VPN कैप्चर में भीतरी और बाहरी पैकेट: आकार अलग क्यों होते हैं

आप टनल इंटरफ़ेस पर 1400 बाइट के पैकेट कैप्चर करते हैं, फिर भौतिक इंटरफ़ेस पर कैप्चर करते हैं, और संख्याएँ मेल नहीं खातीं। पते अलग हैं, आकार अलग हैं, और दूसरी फ़ाइल किसी दूसरी बातचीत जैसी लगती है। कुछ भी टूटा नहीं है। दो अलग पैकेट दो अलग परतों पर बैठे हैं, और उनके बीच का अंतर वही है जो टनल आपके ट्रैफ़िक के साथ करता है। MTU को दोष देने से पहले दोनों दृश्य पढ़ें।

दो दृष्टिकोण और हर एक जो पैकेट दिखाता है

टनल इंटरफ़ेस पर लिया गया कैप्चर भीतरी पैकेट दिखाता है: एप्लिकेशन का पेलोड अपने मूल स्रोत और गंतव्य के साथ, किसी भी सुरक्षा के लागू होने से पहले। भौतिक इंटरफ़ेस पर कैप्चर बाहरी पैकेट दिखाता है: एक IP हेडर, एक ट्रांसपोर्ट हेडर, एन्कैप्सुलेशन, और फिर पेलोड के रूप में एन्क्रिप्टेड भीतरी पैकेट। वही बातचीत, अलग वस्तुएँ। जैसे ही आप नाम बताते हैं कि फ़ाइल में कौन-सा है, असंगति रहस्य रहना बंद कर देती है।

आकार का अंतर ओवरहेड है, और पते का अंतर डिज़ाइन है। इसे उलट दें और उलझन अनुमानित हो जाती है: लोग 1400 बाइट के भीतरी पैकेट की तुलना 1450 बाइट के बाहरी पैकेट से करते हैं, तय करते हैं कि कुछ गड़बड़ है, और ऐसी MTU सेटिंग्स बदलने लगते हैं जो कभी दोषी नहीं थीं। फ़ाइल को इंटरफ़ेस और परत से लेबल करें, क्योंकि वही लेबल पाठक को सबसे पहले चाहिए और लोग सबसे पहले उसे छोड़ देते हैं।

कैप्चर शुरू करने से पहले परत तय करें

पहला पैकेट लिखे जाने से पहले तय करें कि कौन-सी परत आपके प्रश्न का उत्तर देती है। MTU का प्रश्न आमतौर पर बाहरी दृश्य माँगता है, क्योंकि वहीं हेडर जमा होते हैं और वहीं पथ की सीमा दिखती है। एप्लिकेशन का प्रश्न आमतौर पर भीतरी दृश्य माँगता है, क्योंकि वहीं आपका महत्वपूर्ण पेलोड अब भी मौजूद है। योजना के बिना दोनों कैप्चर करने से दो फ़ाइलें मिलती हैं और कोई निष्कर्ष नहीं।

एक हानिरहित, अधिकृत परीक्षण इस्तेमाल करें और उस स्रोत, गंतव्य और समय पर फ़िल्टर करें जो आपके लिए मायने रखते हैं। इकट्ठा करने से पहले कैप्चर उपकरण का इंटरफ़ेस और फ़िल्टर विकल्प पढ़ें, क्योंकि मेटाडेटा आमतौर पर पर्याप्त होता है और पेलोड की तुलना में साझा करना बहुत आसान है। भीतरी कैप्चर को डिफ़ॉल्ट रूप से संवेदनशील मानें, क्योंकि इसमें बिना एन्क्रिप्शन वाला एप्लिकेशन डेटा होता है जो पथ पर आगे जाकर ही सुरक्षित होता है।

