Paket dalam dan luar dalam rekaman VPN: mengapa ukurannya berbeda

Anda merekam paket 1400 byte di antarmuka terowongan, merekam lagi di antarmuka fisik, dan angkanya tidak mau cocok. Alamatnya berbeda, ukurannya berbeda, dan berkas kedua tampak seperti percakapan lain. Tidak ada yang rusak. Dua paket berbeda berada di dua lapisan berbeda, dan celah di antara keduanya adalah apa yang terowongan lakukan pada lalu lintas Anda. Baca kedua tampilan sebelum menyalahkan MTU.

Dua sudut pandang dan paket yang ditunjukkan masing-masing

Rekaman yang diambil di antarmuka terowongan menunjukkan paket dalam: muatan aplikasi dengan sumber dan tujuan aslinya, sebelum perlindungan apa pun diterapkan. Rekaman di antarmuka fisik menunjukkan paket luar: tajuk IP, tajuk transport, enkapsulasi, lalu paket dalam yang terenkripsi sebagai muatan. Percakapan yang sama, objek yang berbeda. Begitu Anda menyebutkan mana yang ada di berkas, ketidakcocokan berhenti menjadi misteri.

Selisih ukuran adalah biaya tambahan, dan selisih alamat adalah desain. Balikkan itu dan kebingungan menjadi bisa diprediksi: orang membandingkan paket dalam 1400 byte dengan paket luar 1450 byte, memutuskan ada yang salah, dan mulai mengubah pengaturan MTU yang tidak pernah bersalah. Beri label berkas dengan antarmuka dan lapisannya, karena label itu adalah hal pertama yang dibutuhkan pembaca dan hal pertama yang orang lewatkan.

Putuskan lapisan sebelum memulai rekaman

Putuskan lapisan mana yang menjawab pertanyaan Anda sebelum paket pertama ditulis. Pertanyaan MTU biasanya membutuhkan tampilan luar, karena di sanalah tajuk menumpuk dan di sanalah batas jalur terlihat. Pertanyaan aplikasi biasanya membutuhkan tampilan dalam, karena di sanalah muatan yang Anda pedulikan masih ada. Merekam keduanya tanpa rencana menghasilkan dua berkas dan tanpa kesimpulan.

Gunakan uji yang tidak berbahaya dan sah, lalu saring berdasarkan sumber, tujuan, dan waktu yang Anda pedulikan. Baca antarmuka dan opsi penyaringan alat perekam sebelum mengumpulkan, karena metadata biasanya cukup dan jauh lebih mudah dibagikan daripada muatan. Perlakukan rekaman dalam sebagai sensitif secara default, karena ia menyimpan data aplikasi yang tidak terenkripsi yang baru dilindungi lebih jauh di jalur.

Apa yang sebenarnya ada dalam selisih ukuran

Paket luar membawa tajuk tambahan dan materi perlindungan, dan berapa banyak yang dibawanya bergantung pada protokol dan opsinya. Fragmentasi, agregasi, atau penataan ulang di sepanjang jalur dapat merusak hubungan satu-ke-satu yang tampak antara paket dalam dan paket luar yang membawanya, sehingga perbandingan ukuran ke ukuran tidak selalu tersedia. Untuk dugaan kerusakan MTU, cari umpan balik ukuran dan titik tempat lalu lintas berhenti, lalu bandingkan dengan apa yang dilaporkan aplikasi. Pola pengiriman ulang tanpa balasan adalah sinyal berbeda dari kesalahan ICMP yang membawa ukuran hop berikutnya.

Satu paket yang meninggalkan host tidak membuktikan apa pun tentang apakah ujung jauh menerimanya. Jika rekaman Anda berakhir di antarmuka Anda sendiri, Anda telah menunjukkan bahwa kernel mengirim sesuatu, yang merupakan bukti terlemah yang tersedia tentang jalur. Gabungkan rekaman dengan gejala yang dapat diulang: tujuan sama, operasi sama, ukuran sama, dijalankan dua kali dengan satu variabel diubah.

Membaca offload ke dalam angka

Segmentasi di sisi host dan offload lain menambahkan distorsi kedua, dan itulah yang membuat rekaman lokal tidak sepakat dengan kabel. Rekaman lokal dapat menunjukkan buffer yang nanti dipecah oleh adaptor, sehingga bingkai di tautan lebih kecil dan lebih banyak daripada yang disiratkan berkas. Karena itu buffer besar dalam berkas rekaman tidak membuktikan bahwa bingkai yang kebesaran melewati setiap tautan. Jika ukuran penting bagi kesimpulan Anda, catat di mana rekaman diambil dan apakah offload aktif di antarmuka itu.

Kalau tidak, Anda mengukur kenyamanan host, bukan perilaku jalur. Dua berkas yang diberi label antarmuka dan status offload menyelesaikan sebagian besar perdebatan ini dalam satu menit.

Ketika rekaman berhenti menjadi bukti

Melihat paket luar terenkripsi menunjukkan bahwa ada batas perlindungan dalam kondisi uji ini, dan itu tidak mengatakan apa pun tentang aplikasi lain di perangkat, penanganan operator, atau keadaan ujung itu sendiri. Melihat teks biasa di dalam terowongan juga bukan berarti terowongan rusak; itu berarti Anda merekam di atas titik enkripsi, yang merupakan tempat sah untuk melihat. Rekaman adalah bukti tentang suatu tempat, bukan putusan tentang suatu sistem, dan tiket harus menggambarkannya seperti itu. Pertahankan kalimat cakupan dalam laporan, karena itulah yang mencegah satu pengamatan menjadi klaim audit.

Beri nama setiap berkas dengan antarmuka, filter, dan stempel waktunya, dan hapus saat penyelidikan berakhir. Panduan tcpdump mendokumentasikan tanda antarmuka dan filter yang digunakan di sini, termasuk yang menjaga rekaman tetap kecil.

Jika harus membagikan bukti, bagikan ukuran, stempel waktu, dan tanda alih-alih muatan. Pertanyaannya adalah tentang ukuran paket, dan jawabannya jarang membutuhkan data siapa pun.