Promiskuë modus op in VPN-adapter deadet de ferbining
In opname op in tunneladapter kin de trochstjoering stopje. Skeakelje de promiskuë modus út, kies de laach dy't de fraach beantwurdet en behannelje it bestân as in geheim.
Wireshark docht it perfekt op in Ethernet-ynterface en dan, op in VPN-adapter, hâldt de tunnel op mei ferkear troch te litten op it stuit dat de opname begjint. It opnamefinster bliuwt folje, dat it ark liket sûn wylst de ferbining derûnder stjert. De promiskuë modus is de gewoane oarsaak, want in tunnelstjoerder dy't frege wurdt om elk kader op in segmint dat er net hat kin yn in tastân terjochte komme wêryn neat nei bûten giet.
Skeakelje dy opsje earst út en beslút dan hokker laach oft jo wier nedich binne om te sjen.
Twa adapters, twa ferskillende bylden
In VPN-klant presintearret meastal twa ynterfaces: it fysike dat it fersifere ferfier draacht, en in firtueel dat it ûntsifere ynderlike ferkear draacht. Se beantwurdzje ferskillende fragen. De fysike opname lit einpunten, poarten en pakketgrutten sjen, wylst it firtuele de tapassingsprotokollen sjen lit sa't de tunnel se leveret. Ien kieze sûnder te witten hokker fraach jo stelle, fergriemt de opname.
Gjin byld is in oerbring fan it oare, en ien opname beantwurdet selden beide fragen tagelyk.
Kies de ynterface út de fraach wei yn stee fan út ’e folchoarder fan ’e list, want in klant yn PPP-styl kin syn adapter as in Ethernet-apparaat presintearje en de werjefte fan ’e namme sil jo net fertelle hokker laach jo keazen hawwe. In opname op in gateway of in spegelpoarte foeget in tredde byld ta, dat it paad nei it trochstjoeren sjen lit, en dêr wurde asymmetryske routing en filterjen sichtber.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Wêrom’t de promiskuë modus in tunneladapter brekt
De promiskuë modus freget de stjoerder om kaders te leverjen dy’t net oan de host adressearre binne, wat sin hat op in dield Ethernet-segmint en hiel lyts sin op in punt-nei-punt-tunnel. Guon stjoerders behannelje it fersyk kalm; oaren hâlde op mei it út ’e rige heljen fan stjoerferkear, en de ynterface wurdt stil in swart gat. De opname registrearret noch altyd wat der oankomt, dat it bestân liket it bewiis fan in wurkjende ferbining. Krekt dy kleau tusken wat it bestân sjen lit en wat de ynterface dien hat is de hiele falstrik.
Skeakelje de opsje foar it earste pakket út, hâld it opnamefilter smel en brûk in lytse buffer. In grutte ringbuffer op in drokke ynterface lit krekt de kaders falle dy’t wichtich wiene, wat in opname opleveret dy’t oeral folslein is behalve dêr’t de fout siet.
As de ferbining healwei de opname fêst stekt, stopje har dan en sjoch nei it opbetterjen. Dy iene waarnimming skiedt in bywurking fan ’e opname fan in echte tunnelstoaring, en it kostet minder tiid as hokker filterôfstelling dan ek.
In IPsec-opname lêsber meitsje
In IPsec-opname is op himsels net lêsber, want ESP fersifere de lading. Wireshark kin it dekodearje as jo de sesjekaaien leverje, of as it de IKE-ûnderhanneling folgje kin dy’t se makke hat, wat betsjuttet dat de hânskud yn itselde bestân wêze moat.
Kaaien ferrinne. Nei’t de partijen de kaaien fernijd hawwe, hâldt in set âlde kaaien healwei de opname op mei wurkjen, en it resultaat liket in dekodearringsfout yn stee fan in tiidsgrins.
Folgje it dokumintearre kaaiformaat fan ’e leveransier yn stee fan materiaal út in net besibbe boarne te ymportearjen, en ferwachtsje dat guon platfoarms de hiele wurkstream ôfwize sille. As de gateway gjin kaaien ôfjaan wol of de opname net tastean wol, akseptearje dan dat de lading net fan jo plak út te besjen is. Einpuntlochs en ynterface-tellers binne it oerbliuwende bewiis, en se binne meastal genôch foar in routing-fraach.
In opname dy’t jo feilich diele kinne
In ynderlike opname is tichterby in útkommen fan oanmeldgegevens as by in loch. It kin nammen, adressen en platte tekst befetsje út protokollen dy’t skreaun binne op ’e oanname dat nimmen se ea lêze soe, wat it bestân sels it gefoelige artefakt makket en net de analyze.
Soargje derfoar dat de host en it netwurk binne wêr’t jo op opnimme meie, skriuw sawol de ynterface as it filter by it resultaat, behein de sesje ta de pear minuten dy’t de fraach beantwurdzje, en ferwiderje it bestân as jo klear binne. As it dield wurde moat, beskriuw dan earst de stream of strip de lading.
Werhelje dan de oarspronklike brûkersopdracht. In opname dy’t bewiist dat in pakket oankaam is gjin bewiis dat de tapassing it antwurd akseptearre hat, en it ferskil tusken dy twa is meastal dêr’t de echte fout sit.