आकार के अंतर में असल में क्या है

बाहरी पैकेट अतिरिक्त हेडर और सुरक्षा सामग्री ढोता है, और कितना ढोता है यह प्रोटोकॉल और उसके विकल्पों पर निर्भर करता है। पथ पर फ़्रैगमेंटेशन, एकत्रीकरण या पुनर्व्यवस्था भीतरी पैकेट और उसे ढोने वाले बाहरी पैकेटों के बीच के प्रत्यक्ष एक-के-एक संबंध को तोड़ सकते हैं, इसलिए आकार-से-आकार तुलना हमेशा उपलब्ध नहीं होती। संदिग्ध MTU खराबी के लिए आकार की प्रतिक्रिया और वह बिंदु खोजें जहाँ ट्रैफ़िक रुकता है, फिर उसकी तुलना उससे करें जो एप्लिकेशन बताता है। बिना उत्तर वाला पुनःप्रेषण पैटर्न अगले हॉप का आकार ढोने वाली ICMP त्रुटि से अलग संकेत है।

होस्ट से निकलने वाला एक पैकेट इस बात का कुछ साबित नहीं करता कि दूर के छोर ने उसे प्राप्त किया या नहीं। अगर आपका कैप्चर आपके अपने इंटरफ़ेस पर समाप्त होता है, तो आपने दिखाया है कि कर्नेल ने कुछ भेजा, जो पथ के बारे में उपलब्ध सबसे कमज़ोर साक्ष्य है। कैप्चर को एक दोहराने योग्य लक्षण के साथ जोड़ें: वही गंतव्य, वही क्रिया, वही आकार, एक चर बदलकर दो बार चलाएँ।

संख्याओं में offload पढ़ना

होस्ट-साइड सेगमेंटेशन और अन्य offload दूसरा विकृति जोड़ते हैं, और वही स्थानीय कैप्चर को तार से असहमत कराता है। स्थानीय कैप्चर ऐसे बफ़र दिखा सकता है जिन्हें एडाप्टर बाद में विभाजित करता है, इसलिए लिंक पर फ़्रेम फ़ाइल के संकेत से छोटे और अधिक संख्या में होते हैं। इसीलिए कैप्चर फ़ाइल में बड़ा बफ़र यह साबित नहीं करता कि ज़रूरत से बड़ा फ़्रेम हर लिंक पार कर गया। अगर आकार आपके निष्कर्ष के लिए मायने रखते हैं, तो दर्ज करें कि कैप्चर कहाँ लिया गया और उस इंटरफ़ेस पर offload सक्रिय था या नहीं।

अन्यथा आप पथ के व्यवहार के बजाय होस्ट की सुविधा माप रहे हैं। इंटरफ़ेस और offload स्थिति के साथ लेबल की गई दो फ़ाइलें इनमें से अधिकांश बहसों को एक मिनट में निपटा देती हैं।

जहाँ कैप्चर साक्ष्य रहना बंद कर देता है

एन्क्रिप्टेड बाहरी पैकेट देखना दिखाता है कि इन परीक्षण स्थितियों में सुरक्षा सीमा मौजूद है, और यह डिवाइस पर अन्य एप्लिकेशन, ऑपरेटर के व्यवहार या एंडपॉइंट की अपनी स्थिति के बारे में कुछ नहीं कहता। टनल के अंदर सादा पाठ देखने का अर्थ भी यह नहीं कि टनल टूटा है; इसका अर्थ है कि आपने एन्क्रिप्शन बिंदु के ऊपर कैप्चर किया, जो देखने के लिए वैध जगह है। कैप्चर किसी जगह के बारे में साक्ष्य है, किसी सिस्टम पर फ़ैसला नहीं, और टिकट को इसे इसी तरह बताना चाहिए। रिपोर्ट में दायरे वाला वाक्य रखें, क्योंकि यही एक अवलोकन को ऑडिट दावा बनने से रोकता है।

हर फ़ाइल को उसके इंटरफ़ेस, फ़िल्टर और टाइमस्टैम्प के साथ नाम दें, और जाँच खत्म होने पर उसे हटा दें। tcpdump मैनुअल यहाँ इस्तेमाल किए गए इंटरफ़ेस और फ़िल्टर फ़्लैग का दस्तावेज़ीकरण करता है, जिनमें वे भी शामिल हैं जो कैप्चर को छोटा रखते हैं।

अगर साक्ष्य साझा करना ही हो, तो पेलोड के बजाय आकार, टाइमस्टैम्प और फ़्लैग साझा करें। प्रश्न पैकेट के आकार का था, और उत्तर को शायद ही कभी किसी का डेटा चाहिए होता है।