O modo promiscuo nun adaptador VPN mata a conexión
Unha captura nun adaptador de túnel pode deter o seu reenvío. Desactive o modo promiscuo, escolla a capa que responde á pregunta e trate o ficheiro como un segredo.
Wireshark compórtase perfectamente nunha interface Ethernet e logo, nun adaptador VPN, o túnel deixa de pasar tráfico no momento en que comeza a captura. A xanela de captura segue enchéndose, así que a ferramenta parece sa, mentres a conexión de abaixo morre. O modo promiscuo é a causa habitual, porque un controlador de túnel ao que se lle pide cada trama dun segmento que non ten pode acabar nun estado no que non sae nada.
Desactive esa opción primeiro e logo decida que capa precisa ver realmente.
Dous adaptadores, dúas vistas diferentes
Un cliente VPN adoita presentar dúas interfaces: a física, que transporta o tráfico cifrado, e unha virtual, que transporta o tráfico interno descifrado. Responden a preguntas distintas. A captura física mostra extremos, portos e tamaños de paquete, mentres que a virtual mostra os protocolos de aplicación tal como os entrega o túnel. Escoller unha sen saber que pregunta se fai desaproveita a captura.
Ningunha vista é un superconxunto da outra, e unha captura raramente responde ás dúas preguntas á vez.
Escolla a interface a partir da pregunta e non da orde da lista, porque un cliente de estilo PPP pode presentar o seu adaptador como un dispositivo Ethernet e o nome mostrado non lle dirá que capa seleccionou. Unha captura nunha pasarela ou nun porto espello engade unha terceira vista, que mostra o camiño despois do reenvío, e é aí onde o enrutamento asimétrico e o filtrado se fan visibles.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Por que o modo promiscuo rompe un adaptador de túnel
O modo promiscuo pide ao controlador que entregue tramas que non van dirixidas ao host, o que ten sentido nun segmento Ethernet compartido e moi pouco sentido nun túnel punto a punto. Algúns controladores manexan a petición con calma; outros deixan de sacar da cola o tráfico de transmisión, e a interface convértese en silencio nun burato negro. A captura segue rexistrando o que chega, así que o ficheiro parece a proba dunha ligazón que funciona. Esa fenda entre o que mostra o ficheiro e o que fixo a interface é toda a trampa.
Desactive a opción antes do primeiro paquete, manteña estreito o filtro de captura e use un búfer pequeno. Un búfer circular grande nunha interface ocupada descarta xusto as tramas que importaban, o que produce unha captura completa en todas partes agás onde estaba a avaría.
Se a ligazón se atasca a metade da captura, detéñaa e observe se se recupera. Esa única observación separa un efecto secundario da captura dunha avaría real do túnel, e leva menos tempo que calquera axuste de filtros.
Facer lexible unha captura de IPsec
Unha captura de IPsec por si soa non é lexible, porque ESP cifra a carga útil. Wireshark pode descodificala cando lle fornece as claves de sesión, ou cando pode seguir a negociación IKE que as produciu, o que significa que o aperto de mans ten que estar no mesmo ficheiro.
As claves caducan. Despois de que os pares renoven as claves, un conxunto de claves vellas deixa de funcionar a metade da captura, e o resultado parece un erro do descodificador en lugar dun límite temporal.
Siga o formato de claves documentado polo provedor en lugar de importar material dunha fonte non relacionada, e espere que algunhas plataformas rexeiten por completo este fluxo de traballo. Cando a pasarela non entrega as claves nin permite a captura, acepte que a carga útil non se pode inspeccionar desde onde está. Os rexistros dos extremos e os contadores da interface son as probas restantes, e adoitan abondar para unha pregunta de enrutamento.
Unha captura que pode compartir con seguridade
Unha captura interna está máis preto dun vertido de credenciais que dun rexistro. Pode conter nomes, enderezos e texto plano de protocolos escritos coa suposición de que ninguén os lería nunca, o que converte o propio ficheiro no artefacto sensíbel e non a análise.
Asegúrese de que o host e a rede son uns nos que pode capturar, anote tanto a interface como o filtro xunto co resultado, limite a sesión aos poucos minutos que responden á pregunta e elimine o ficheiro cando remate. Se ten que compartirse, describa o fluxo ou quite primeiro a carga útil.
Despois repita a tarefa orixinal do usuario. Unha captura que demostra que un paquete chegou non é proba de que a aplicación aceptase a resposta, e a diferenza entre ambas as dúas cousas adoita ser onde vive a avaría real.