Promiskuitetni način rada na VPN adapteru ubija vezu
Snimanje na adapteru tunela može zaustaviti njegovo prosljeđivanje. Isključite promiskuitetni način rada, odaberite sloj koji odgovara na pitanje i tretirajte datoteku kao tajnu.
Wireshark savršeno radi na Ethernet sučelju, a zatim na VPN adapteru tunel prestane propuštati promet u trenutku kada snimanje počne. Prozor snimanja se nastavlja puniti, pa alat izgleda zdravo dok veza ispod njega umire. Promiskuitetni način rada je uobičajen uzrok, jer upravljački program tunela od kojeg se traži svaki okvir na segmentu koji nema može završiti u stanju u kojem ništa ne izlazi.
Prvo isključite tu opciju, a zatim odlučite koji sloj zaista trebate vidjeti.
Dva adaptera, dva različita pogleda
VPN klijent obično predstavlja dva sučelja: fizičko koje nosi šifrirani transport i virtualno koje nosi dešifrirani unutarnji promet. Oni odgovaraju na različita pitanja. Fizičko snimanje pokazuje krajnje točke, portove i veličine paketa, dok virtualno prikazuje aplikacijske protokole onako kako ih tunel dostavlja. Odabir jednog bez znanja na koje pitanje odgovarate troši snimanje.
Nijedan pogled nije nadskup onog drugog, a jedno snimanje rijetko odgovara na oba pitanja odjednom.
Odaberite sučelje prema pitanju, a ne prema redoslijedu na popisu, jer klijent u PPP stilu može svoj adapter predstaviti kao Ethernet uređaj i prikazno ime vam neće reći koji ste sloj odabrali. Snimanje na gatewayu ili zrcalnom portu dodaje treći pogled koji pokazuje putanju nakon prosljeđivanja, i tu asimetrično rutiranje i filtriranje postaju vidljivi.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Zašto promiskuitetni način rada kvari adapter tunela
Promiskuitetni način rada traži od upravljačkog programa da dostavlja okvire koji nisu adresirani na host, što ima smisla na dijeljenom Ethernet segmentu i vrlo malo smisla na tunelu od točke do točke. Neki upravljački programi zahtjev prihvaćaju mirno; drugi prestanu izbacivati iz reda promet za slanje i sučelje tiho postane crna rupa. Snimanje i dalje bilježi ono što stiže, pa datoteka izgleda kao dokaz ispravne veze. Taj jaz između onoga što datoteka pokazuje i onoga što je sučelje učinilo jest cijela zamka.
Isključite opciju prije prvog paketa, držite filtar snimanja uskim i koristite mali međuspremnik. Veliki prstenasti međuspremnik na zauzetom sučelju ispušta upravo okvire koji su bili važni, što daje snimanje koje je potpuno svuda osim tamo gdje je bila greška.
Ako veza stane usred snimanja, zaustavite je i pratite oporavak. To jedno zapažanje razdvaja nuspojavu snimanja od stvarne greške tunela, i traje kraće od bilo kakvog podešavanja filtara.
Kako snimanje IPsec-a učiniti čitljivim
Snimanje IPsec-a samo po sebi nije čitljivo, jer ESP šifrira sadržaj. Wireshark ga može dekodirati kada mu date sesijske ključeve ili kada može pratiti IKE pregovaranje koje ih je stvorilo, što znači da rukovanje mora biti u istoj datoteci.
Ključevi istječu. Nakon što strane zamijene ključeve, skup starih ključeva prestane raditi na pola snimanja, a rezultat izgleda kao greška u dekoderu, a ne kao vremenska granica.
Slijedite proizvođačev dokumentirani format ključeva umjesto da uvozite materijal iz nepovezanog izvora, i očekujte da će neke platforme u potpunosti odbiti taj postupak. Kada gateway ne želi predati ključeve ili dopustiti snimanje, prihvatite da se sadržaj ne može pregledati s vašeg mjesta. Dnevnici krajnjih točaka i brojači sučelja preostali su dokazi i obično su dovoljni za pitanje o rutiranju.
Snimanje koje možete sigurno podijeliti
Unutarnje snimanje bliže je izručenju akreditiva nego dnevniku. Može sadržavati imena, adrese i čisti tekst iz protokola pisanih pod pretpostavkom da ih nikada nitko neće čitati, što samu datoteku čini osjetljivim artefaktom, a ne analizu.
Provjerite da su host i mreža oni na kojima smijete snimati, zapišite i sučelje i filtar uz rezultat, ograničite sesiju na nekoliko minuta koji odgovaraju na pitanje i uklonite datoteku kada završite. Ako se mora podijeliti, prvo opišite tok ili uklonite sadržaj.
Zatim ponovite izvorni korisnički zadatak. Snimanje koje dokazuje da je paket stigao nije dokaz da je aplikacija prihvatila odgovor, a razlika između to dvoje obično je mjesto gdje leži stvarna greška.