A promiszkusz mód VPN-adapteren megöli a kapcsolatot
A tunneladapteren végzett rögzítés leállíthatja annak továbbítását. Kapcsolja ki a promiszkusz módot, válassza ki a kérdésre válaszoló réteget, és kezelje a fájlt titokként.
A Wireshark tökéletesen viselkedik egy Ethernet-interfészen, majd egy VPN-adapteren a tunnel abban a pillanatban abbahagyja a forgalom átengedését, amikor a rögzítés elkezdődik. A rögzítési ablak tovább töltődik, így az eszköz egészségesnek látszik, miközben az alatta lévő kapcsolat meghal. A promiszkusz mód a szokásos ok, mert egy tunneldriver, amelytől olyan szegmens minden keretét kérik, amellyel nem rendelkezik, olyan állapotba kerülhet, amelyből semmi sem megy ki.
Először kapcsolja ki ezt a beállítást, aztán döntse el, melyik réteget kell valóban látnia.
Két adapter, két különböző nézet
Egy VPN-kliens általában két interfészt kínál: a fizikait, amely a titkosított átvitelt hordozza, és egy virtuálisat, amely a visszafejtett belső forgalmat hordozza. Különböző kérdésekre válaszolnak. A fizikai rögzítés végpontokat, portokat és csomagméreteket mutat, míg a virtuális az alkalmazásprotokollokat mutatja úgy, ahogyan a tunnel szállítja őket. Az egyik kiválasztása anélkül, hogy tudnánk, milyen kérdést teszünk fel, elpazarolja a rögzítést.
Egyik nézet sem halmaza a másiknak, és egy rögzítés ritkán válaszol egyszerre mindkét kérdésre.
A kérdés alapján válassza ki az interfészt, ne a lista sorrendje alapján, mert egy PPP-stílusú kliens Ethernet-eszközként mutathatja be az adapterét, és a megjelenített név nem mondja meg, melyik réteget választotta. Az átjárón vagy tükörporton végzett rögzítés egy harmadik nézetet ad, amely a továbbítás utáni útvonalat mutatja, és ott válnak láthatóvá az aszimmetrikus útválasztás és a szűrés.
| Capture point | What it shows | What it cannot show |
|---|---|---|
| Physical interface | Outer endpoints, ports, packet sizes | Any inner payload |
| Tunnel interface | Decrypted inner traffic | What the VPN added around it |
| Gateway or mirror | Forwarded path after the tunnel | The client's own decision process |
Miért töri el a promiszkusz mód a tunneladaptert
A promiszkusz mód arra kéri a drivert, hogy olyan kereteket szállítson, amelyek nincsenek a hoszthoz címezve, ami megosztott Ethernet-szegmensen értelmes, pont-pont tunnelben pedig nagyon kevéssé. Egyes driverek nyugodtan kezelik a kérést; mások abbahagyják az adóforgalom sorból való kivételét, és az interfész csendben fekete lyukká válik. A rögzítés továbbra is feljegyzi, ami érkezik, így a fájl egy működő kapcsolat bizonyítékának látszik. Pontosan ez a szakadék a fájl mutatta és az interfész tette között az egész csapda.
Kapcsolja ki a beállítást az első csomag előtt, tartsa szűken a rögzítési szűrőt, és használjon kis puffert. Egy nagy gyűrűpuffer forgalmas interfészen éppen azokat a kereteket dobja el, amelyek számítottak, így a rögzítés mindenhol teljes, kivéve ott, ahol a hiba volt.
Ha a kapcsolat a rögzítés közben megakad, állítsa le, és figyelje a helyreállást. Ez az egyetlen megfigyelés választja el a rögzítés mellékhatását a tunnel valódi hibájától, és kevesebb időt vesz igénybe, mint bármilyen szűrőhangolás.
Egy IPsec-rögzítés olvashatóvá tétele
Egy IPsec-rögzítés önmagában nem olvasható, mert az ESP titkosítja a hasznos terhet. A Wireshark akkor tudja dekódolni, ha megadja a munkamenet-kulcsokat, vagy ha követni tudja az azokat létrehozó IKE-tárgyalást, ami azt jelenti, hogy a kézfogásnak ugyanabban a fájlban kell lennie.
A kulcsok lejárnak. Miután a felek megújították a kulcsokat, egy régi kulcskészlet a rögzítés közepén abbahagyja a működést, és az eredmény inkább dekóderhibának látszik, mint időhatárnak.
Kövesse a szállító dokumentált kulcsformátumát, ahelyett hogy nem kapcsolódó forrásból importálna anyagot, és számítson rá, hogy egyes platformok teljesen elutasítják ezt a munkafolyamatot. Amikor az átjáró nem adja át a kulcsokat, és nem engedélyezi a rögzítést, fogadja el, hogy a hasznos teher az Ön helyéről nem vizsgálható. A végpontnaplók és az interfész-számlálók a fennmaradó bizonyítékok, és általában elegendők egy útválasztási kérdéshez.
Egy rögzítés, amelyet biztonságosan megoszthat
Egy belső rögzítés közelebb áll a hitelesítő adatok kiszivárogtatásához, mint egy naplóhoz. Tartalmazhat neveket, címeket és egyszerű szöveget olyan protokollokból, amelyeket abból a feltevésből írtak, hogy soha senki nem fogja elolvasni őket, ami magát a fájlt teszi érzékeny artefaktummá, nem az elemzést.
Győződjön meg róla, hogy a hoszt és a hálózat olyan, amelyen engedélyezett a rögzítés, jegyezze fel az interfészt és a szűrőt is az eredménnyel együtt, korlátozza a munkamenetet a kérdésre válaszoló néhány percre, és a végén távolítsa el a fájlt. Ha meg kell osztani, először írja le a folyamot, vagy távolítsa el a hasznos terhet.
Ezután ismételje meg az eredeti felhasználói feladatot. Egy rögzítés, amely bizonyítja, hogy egy csomag megérkezett, nem bizonyítja, hogy az alkalmazás elfogadta a választ, és a kettő közötti különbség általában ott van, ahol a valódi hiba lakik.