VPN एडाप्टर पर प्रोमिस्क्युअस मोड कनेक्शन खत्म कर देता है
टनल एडाप्टर पर कैप्चर उसका फ़ॉरवर्डिंग रोक सकता है। प्रोमिस्क्युअस मोड बंद करें, वह परत चुनें जो सवाल का जवाब देती है, और फ़ाइल को गोपनीय मानें।
Wireshark Ethernet इंटरफ़ेस पर बिल्कुल ठीक काम करता है और फिर, VPN एडाप्टर पर, कैप्चर शुरू होते ही टनल ट्रैफ़िक आगे भेजना बंद कर देता है। कैप्चर विंडो भरती रहती है, इसलिए टूल स्वस्थ दिखता है जबकि उसके नीचे का कनेक्शन मर रहा होता है। प्रोमिस्क्युअस मोड ही आम कारण है, क्योंकि जिस टनल ड्राइवर से ऐसे सेगमेंट पर हर फ़्रेम मांगा जाता है जो उसके पास नहीं है, वह ऐसी स्थिति में पहुंच सकता है जहां से कुछ भी बाहर नहीं जाता।
पहले वह विकल्प बंद करें, फिर तय करें कि आपको वाकई कौन-सी परत देखनी है।
दो एडाप्टर, दो अलग नज़ारे
VPN क्लाइंट आमतौर पर दो इंटरफ़ेस पेश करता है: भौतिक, जो एन्क्रिप्टेड ट्रांसपोर्ट ले जाता है, और वर्चुअल, जो डिक्रिप्ट किया गया भीतरी ट्रैफ़िक ले जाता है। ये अलग सवालों के जवाब देते हैं। भौतिक कैप्चर एंडपॉइंट, पोर्ट और पैकेट के आकार दिखाता है, जबकि वर्चुअल ऐप्लिकेशन प्रोटोकॉल वैसे दिखाता है जैसे टनल उन्हें पहुंचाता है। कौन-सा सवाल पूछ रहे हैं यह जाने बिना एक चुनना कैप्चर बर्बाद करता है।
कोई भी नज़ारा दूसरे का सुपरसेट नहीं है, और एक कैप्चर एक साथ दोनों सवालों का जवाब शायद ही देता है।
इंटरफ़ेस सूची के क्रम से नहीं, सवाल से चुनें, क्योंकि PPP शैली का क्लाइंट अपने एडाप्टर को Ethernet डिवाइस के रूप में पेश कर सकता है और दिखने वाला नाम आपको नहीं बताएगा कि आपने कौन-सी परत चुनी। गेटवे या मिरर पोर्ट पर कैप्चर तीसरा नज़ारा जोड़ता है, जो फ़ॉरवर्डिंग के बाद का रास्ता दिखाता है, और वहीं असममित रूटिंग और फ़िल्टरिंग दिखाई देने लगते हैं।
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
प्रोमिस्क्युअस मोड टनल एडाप्टर को क्यों तोड़ता है
प्रोमिस्क्युअस मोड ड्राइवर से ऐसे फ़्रेम देने को कहता है जो होस्ट को संबोधित नहीं हैं, जो साझा Ethernet सेगमेंट पर अर्थपूर्ण है और पॉइंट-टू-पॉइंट टनल पर बहुत कम अर्थपूर्ण। कुछ ड्राइवर अनुरोध को शांति से संभालते हैं; दूसरे ट्रांसमिट ट्रैफ़िक को कतार से निकालना बंद कर देते हैं, और इंटरफ़ेस चुपचाप एक काला छेद बन जाता है। कैप्चर अब भी दर्ज करता है कि क्या आता है, इसलिए फ़ाइल काम करते लिंक का सबूत जैसी लगती है। फ़ाइल क्या दिखाती है और इंटरफ़ेस ने क्या किया, इनके बीच का वही अंतर पूरा जाल है।
पहले पैकेट से पहले विकल्प बंद करें, कैप्चर फ़िल्टर संकरा रखें और छोटा बफ़र इस्तेमाल करें। व्यस्त इंटरफ़ेस पर बड़ा रिंग बफ़र ठीक वही फ़्रेम गिरा देता है जो मायने रखते थे, जिससे कैप्चर हर जगह पूरा होता है सिवाय उस जगह के जहां खराबी थी।
अगर कैप्चर के बीच में लिंक अटक जाए तो उसे रोकें और रिकवरी देखें। वही एक अवलोकन कैप्चर के साइड इफ़ेक्ट को टनल की असली खराबी से अलग करता है, और यह किसी भी फ़िल्टर ट्यूनिंग से कम समय लेता है।
IPsec कैप्चर को पढ़ने योग्य बनाना
IPsec कैप्चर अकेला पढ़ने योग्य नहीं है, क्योंकि ESP पेलोड को एन्क्रिप्ट करता है। Wireshark इसे डिकोड कर सकता है जब आप सेशन कुंजियां दें, या जब वह उन्हें बनाने वाली IKE बातचीत का पीछा कर सके, जिसका मतलब है कि हैंडशेक उसी फ़ाइल में होना चाहिए।
कुंजियां समाप्त हो जाती हैं। दोनों पक्षों के कुंजियां बदलने के बाद पुरानी कुंजियों का एक सेट कैप्चर के बीच में काम करना बंद कर देता है, और नतीजा समय-सीमा की बजाय डिकोडर बग जैसा दिखता है।
असंबंधित स्रोत से सामग्री आयात करने के बजाय विक्रेता के प्रलेखित कुंजी प्रारूप का पालन करें, और अपेक्षा रखें कि कुछ प्लेटफ़ॉर्म पूरा वर्कफ़्लो सिरे से मना कर देंगे। जब गेटवे कुंजियां नहीं देता या कैप्चर की अनुमति नहीं देता, तो स्वीकार करें कि जहां आप बैठे हैं वहां से पेलोड की जांच नहीं हो सकती। एंडपॉइंट लॉग और इंटरफ़ेस काउंटर बचे हुए सबूत हैं, और रूटिंग के सवाल के लिए वे आमतौर पर काफ़ी होते हैं।
एक कैप्चर जिसे आप सुरक्षित रूप से साझा कर सकते हैं
भीतरी कैप्चर लॉग से ज़्यादा क्रेडेंशियल डंप के करीब है। इसमें नाम, पते और ऐसे प्रोटोकॉल का सादा पाठ हो सकता है जो इस मान्यता पर लिखे गए थे कि कोई उन्हें कभी नहीं पढ़ेगा, जिससे विश्लेषण नहीं, फ़ाइल खुद संवेदनशील कलाकृति बन जाती है।
सुनिश्चित करें कि होस्ट और नेटवर्क वे हैं जिन पर आपको कैप्चर करने की अनुमति है, परिणाम के साथ इंटरफ़ेस और फ़िल्टर दोनों दर्ज करें, सेशन को उन कुछ मिनटों तक सीमित रखें जो सवाल का जवाब देते हैं, और काम खत्म होने पर फ़ाइल हटा दें। अगर इसे साझा करना ही हो, तो पहले प्रवाह का वर्णन करें या पेलोड हटा दें।
फिर मूल उपयोगकर्ता कार्य दोहराएं। पैकेट पहुंचने का सबूत देने वाला कैप्चर इस बात का सबूत नहीं है कि ऐप्लिकेशन ने जवाब स्वीकार किया, और इन दोनों का फ़र्क आमतौर पर वहीं होता है जहां असली खराबी रहती है।