מצב פרומיסקיוס במתאם VPN הורג את החיבור
לכידה במתאם מנהרה יכולה לעצור את ההעברה שלו. כבו את מצב פרומיסקיוס, בחרו את השכבה שעונה על השאלה והתייחסו לקובץ כאל סוד.
Wireshark מתנהג למופת בממשק Ethernet ואז, במתאם VPN, המנהרה מפסיקה להעביר תעבורה ברגע שהלכידה מתחילה. חלון הלכידה ממשיך להתמלא, כך שהכלי נראה בריא בעוד החיבור שמתחתיו מת. מצב פרומיסקיוס הוא הסיבה הרגילה, כי מנהל התקן של מנהרה שמתבקש כל פריים בקטע שאין לו יכול להגיע למצב ששום דבר לא יוצא ממנו.
כבו את האפשרות הזו קודם, ואחר כך החליטו איזו שכבה באמת צריך לראות.
שני מתאמים, שתי תצוגות שונות
לקוח VPN מציג בדרך כלל שני ממשקים: הפיזי שנושא את התעבורה המוצפנת, ווירטואלי שנושא את התעבורה הפנימית המפוענחת. הם עונים על שאלות שונות. הלכידה הפיזית מציגה נקודות קצה, פורטים וגדלי מנות, בעוד הווירטואלי מציג את פרוטוקולי היישום כפי שהמנהרה מספקת אותם. בחירה באחד בלי לדעת איזו שאלה אתם שואלים מבזבזת את הלכידה.
אף תצוגה אינה על-קבוצה של האחרת, ולכידה אחת לעיתים רחוקות עונה על שתי השאלות בו זמנית.
בחרו את הממשק לפי השאלה ולא לפי סדר הרשימה, כי לקוח בסגנון PPP יכול להציג את המתאם שלו כהתקן Ethernet והשם המוצג לא יגיד לכם איזו שכבה בחרתם. לכידה בשער או בפורט מראה מוסיפה תצוגה שלישית, שמציגה את המסלול לאחר ההעברה, ושם ניתוב א-סימטרי וסינון נעשים גלויים.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
למה מצב פרומיסקיוס שובר מתאם מנהרה
מצב פרומיסקיוס מבקש ממנהל ההתקן למסור פריימים שאינם ממוענים למארח, מה שהגיוני בקטע Ethernet משותף והגיוני מעט מאוד במנהרה מנקודה לנקודה. חלק ממנהלי ההתקן מטפלים בבקשה בשלווה; אחרים מפסיקים להוציא תעבורת שידור מהתור, והממשק הופך בשקט לחור שחור. הלכידה עדיין מתעדת את מה שמגיע, כך שהקובץ נראה כהוכחה לקישור עובד. הפער הזה בין מה שהקובץ מראה לבין מה שהממשק עשה הוא כל המלכודת.
כבו את האפשרות לפני המנה הראשונה, שמרו על מסנן לכידה צר והשתמשו במאגר קטן. מאגר טבעתי גדול בממשק עמוס מפיל בדיוק את הפריימים שהיו חשובים, מה שמייצר לכידה שלמה בכל מקום מלבד המקום שבו הייתה התקלה.
אם הקישור נתקע באמצע הלכידה, עצרו אותו וצפו בהתאוששות. אותה תצפית אחת מפרידה בין תופעת לוואי של הלכידה לבין תקלת מנהרה אמיתית, והיא לוקחת פחות זמן מכל כוונון מסננים.
הפיכת לכידת IPsec לקריאה
לכידת IPsec לבדה אינה קריאה, כי ESP מצפין את המטען. Wireshark יכול לפענח אותה כשאתם מספקים את מפתחות הסשן, או כשהוא יכול לעקוב אחרי משא ומתן IKE שיצר אותם, מה שאומר שלחיצת הידיים חייבת להיות באותו קובץ.
מפתחות פגים. אחרי שהצדדים מחדשים את המפתחות, סט של מפתחות ישנים מפסיק לעבוד באמצע הלכידה, והתוצאה נראית כמו באג של מפענח ולא כמו גבול זמן.
עקבו אחרי תבנית המפתחות המתועדת של הספק במקום לייבא חומר ממקור לא קשור, וצפו שכמה פלטפורמות יסרבו לגמרי לזרימת העבודה. כשהשער לא מוסר מפתחות או לא מתיר את הלכידה, קבלו שהמטען אינו ניתן לבדיקה מהמקום שבו אתם יושבים. יומני נקודות הקצה ומוני הממשק הם הראיות שנותרו, והם בדרך כלל מספיקים לשאלת ניתוב.
לכידה שאפשר לשתף בבטחה
לכידה פנימית קרובה יותר להצפת אישורים מאשר ליומן. היא יכולה להכיל שמות, כתובות וטקסט גלוי מפרוטוקולים שנכתבו מתוך הנחה שאיש לא יקרא אותם לעולם, מה שהופך את הקובץ עצמו לחפץ הרגיש ולא את הניתוח.
ודאו שהמארח והרשת הם כאלה שמותר לכם ללכוד בהם, רשמו גם את הממשק וגם את המסנן יחד עם התוצאה, הגבילו את הסשן לכמה דקות שעונות על השאלה, והסירו את הקובץ כשסיימתם. אם חייבים לשתף אותו, תארו את הזרימה או הסירו קודם את המטען.
אחר כך חזרו על משימת המשתמש המקורית. לכידה שמוכיחה שמנה הגיעה אינה הוכחה שהיישום קיבל את התשובה, וההבדל בין השניים הוא בדרך כלל המקום שבו יושבת התקלה האמיתית.