Belső és külső csomagok egy VPN-felvételben: miért térnek el a méretek

1400 bájtos csomagokat rögzít a tunel interfészén, újra rögzít a fizikai interfészen, és a számok nem hajlandók összeérni. A címek eltérnek, a méretek eltérnek, és a második fájl másik beszélgetésnek tűnik. Semmi sem hibás. Két különböző csomag két különböző rétegen ül, és a köztük lévő rés az, amit a tunel a forgalmával tesz. Olvassa el mindkét nézetet, mielőtt az MTU-t hibáztatja.

Két nézőpont és a csomag, amelyet mindegyik mutat

A tunel interfészén készült felvétel a belső csomagot mutatja: az alkalmazás hasznos terhét az eredeti forrásával és céljával, mielőtt bármilyen védelem alkalmazásra kerülne. A fizikai interfészen készült felvétel a külső csomagot mutatja: egy IP-fejléc, egy szállítási fejléc, a beágyazás, majd a titkosított belső csomag hasznos teherként. Ugyanaz a beszélgetés, más objektumok. Amint megnevezi, melyik van a fájlban, az eltérés megszűnik rejtély lenni.

A méretkülönbség többletterhelés, a címkülönbség pedig tervezés. Fordítsa meg, és a zavar kiszámíthatóvá válik: az emberek összehasonlítanak egy 1400 bájtos belső csomagot egy 1450 bájtos külső csomaggal, eldöntik, hogy valami baj van, és elkezdik olyan MTU-beállításokat módosítani, amelyek soha nem voltak bűnösök. Címkézze fel a fájlt az interfésszel és a réteggel, mert ez a címke az első dolog, amire egy olvasónak szüksége van, és az első, amit az emberek kihagynak.

Döntse el a réteget, mielőtt elkezdi a felvételt

Döntse el, melyik réteg válaszol a kérdésére, mielőtt az első csomag beíródik. Az MTU kérdése általában a külső nézetet igényli, mert ott halmozódnak a fejlécek, és ott mutatkozik meg az útvonal korlátja. Az alkalmazás kérdése általában a belső nézetet igényli, mert ott még létezik az a hasznos teher, ami érdekli. Mindkettő terv nélküli rögzítése két fájlt és semmilyen következtetést nem ad.

Használjon ártalmatlan, engedélyezett tesztet, és szűrjön arra a forrásra, célra és időre, ami érdekli. Gyűjtés előtt olvassa el a rögzítőeszköz interfész- és szűrőbeállításait, mert a metaadatok általában elegendőek, és sokkal könnyebben megoszthatók, mint a hasznos teher. Kezelje a belső felvételt alapértelmezés szerint érzékenyként, mert titkosítatlan alkalmazásadatokat tartalmaz, amelyek csak később, az útvonalon védelem alá kerülnek.

Mit tartalmaz valójában a méretkülönbség

A külső csomag további fejléceket és védelmi anyagot hordoz, és hogy mennyit, az a protokolltól és annak beállításaitól függ. Az útvonal menti fragmentálás, összevonás vagy átrendezés megtörheti a belső csomag és az azt hordozó külső csomagok látszólagos egy-az-egyhez viszonyát, ezért a méret-mérethez hasonlítás nem mindig lehetséges. Gyanított MTU-hiba esetén keresse a méret-visszajelzést és azt a pontot, ahol a forgalom megáll, majd hasonlítsa össze azzal, amit az alkalmazás jelent. A válasz nélküli újraküldési minta más jel, mint a következő ugrás méretét hordozó ICMP-hiba.

Egyetlen, a gazdagépet elhagyó csomag semmit sem bizonyít arról, hogy a távoli vég megkapta-e. Ha a felvétele a saját interfészén ér véget, azt mutatta meg, hogy a kernel elküldött valamit, ami a leggyengébb elérhető bizonyíték az útvonalról. Kombinálja a felvételt egy megismételhető tünettel: ugyanaz a cél, ugyanaz a művelet, ugyanaz a méret, kétszer lefuttatva egy változó megváltoztatásával.

Az offload beolvasása a számokba

A gazdagép oldali szegmentálás és más offload második torzítást ad hozzá, és ez az, ami miatt a helyi felvételek vitatkoznak a vezetékkel. Egy helyi felvétel olyan puffereket mutathat, amelyeket az adapter később feloszt, így a linken lévő keretek kisebbek és számosabbak, mint a fájl sugallja. Ezért egy nagy puffer a felvételi fájlban nem bizonyítja, hogy egy túlméretes keret minden linken átment. Ha a méretek számítanak a következtetéséhez, jegyezze fel, hol készült a felvétel, és hogy az offload aktív volt-e azon az interfészen.

Ellenkező esetben a gazdagép kényelmét méri, nem az útvonal viselkedését. Két fájl, amely az interfésszel és az offload állapotával van címkézve, ezeknek a vitáknak a nagy részét egy perc alatt lezárja.

Ahol a felvétel megszűnik bizonyítéknak lenni

A titkosított külső csomagok látása azt mutatja, hogy ezekben a tesztkörülményekben létezik védelmi határ, és semmit sem mond az eszköz más alkalmazásairól, az üzemeltető kezeléséről vagy a végpont saját állapotáról. A tunel belsejében látott sík szöveg sem jelenti azt, hogy a tunel hibás; azt jelenti, hogy a titkosítási pont felett rögzített, ami legitim hely a vizsgálódásra. Egy felvétel egy helyről szóló bizonyíték, nem egy rendszerről szóló ítélet, és a jegynek így kell leírnia. Tartsa meg a hatókör-mondatot a jelentésben, mert ez az, ami megakadályozza, hogy egyetlen megfigyelés auditálási állítássá váljon.

Nevezze el minden fájlt az interfészével, szűrőjével és időbélyegével, és törölje, amikor a vizsgálat véget ér. A tcpdump kézikönyve dokumentálja az itt használt interfész- és szűrőkapcsolókat, beleértve azokat, amelyek kicsiben tartják a felvételt.

Ha meg kell osztania bizonyítékokat, osszon meg méreteket, időbélyegeket és kapcsolókat a hasznos teher helyett. A kérdés a csomagméretről szólt, és a válasznak ritkán van szüksége valaki adataira.