Paquetes internos e externos nunha captura de VPN: por que difiren os tamaños

Capturas paquetes de 1400 bytes na interface do túnel, volves capturar na física e os números non cadran. Os enderezos difiren, os tamaños difiren e o segundo ficheiro parece outra conversa. Nada está roto. Dous paquetes distintos sentan en dúas capas distintas, e a fenda entre eles é o que o túnel fai co teu tráfico. Le as dúas vistas antes de culpar o MTU.

Dous puntos de vista e o paquete que mostra cada un

Unha captura tomada na interface do túnel mostra o paquete interno: a carga da aplicación coa súa orixe e destino orixinais, antes de que se aplique calquera protección. Unha captura na interface física mostra o paquete externo: unha cabeceira IP, unha cabeceira de transporte, a encapsulación e despois o paquete interno cifrado como carga. A mesma conversa, obxectos distintos. En canto nomeas cal dos dous contén o ficheiro, a discrepancia deixa de ser un misterio.

A diferenza de tamaño é sobrecarga, e a diferenza de enderezo é deseño. Dálle a volta e a confusión vólvese previsible: a xente compara un paquete interno de 1400 bytes cun paquete externo de 1450 bytes, decide que algo vai mal e comeza a cambiar axustes de MTU que nunca tiveron a culpa. Etiqueta o ficheiro coa interface e a capa, porque esa etiqueta é o primeiro que necesita un lector e o primeiro que a xente omite.

Decide a capa antes de comezar a captura

Decide que capa responde á túa pregunta antes de que se escriba o primeiro paquete. Unha pregunta de MTU adoita necesitar a vista externa, porque é onde se acumulan as cabeceiras e onde se ve o límite do camiño. Unha pregunta de aplicación adoita necesitar a vista interna, porque é onde aínda existe a carga que che importa. Capturar ambas sen un plan produce dous ficheiros e ningunha conclusión.

Usa unha proba inocua e autorizada e filtra pola orixe, o destino e o momento que che importan. Le a interface e as opcións de filtro da ferramenta de captura antes de recoller, porque os metadatos adoitan abondar e son moito máis fáciles de compartir que a carga. Trata a captura interna como sensible por defecto, porque contén datos de aplicación sen cifrar que só se protexen máis adiante no camiño.

Que contén realmente a diferenza de tamaño

O paquete externo leva cabeceiras adicionais e material de protección, e canto leva depende do protocolo e das súas opcións. A fragmentación, a agregación ou a reordenación ao longo do camiño poden romper a aparente relación un a un entre un paquete interno e os paquetes externos que o levan, así que unha comparación tamaño a tamaño non sempre está dispoñible. Ante unha sospeita de fallo de MTU, busca realimentación de tamaño e o punto onde se detén o tráfico, e despois compárao co que informa a aplicación. Un patrón de retransmisión sen resposta é un sinal distinto dun erro ICMP que leva o tamaño do seguinte salto.

Un só paquete que sae do host non demostra nada sobre se o extremo remoto o recibiu. Se a túa captura remata na túa propia interface, demostraches que o núcleo emitiu algo, que é a evidencia máis feble dispoñible sobre o camiño. Combina a captura cun síntoma repetible: mesmo destino, mesma operación, mesmo tamaño, executado dúas veces cunha variable cambiada.

Ler a descarga dentro dos números

A segmentación no host e outras descargas engaden unha segunda distorsión, e é a que fai que as capturas locais discrepen do cable. Unha captura local pode mostrar búfers que o adaptador divide despois, así que as tramas na ligazón son máis pequenas e numerosas do que suxire o ficheiro. Por iso un búfer grande no ficheiro de captura non demostra que unha trama demasiado grande atravesase cada ligazón. Se os tamaños importan para a túa conclusión, rexistra onde se tomou a captura e se a descarga estaba activa nesa interface.

Do contrario estás medindo a comodidade do host e non o comportamento do camiño. Dous ficheiros etiquetados coa súa interface e estado de descarga resolven a maioría destas discusións nun minuto.

Onde a captura deixa de ser evidencia

Ver paquetes externos cifrados mostra que existe unha fronteira de protección nestas condicións de proba, e non di nada sobre outras aplicacións do dispositivo, o manexo do operador nin o estado do propio extremo. Ver texto en claro dentro do túnel tampouco significa que o túnel estea roto; significa que capturastes por riba do punto de cifrado, que é un lugar lexítimo onde mirar. Unha captura é evidencia sobre un lugar, non un veredicto sobre un sistema, e o ticket debería describilo así. Mantén a frase de alcance no informe, porque é o que impide que unha soa observación se converta nunha afirmación de auditoría.

Nomea cada ficheiro coa súa interface, filtro e marca de tempo, e bórrao cando remate a investigación. O manual de tcpdump documenta os indicadores de interface e filtro usados aquí, incluídos os que manteñen pequena unha captura.

Se debes compartir evidencia, comparte tamaños, marcas de tempo e indicadores en lugar da carga. A pregunta era sobre o tamaño do paquete, e a resposta raramente necesita os datos de ninguén.