint pakketferlies yn it kaartsje. Dat getal kin wier wêze foar de opname en falsk foar de tunnel. De seis oanfragen kinne by twa ferskillende petearen mei twa ferskillende leveringskontrakten hearre. Groepearje se foar't jo diele, en de ferhâlding is net mear it nijsgjirrige diel fan it ferslach.

Stap 1: skied de streamen nei boarne en bestimming

In Echo-oanfraach draacht in boarne en in bestimming, en dy twa fjilden bepale by hokker petear it heart. In probe dy't troch de gateway makke wurdt, brûkt it tunneladres fan de gateway, wylst in probe dy't út namme fan in LAN-host trochstjoerd wurdt, it adres fan dy host hâldt. De oare kant kin in weromrûte hawwe foar de iene en net foar de oare, wêrtroch't de twa groepen har oars gedrage om redenen dy't neat mei de tunnel te krijen hawwe.

Skied de opname op dy fjilden foar't jo eat telle, en hâld de bestimming as diel fan de kaai. Twa streamen nei ferskillende pearen binne net ferlykber, sels as se in boarne diele.

Skriuw de groepen mei har oantallen op, want de folgjende stap beslút hokker antwurden by hokker groep hearre. In groep mei trije oanfragen en gjin passend antwurd is in befinning. In groep mei trije oanfragen en trije antwurden is in basisline.

Stap 2: keppelje op de identifikaasje en de folchoarder

It Echo-formaat yn RFC 792 draacht in identifikaasje en in folchnûmer, en it behannelet se as de fjilden dy't in antwurd mei syn oanfraach keppelje. Beide binne nedich foar dat wurk. In folchnûmer allinnich is net unyk, om't ferskillende stjoerders of prosessen deselde wearde binnen ien opnamefinster wer brûke kinne. De identifikaasje ferneaut de stjoerder en de folchoarder ferneaut de posysje, en it pear tegearre makket in oerienkomst ferdigenber.

In antwurd keart de adresrjochting fan syn oanfraach om, dus in oerienkomst is in pear oanfraach-antwurd en net twa identike tuples. Ferlykje de boarne fan 'e oanfraach mei de bestimming fan it antwurd en de bestimming fan 'e oanfraach mei de boarne fan it antwurd, en befêstigje dan dat de identifikaasje en folchoarder oerienkomme.

Hâld ek it observaasjefinster, want in lange opname kin legitime werbrûk fan beide fjilden befetsje. It finster ta ien burst ferlytsje hellet it measte fan dy ûndúdlikens fuort. It makket de tellings ek werberber foar elkenien dy't it kaartsje lêst.

tshark -r capture.pcap -Y 'icmp.type == 8' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq
tshark -r capture.pcap -Y 'icmp.type == 0' -T fields -e frame.time -e ip.src -e ip.dst -e icmp.ident -e icmp.seq

Stap 3: ferlykje tuples op deselde grins

As netwurkadresomsetting tusken it opnamepunt en it pear sit, sille de adressen yn 'e oanfraach en it antwurd fan ûntwerp ferskille. Ferlykje de tuples op ien grins, of drage de mapping eksplisyt mei, sadat it ferskil ferantwurde wurdt. Oanfragen foar de omsetting mei antwurden nei de omsetting minge, betinkt ôfwikingen dy't nea op 'e tried bestien hawwe.

Beslút de grins foar't jo begjinne te tellen, en neam it yn it ferslach sadat de folgjende persoan de groepearring werberje kin. Ien opname oan 'e kliïntkant en in oare oan 'e serverkant binne twa ferskillende grinzen. Elk beantwurdet in oare fraach oer wêr't it antwurd ferdwûn.

In groep omsole probes erft ek de eigen steat fan it omsetapparaat, wat de wiere reden wêze kin dat in antwurd nea oankomt. Kontrolearje dy steat foar't jo it paad derachter de skuld jouwe.

tcpdump -ni any icmp and host 10.90.0.1 -c 20
tshark -r capture.pcap -Y 'icmp' -T fields -e ip.src -e ip.dst -e ip.ttl | head -20

Stap 4: sis wat de opname bewiisje kin en wat net

In waarnommen gat bewiist net dat de fiere host stil bleau. It opnamepunt kin mar ien rjochting sjen, in filter kin it antwurd weisleite, of de buffer kin yn it finster oerrûn wêze. Elk dêrfan jout deselde ôfwêzigens en in oare konklúzje.

Skriuw it opnameplak, de filterútdrukking en de weisleitellers njonken de tellings op, want in ferhâlding sûnder dy kin net auditearre wurde. It binne dy trije rigels dy't it getal letter ferdigenber meitsje.

Skied dan wat de waarnimming fêststelt fan wat se suggerearret, yn twa sinnen ynstee fan ien. De earste sin neamt de tellings en de grins. De twadde neamt de hypoteze en wat dy befêstigje soe.

Wannear't de fraach is oft in beskaat paad pakketten weisleit, is in kontrolearre probe mei in eksplisyt boarnealder sterker bewiis as in passive telling fan mingd ferkear. Stjoer it fan deselde masine, op deselde tiid, nei itselde pear. Feroarje ien fariabele en de ferliking hâldt.

Rapportearje de groepen en de folgjende grins

It ferslach hat trije rigels: de groepdefinysje, de keppele tellings binnen elke groep en de grins wêr't de ferliking makke waard. Dan kin de lêzer sjen dat ien groep folslein antwurde en in oare net, wat wiist op in rûte of in tastimming ynstee fan op tafallich ferlies.

Foegje it opnamebestân en de filterútdrukkingen ta, sadat de groepearring werberber is. In gearfetting sûnder it bestân is in bewearing, gjin resultaat.

ping -c 5 -I 10.80.0.6 10.90.0.1
ping -c 5 -I 10.30.0.25 10.90.0.1
tshark -r capture.pcap -Y 'icmp.type == 8 || icmp.type == 0' -T fields -e ip.src -e ip.dst -e icmp.ident -e icmp.seq | sort | uniq -c | head

Wannear't ien groep fiif antwurden sjen lit en de oare gjinien, is de befinning dat ien boarne in wurkjende weromrûte hat en de oare net. Dat is in folle better kaartsje as in mingd persintaazje, en it rjochtet de folgjende kontrôle op 'e weromrûte ynstee fan op in net-relatearre VPN-eksimplaar.